Footprinting Lab – Medium
🎯 Objectif de la mission
Le second serveur que nous devons évaluer est un serveur accessible par l'ensemble des utilisateurs du réseau interne. Lors de nos échanges avec le client, nous avons souligné que ces serveurs publics internes représentent une cible privilégiée pour les attaquants, car ils constituent souvent un point d’entrée pour un accès initial ou un mouvement latéral. À la suite de cette discussion, le client a accepté d’inclure ce serveur dans le périmètre de l’audit.
Comme pour l’exercice précédent, notre objectif principal est :
D’énumérer et collecter un maximum d’informations sur le serveur.
D’identifier des points faibles, des fuites d’informations, ou des erreurs de configuration.
De démontrer un accès non autorisé ou une compromission potentielle, dans le respect des règles définies.
🛡️ Règles & Cadre
❌ Aucune exploitation agressive (pas d'exploitation de vulnérabilités destructrices).
❌ Aucune élévation de privilège autorisée en dehors de l'utilisateur ciblé.
✅ L'accès au serveur est autorisé via les services exposés, comme un utilisateur standard.
✅ L’objectif est de collecter les informations nécessaires pour accéder à l'utilisateur
HTB.
Enumerate the server carefully and find the username "HTB" and its password. Then, submit this user's password as the answer.
Scan TCP de la cible :
$ nmap -sV -sC aca.htb -oN TCP_Script_Eval
Starting Nmap 7.93 ( https://nmap.org ) at 2025-06-27 09:54 CEST
PORT STATE SERVICE VERSION
111/tcp open rpcbind 2-4 (RPC #100000)
135/tcp open msrpc Microsoft Windows RPC
139/tcp open netbios-ssn Microsoft Windows netbios-ssn
445/tcp open microsoft-ds?
2049/tcp open mountd 1-3 (RPC #100005)
3389/tcp open ms-wbt-server Microsoft Terminal Services
Nmap done: 1 IP address (1 host up) scanned in 100.48 secondsNous observons la présence de NFS (port 2049), nous allons l'exploiter afin de naviguer dans les répertoires disponibles.
Enumération du contenu disponible sur notre cible :
Nous y observons le répertoire /TechSupport.
Nous créons maintenant un dossier target-NFS afin d'y monter le répertoire trouvé sur notre cible :
Le répertoire maintenant monté, nous listons son contenu :
Beaucoup de fichiers sont présents. Nous souhaitons les analyser afin de regarder si du contenu intéréssant est disponible dans chacun d'entre eux. Cependant, cette action est chronophage, mais nous essayons tout de même de lire le contenu des deux premiers fichiers :
L'exécution de ces deux commandes ne nous retournent aucun résultat.
Les fichiers sont probablement vides, nous allons donc les listes à l'aide de la commande ls -al afin d'obtenir des informations concernant la taille des fichiers :
Parmis les lignes du résultat obtenu ci-dessus, nous pouvons observer ceci :
Il nous est indiqué que, contrairement aux autres fichiers, le fichier ticket4238791283782.txt contient du texte, ceci est visible par ta taille qui est de 1305 octets, contre 0 pour l'ensemble des autres fichiers.
Nous pouvons alors lister son contenu :
Nous obtenons à l'aide de ce ticket des information sensibles.
Nous avons des informations d'itentification SMTP :
🔐 Identifiants SMTP :
Hôte :
smtp.web.dev.inlanefreight.htbUtilisateur :
alexMot de passe :
lol123!mDAdresse expéditrice :
alex.g@web.dev.inlanefreight.htb
Nous utilisons les informations de l'utilisateur afin de nous connecter via smbclient à notre cible :
Nous accedons au repertoire devshare :
Nous listons maintenant le contenu de notre répertoire et récupérons le fichier présent :
Nous analysons maintenant le contenu du fichier important.txt en local :
Après certaines recherches concernant un utilisateur important sous Windows nommé sa, nous avons trouvé ceci :
Le compte
saest un compte administrateur SQL Server (System Administrator) utilisé pour accéder et gérer une base de données MSSQL.
✅ Cela informe donc que le mot de passe est probablement destiné à une instance SQL Server (MSSQL) et non au système Windows lui-même.
Comme vu dans le cours Windows Remote Management Protocols, nous utilisons l'outil xfreerdp afin de nous connecter en RDP :
Nous nous connectons donc au serveur SQL.
Une fois connectés, nous nous baladons dans les différentes bases de données pour trouver les identifiants de l'utilisateur HTB :
Il nous est alors possible de trouver le mot de passe de l'utilisateur HTB:lnch7ehrdn43i7AoqVPK4zWR.
Last updated