Arctic — HTB Writeup | The Hack Sparrow

Executive summary — Arctic is an Easy Windows box built around a legacy install of Adobe ColdFusion 8: a path traversal with a null byte (CVE-2010-2861) reads the admin panel's properties file and hands us the admin password hash. After cracking it we log into the panel and abuse a legitimate feature —Scheduled Tasks— to write and run a JSP shell in the webroot (RCE with no exploit involved). The resulting service account holds SeImpersonate, so we escalate to NT AUTHORITY\SYSTEM with JuicyPotato. A ColdFusion (path traversal) → admin panel → Scheduled Tasks (RCE) → JuicyPotato → SYSTEM path.

Platform	Hack The Box
Operating system	Windows
Difficulty	Easy
Status	Retired
Target IP	`10.129.22.154`

Attack map

[8500] Adobe ColdFusion 8 (CFIDE/administrator)
   │  CVE-2010-2861 — path traversal + null byte → read
   │  ColdFusion8/lib/password.properties (admin hash)
   │  crack the hash → admin:happyday
   ▼
[PANEL] Log into /CFIDE/administrator/ → abuse Scheduled Tasks
   │  task "pwn2" downloads shell.jsp and saves it to
   │  C:\ColdFusion8\wwwroot\shell.jsp
   ▼
[RCE] Visit /shell.jsp → reverse shell arctic\tolis (user.txt)
   │  whoami /priv → SeImpersonate context
   ▼
[SYSTEM] JuicyPotato (CreateProcessWithTokenW) → nt authority\system (root.txt)

1. Port reconnaissance

As always, we start with a full TCP port sweep so no non-standard service slips past:

nmap -p- --open -sS --min-rate 5000 -n -Pn 10.129.22.154 -oG openPorts

-p- scans all 65535 ports, --open shows only open ones, -sS runs a SYN scan, --min-rate 5000 speeds up packet sending, -n skips DNS resolution and -Pn treats the host as up without prior ICMP discovery (Arctic doesn't respond to ping).

135/tcp    open  msrpc
8500/tcp   open  fmtp?
49154/tcp  open  msrpc

With the open ports identified, we run a version/default-script scan against just those:

nmap -sC -sV -p 135,8500,49154 10.129.22.154 -oN target

The odd port: Nmap can't confidently fingerprint the service on 8500 (tags it as fmtp?). A web service with no clear fingerprint that responds slowly is usually a heavyweight enterprise app — here, Adobe ColdFusion.

Resumen ejecutivo — Arctic es una Windows Easy construida alrededor de una instalación legacy de Adobe ColdFusion 8: un path traversal con null byte (CVE-2010-2861) permite leer el fichero de propiedades del panel de administración y hacerse con el hash de la contraseña admin. Tras crackearlo entramos al panel y abusamos de una funcionalidad legítima —las Scheduled Tasks— para escribir y ejecutar una shell JSP en el webroot (RCE sin exploit de por medio). La cuenta de servicio resultante tiene SeImpersonate, así que se escala a NT AUTHORITY\SYSTEM con JuicyPotato. Recorrido ColdFusion (path traversal) → panel admin → Scheduled Tasks (RCE) → JuicyPotato → SYSTEM.

Plataforma	Hack The Box
Sistema operativo	Windows
Dificultad	Easy
Estado	Retired
IP objetivo	`10.129.22.154`

Mapa del ataque

[8500] Adobe ColdFusion 8 (CFIDE/administrator)
   │  CVE-2010-2861 — path traversal + null byte → leer
   │  ColdFusion8/lib/password.properties (hash admin)
   │  crackear el hash → admin:happyday
   ▼
[PANEL] Login en /CFIDE/administrator/ → abuso de Scheduled Tasks
   │  tarea "pwn2" descarga shell.jsp y lo guarda en
   │  C:\ColdFusion8\wwwroot\shell.jsp
   ▼
[RCE] Visitar /shell.jsp → reverse shell arctic\tolis (user.txt)
   │  whoami /priv → contexto con SeImpersonate
   ▼
[SYSTEM] JuicyPotato (CreateProcessWithTokenW) → nt authority\system (root.txt)

1. Reconocimiento de puertos

Empezamos, como siempre, con un barrido completo de puertos TCP para no perder ningún servicio no estándar:

nmap -p- --open -sS --min-rate 5000 -n -Pn 10.129.22.154 -oG openPorts

-p- escanea los 65535 puertos, --open muestra solo los abiertos, -sS hace un SYN scan, --min-rate 5000 acelera el envío de paquetes, -n evita resolución DNS y -Pn trata el host como activo sin descubrimiento ICMP previo (Arctic no responde a ping).

135/tcp    open  msrpc
8500/tcp   open  fmtp?
49154/tcp  open  msrpc

Con los puertos abiertos identificados, lanzamos un escaneo de versiones y scripts por defecto solo sobre ellos:

nmap -sC -sV -p 135,8500,49154 10.129.22.154 -oN target

El puerto raro: Nmap no identifica con seguridad el servicio en 8500 (lo marca como fmtp?). Un servicio web sin fingerprint claro y que tarda en responder suele ser una aplicación empresarial pesada — en este caso, Adobe ColdFusion.

🔒 Clearance required

This content is Root Access only. Everything else on the site — the free tier, the whole public library — stays open.

See Root Access plans

No account? Create one free then upgrade from your console.