# Rocket

{% hint style="info" %}
Category: Boot2root

Difficulty: easy
{% endhint %}

## 1. Detail Tantangan

| Name       | Description           |
| ---------- | --------------------- |
| Level      | Easy                  |
| Points     | 30 (user) & 70 (root) |
| Machine IP | 10.1.2.233            |
| Machine OS | Windows 10            |

## 2. Langkah Penyelesaian

### 2.1. Port and Service Enumeration

* Saya menggunakan tool `rustscan` untuk mempercepat proses port scanning.

```bash
rustscan -a 10.1.2.233 -r 1-65535 --scripts default | tee -a output_scan_all_ports.txt
```

* Beberapa port yang open dan interesting antara lain:
  * **445** (SMB)
  * **135** (MSRPC)
  * **139** (RPC)
  * **3389** (RDP)
  * **8111** (HTTP)

### 2.2. RDP Enumeration

* Hasil scan service pada port 3389 (RDP) menggunakan `nmap`.

```bash
nmap -p 3389 -sVC -v -oN output_scan_port_3389.txt 10.1.2.233
```

* Tidak ada yang interesting untuk saat ini. Mungkin untuk **Domain Name** nanti berguna.

<figure><img src="https://2661951449-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FPXl4YE7Y3W2ZkuPwt8SF%2Fuploads%2FVTrSuZ36uFqFZJLHAHOl%2Fimage.png?alt=media&#x26;token=f2c8e80d-579c-444d-a59a-45d7ec3f2aec" alt=""><figcaption></figcaption></figure>

### 2.3. RPC Enumeration

* Terdapat celah null session atau attacker dapat login sebagai anonymous.

```bash
rpcclient -U "" -N 10.1.2.233 -p 139
```

* Hasil enumerasi domain: `enumdomains`.

```bash
rpcclient $> enumdomains
name:[LETHOS] idx:[0x0]
name:[Builtin] idx:[0x1]
```

* Hasil enumerasi shared folder: `netshareenumall`.

```bash
rpcclient $> netshareenumall
netname: print$
        remark: Printer Drivers
        path:   C:\var\lib\samba\printers
        password:
netname: IPC$
        remark: IPC Service (lethos server (Samba, Ubuntu))
        path:   C:\tmp
        password:
```

* Tidak berhasil mendapatkan `enumdomusers`.

### 2.4. HTTP Port 8111 Enumeration

* Hasil scan service pada port **8111** menggunakan `nmap`.

```bash
nmap -p 8111 -sVC -v -oN output_scan_port_8111.txt 10.1.2.233
```

<figure><img src="https://2661951449-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FPXl4YE7Y3W2ZkuPwt8SF%2Fuploads%2Fz4DN22Q4at84NDZ1aVaO%2Fimage.png?alt=media&#x26;token=862904d9-17d8-4d1e-984a-c1052df99df7" alt=""><figcaption></figcaption></figure>

* Setelah saya coba open port **8111** di web browser, terdapat info menarik yaitu tampil halaman login **JetBrains TeamCity versi 2023.11.3**.
* Tanpa pikir panjang, saya langsung mencari tau apakah versi tersebut ada CVE-nya atau tidak.
* Dari hasil pencarian, ditemukan bahwa **JetBrains TeamCity versi 2023.11.3** terdapat kerentanan ***Authentication Bypass to RCE***, yang mana mengizinkan attacker bisa login tanpa menggunakan akun yang sah/terdaftar di sistem (lebih lengkapnya baca artikel ini: <https://www.vicarius.io/vsociety/posts/teamcity-auth-bypass-to-rce-cve-2024-27198-and-cve-2024-27199>).

<figure><img src="https://2661951449-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FPXl4YE7Y3W2ZkuPwt8SF%2Fuploads%2FXc2lrgCAncTQ56MkdpJE%2Fimage.png?alt=media&#x26;token=dbedfa50-98ce-4293-b789-b21ad8267fa7" alt=""><figcaption></figcaption></figure>

* Kemudian saya cari script POC yang mungkin orang lain pernah buat, dan ternyata saya menemukannya dari repo GitHub berikut: <https://github.com/W01fh4cker/CVE-2024-27198-RCE>.
* Saya coba jalankan script tersebut menggunakan command:

```bash
pip3 install requests urllib3 faker
python3 CVE-2024-27198-RCE.py -t http://10.1.2.233:8111
```

<figure><img src="https://2661951449-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FPXl4YE7Y3W2ZkuPwt8SF%2Fuploads%2FOE62jz0wnikkHitP3bvk%2Fimage.png?alt=media&#x26;token=50af5376-da33-40a4-925f-c4b3c6ef07b5" alt=""><figcaption></figcaption></figure>

* Dan **Alhamdulillah**! saya berhasil mendapatkan powershellnya, lanjut ke pencarian kredensial untuk bisa melakukan RDP.
* Saya coba `ls` current directory dan menemukan sebuah file: `cred.txt` yang berisi username dan password.
* Tanpa pikir panjang saya langsung coba login RDP menggunakan tool bawaan Windows langsung.

<figure><img src="https://2661951449-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FPXl4YE7Y3W2ZkuPwt8SF%2Fuploads%2F2shIObln6zzMHgKt7LO7%2Fimage.png?alt=media&#x26;token=3a26ba76-489d-4935-adfd-6d3e96e52eff" alt=""><figcaption></figcaption></figure>

* Terdapat sebuah file `user.txt` di **Desktop**, dan setelah saya buka ternyata berisikan sebuah flag user. **GOTCHAA!!**.
* Berikut POC setelah berhasil remote desktop ke mesin target Windows 10:

<figure><img src="https://2661951449-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FPXl4YE7Y3W2ZkuPwt8SF%2Fuploads%2F4yxdtIYvDyWAGlHyGgkw%2Fimage.png?alt=media&#x26;token=2d801585-b174-4f2a-a529-94dd2ad83090" alt=""><figcaption></figcaption></figure>

## 3. User Flag

<kbd>24ee7336f91a82fcab6bd8b1fd981d2a</kbd>
