Return

Sobre esta maquina: HTB

Sistema Operativo: Windows

Skills Usados:

  • Abusing Printer

  • Abusing Server Operators Group

  • Service Configuration Manipulation

Metodologia:

Hacemos reconocimiento basico con Nmap, puertos abiertos y scripts y versiones aplicados en puertos abiertos

// 
Starting Nmap 7.94SVN ( https://nmap.org ) at 2025-04-26 15:22 EDT
Nmap scan report for 10.10.11.108
Host is up (0.18s latency).
Not shown: 988 closed tcp ports (reset)
PORT     STATE SERVICE
53/tcp   open  domain
80/tcp   open  http
88/tcp   open  kerberos-sec
135/tcp  open  msrpc
139/tcp  open  netbios-ssn
389/tcp  open  ldap
445/tcp  open  microsoft-ds
464/tcp  open  kpasswd5
593/tcp  open  http-rpc-epmap
636/tcp  open  ldapssl
3268/tcp open  globalcatLDAP
3269/tcp open  globalcatLDAPssl



nmap -sC -sV -p 53,80,88,135,139,389,445,464,593,636,3268,3269

PORT     STATE SERVICE       VERSION
53/tcp   open  domain        Simple DNS Plus
80/tcp   open  http          Microsoft IIS httpd 10.0
|_http-title: HTB Printer Admin Panel
88/tcp   open  kerberos-sec?
135/tcp  open  msrpc         Microsoft Windows RPC
139/tcp  open  netbios-ssn   Microsoft Windows netbios-ssn
389/tcp  open  ldap          Microsoft Windows Active Directory LDAP (Domain: return.local0., Site: Default-First-Site-Name)
445/tcp  open  microsoft-ds?
464/tcp  open  kpasswd5?
593/tcp  open  ncacn_http    Microsoft Windows RPC over HTTP 1.0
636/tcp  open  ldapssl?
3268/tcp open  ldap          Microsoft Windows Active Directory LDAP (Domain: return.local0., Site: Default-First-Site-Name)
3269/tcp open  tcpwrapped
Service Info: Host: PRINTER; OS: Windows; CPE: cpe:/o:microsoft:windows

Host script results:
| smb2-time: 
|   date: 2025-04-26T19:54:32
|_  start_date: N/A
| smb2-security-mode: 
|   3:1:1: 
|_    Message signing enabled and required

Realizamos una exploracion del protocolo SMB para listar recursos compartidos

Observamos que es una impresora, ahora revisemos lo que corre por el puerto 80

Es un panel administrativo de la impresora
Verificamos las tecnologias
Vemos que tiene en los settings la posibilidad de cambiar la direccion del servidor asi que podremos cambiarlo por el de nosotros y ponemos en escucha

nos ponemos en escucha

Obtenemos unas credenciales ahora podresmos probar el ingreso de las mismas por el puerto de SMB o de WINRM que ambos estan abiertos.

WinRM es Pwnable asi que lo utilizaremos para intentar ganar acceso

Ahora intentaremos ir a USERS para observar si podemos escalar privilegios

Server operators esta activado en nuestro nivel de autenticacion lo que nos permitira detener servicios y escalar privilegios así que intentaremos crear una reverse shell subiendo un servicio para ello ubicaremos nuestro path de NC y pegaremos la dirección absoluta en la maquina victima camuflándolo como un servicio con nc.exe

Exportamos el path y el file de NC.EXE para poder camuflarlo por un servicio en la maquina victima y obtener un reverse shell.

Ya con el NC en el sistema victima intentamos infectarlo con una reverse Shell simulando ser un servicio existente poniéndome en escucha posteriormente paramos y arrancamos el servicio para entablar la reverse Shell.

Accedimos al ROOT y obtuvimos la flag dando por terminada esta maquina.

PreviousHackTheBoxNextHorizontall

Last updated