▌ TRANSMISSION · [HTB]

[STARTING_POINT] Tier0 Explosion

2026-05-19 · RDP

Explosion

alt text

Task 1

  • 정답 및 풀이

    alt text

    구글에 rdp를 검색해보면, Remote Desktop Protocol 이 rdp의 약어인 것을 알 수 있습니다.

Task 2

  • 정답 및 풀이

    정답은 CLI 이며 Command line Interface 의 약어입니다. (문제에 정답이 들어있었네요)

Task 3

  • 정답 및 풀이

    정답은 GUI 이며, Graphical User Interface 의 약어입니다. (이것도 문제에 정답이 있었네요)

Task 4

  • 정답 및 풀이

    정답은 Telnet 입니다.

    • tcp 23 번 포트를 기본으로 사용하는 서비스는 telnet 입니다.

Task 5

  • 정답 및 풀이

    정답은 ms-wbt-server 입니다.

    • nmap scanning

      ┌──(kali㉿kali)-[~]
└─$ sudo nmap 10.129.7.137 -p- -sV --min-rate 2000 --open 
[sudo] password for kali: 
Starting Nmap 7.98 ( https://nmap.org ) at 2026-03-18 17:28 +0900
Nmap scan report for 10.129.7.137
Host is up (0.21s latency).
Not shown: 65521 closed tcp ports (reset)
PORT      STATE SERVICE       VERSION
135/tcp   open  msrpc         Microsoft Windows RPC
139/tcp   open  netbios-ssn   Microsoft Windows netbios-ssn
445/tcp   open  microsoft-ds?
3389/tcp  open  ms-wbt-server Microsoft Terminal Services
5985/tcp  open  http          Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
47001/tcp open  http          Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
49664/tcp open  msrpc         Microsoft Windows RPC
49665/tcp open  msrpc         Microsoft Windows RPC
49666/tcp open  msrpc         Microsoft Windows RPC
49667/tcp open  msrpc         Microsoft Windows RPC
49668/tcp open  msrpc         Microsoft Windows RPC
49669/tcp open  msrpc         Microsoft Windows RPC
49670/tcp open  msrpc         Microsoft Windows RPC
49671/tcp open  msrpc         Microsoft Windows RPC
Service Info: OS: Windows; CPE: cpe:/o:microsoft:windows

Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 98.51 seconds
      • --open : state(상태)가 open 인 결과만 보여줍니다. (열린 포트만 확인)

    • ms-wbt-server : Microsoft Windows Based Terminal Server 의 약어로, 보트는 보통 3389를 사용합니다. (말 그대로 Microsoft의 Windows 기반 터미널 서비스 - 원격 데스크톱 서비스 를 말합니다.)

      • RDP(Remote Desktop Protocol) 서비스를 가리키는 경우가 대부분입니다. RDP로 표기되지 않는 이유는, 서비스 식별 DB나 배너 식별에서 예전/공식 서비스명 계열로 그렇게 표기는 경우가 있기 때문입니다.

Task 6

  • 정답 및 풀이

    정답은 /v: 입니다.

    • xfreerdp을 실행할 때 --help 인자를 붙여주면 도움말을 확인할 수 있습니다.

      ┌──(kali㉿kali)-[~]
└─$ xfreerdp --help

xfreerdp - A Free Remote Desktop Protocol Implementation
See www.freerdp.com for more information

Usage: xfreerdp [file] [options] [/v:<server>[:port]]

Syntax:
    /flag (enables flag)
    /option:<value> (specifies option with value)
...

      • 거기서 조금만 내려보면, hostname을 지정할 때 사용하는 인자를 확인할 수 있습니다.

        ...

/v: <server>[:port]               Server hostname|URL|IPv4|IPv6 or 
                                  vsock://<number> or /some/path/to/pipe or 

...

    • 이를 타겟 머신에서 수행해보았습니다.

      ┌──(kali㉿kali)-[~]
└─$ xfreerdp /v:10.129.7.137
[17:45:33:644] [31498:00007b0c] [INFO][com.freerdp.client.x11] - [xf_pre_connect]: No user name set. - Using login name: kali
[17:45:33:646] [31498:00007b0c] [WARN][com.freerdp.client.x11] - [load_map_from_xkbfile]:     : keycode: 0x08 -> no RDP scancode found
[17:45:33:646] [31498:00007b0c] [WARN][com.freerdp.client.x11] - [load_map_from_xkbfile]: ZEHA: keycode: 0x5d -> no RDP scancode found
[17:45:34:557] [31498:00007b0c] [WARN][com.freerdp.crypto] - [verify_cb]: Certificate verification failure 'self-signed certificate (18)' at stack position 0
[17:45:34:558] [31498:00007b0c] [WARN][com.freerdp.crypto] - [verify_cb]: CN = Explosion
Domain:          
Password:        
[17:45:37:420] [31498:00007b0c] [INFO][com.freerdp.core.nla] - [nla_client_setup_identity]: No credentials provided - using NULL identity
[17:45:37:420] [31498:00007b0c] [ERROR][com.winpr.sspi.Kerberos] - [kerberos_AcquireCredentialsHandleA]: krb5_parse_name (Configuration file does not specify default realm [-1765328160])
[17:45:37:420] [31498:00007b0c] [ERROR][com.winpr.sspi.Kerberos] - [kerberos_AcquireCredentialsHandleA]: krb5_parse_name (Configuration file does not specify default realm [-1765328160])
[17:45:37:850] [31498:00007b0c] [WARN][com.freerdp.core.transport] - [transport_ssl_cb]: SSL error (where=SSL_CB_ALERT|SSL_CB_READ]{0x00004004}, ret=592 [fatal, internal error])
[17:45:37:850] [31498:00007b0c] [ERROR][com.freerdp.core] - [transport_ssl_cb]: ERRCONNECT_PASSWORD_CERTAINLY_EXPIRED [0x0002000F]
[17:45:37:850] [31498:00007b0c] [ERROR][com.freerdp.core.transport] - [transport_read_layer]: BIO_read returned an error: error:0A000438:SSL routines::tlsv1 alert internal error

      하지만 /v: 옵션만 주었을 때는 접속이 되지 않았습니다. 그 이유는 사용자를 지정하지 않을 경우 로컬 로그인 명(현재는 kali)으로 접속을 시도하게 되기 때문입니다. 이는 접속 시 출력되는 터미널 화면 첫 줄에서도 kali로 원격 접속을 시도하는 것을 확인할 수 있습니다.

      그래서 접속에 성공하기 위해서는 원격에서 사용하는 사용자로 접속을 시도해야하는데, Windows 환경이라는 점을 고려해 기본적으로 존재하는 관리자 권한인 Administrator를 유저명으로 하여 접속 시도를 해볼 수 있습니다.

      • 유저명을 지정할 때는 /u: 옵션을 사용합니다. (—-help 도움말 참고)
      xfreerdp /v:10.129.7.137 /u:Administrator

      alt text

      그러면 다음과 같이 GUI 환경의 창이 켜지며 원격 접속에 성공하게 됩니다.

      • 관리자 유저인 Administrator가 패스워드 없이 로그인이 되기에 굉장히 취약합니다

Task 7

  • 정답 및 풀이

    정답은 Administrator 입니다. (이전 Task에서 확인 가능합니다.)

Submit flag

  • 정답 및 풀이

    정답 : 951fa96d7830c451b536be5a6be008a0

    • 바탕 화면에 존재하는 flag.txt를 읽으면 플래그를 획득할 수 있습니다.

    alt text

← ALL POSTS