> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-medium/solidstate-hackthebox-writeup.md). # Compte rendu HackTheBox de Solidstate {% embed url="" %} {% hint style="warning" %} **Compétences :** * Abus de l'outil d'administration à distance James * Modification du mot de passe e-mail d'un utilisateur * Fuite d'informations * Sortie de Restricted Bash (rbash) * Création d'un script Bash afin de détecter les tâches cron (procmon.sh) * Abus d'une tâche cron (élévation de privilèges) {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

**Vérification de la connectivité VPN** Vérifiez la connectivité VPN pour assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :** Exploration des ports ouverts et exportation dans le fichier "allPorts" du répertoire Nmap. ```bash nmap -p- --open -n -Pn -sS -vvv --min-rate 5000 10.10.10.51 -oG allPorts ```

**Analyse des ports ouverts avec extractPorts :** Utilisation de la fonction extractPorts pour afficher de manière concise les ports ouverts et les copier dans le presse-papiers (22.25,80,110,119,45555)

Scan de version des ports avec Nmap : Utilisez Nmap pour analyser les versions des services et enregistrer la sortie dans le fichier "targeted" : ```bash nmap -sCV -p22,25,80,110,119,4555 10.10.10.51 -oN targeted ```

### Port 80 #### Aucune information intéressante n'a été trouvée sur le port 80.

## Administration à distance JAMES ### Port 119 - NNTP > Le port 119 utilise le Network News Transfer Protocol. Le serveur exécute une instance Apache James, un serveur de messagerie et de nouvelles. Nous nous connectons avec `netcat`, mais aucune information pertinente n'est trouvée. ```bash nc 10.10.10.51 119 ```

### Port 4555 - Outil d'administration à distance > Dans le contexte de l'administration à distance, il peut être utilisé pour accéder à des panneaux de contrôle ou interagir avec des services distants sur la machine cible. Il est important de le scanner pour voir s'il est ouvert et quel service il héberge. Nous essayons de nous connecter au panneau d'administration James via Telnet : ```bash telnet 10.10.10.51 4555 ```

Après avoir recherché les identifiants par défaut, nous trouvons : * **ID** : root * **Mot de passe** : root

Nous nous connectons avec succès et accédons au panneau d'administration de James. Nous avons la possibilité de lister les utilisateurs avec la `listusers` commande, ce qui nous permet de découvrir 5 utilisateurs : * `utilisateur : james` * `utilisateur : thomas` * `utilisateur : john` * `utilisateur : mindy` * `utilisateur : mailadmin`

Nous pouvons modifier les mots de passe des utilisateurs avec la `setpassword` commande pour les connecter au client de messagerie sur le port 110. Nous le faisons pour tous les utilisateurs : ```ada setpassword james james setpassword thomas thomas setpassword john john setpassword mindy mindy setpassword mailadmin mailadmin ```

### Port 110 - POP3 > Le port 110 est le port standard utilisé pour **POP3** (protocole de bureau de poste version 3). Ce protocole est utilisé par les clients de messagerie pour récupérer les e-mails depuis un serveur. Lorsqu'un utilisateur se connecte à un serveur POP3 via ce port, il peut télécharger ses messages. Nous nous connectons maintenant au client POP3 via Telnet :

telnet 10.10.10.51 110

Pour nous connecter, nous utilisons les commandes suivantes : ```ada USER PASS ``` Nous listons les messages avec la `list` commande. Nous observons qu'il n'y a aucun message dans les boîtes de `james` et `thomas`.

Cependant, l'utilisateur `john` a un message que nous récupérons avec la `retr 1` commande. Le message contient le texte suivant : > John, > > Peux-tu restreindre l'accès de Mindy jusqu'à ce qu'elle soit autorisée à rejoindre le programme ? Assure-toi également de lui envoyer un mot de passe temporaire afin qu'elle puisse se connecter à ses comptes. > > Merci d'avance. > > Cordialement,/ James

Cela suggère que l'utilisateur `mindy` dispose d'identifiants dans sa boîte mail. En effet, nous trouvons les informations suivantes : * **Nom d'utilisateur** : mindy * **Mot de passe** : P\@55W0rd1!2@

Nous utilisons ces identifiants pour nous connecter via SSH et obtenir le flag `user.txt`. ### Drapeau user.txt :)

## Élévation de privilèges : ### **Sortie de RBash vers Bash** Le `mindy` l'utilisateur utilise actuellement un `rbash` shell qui limite l'exécution de nombreuses commandes.

Pour contourner cette restriction, nous utilisons la commande suivante lors de la connexion SSH afin d'obtenir un shell Bash : ```bash ssh mindy@10.10.10.51 -t "bash --noprofile" ```

Nous utilisons ensuite les commandes suivantes pour traiter le terminal et obtenir un shell complet : ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ### Tâches cron - Script modifié (Python) : Nous créons un script Bash pour analyser les processus en cours et détecter les tâches cron exécutées sur la machine cible : ```bash #!/bin/bash old_process=$(ps -eo user,command) while true; do new_process=$(ps -eo user,command) diff <(echo "$old_process") <(echo "$new_process") | grep "[/>/<]" | grep -vE "script|command|kworker" old_process=$new_process done ``` En exécutant ce script, nous constatons que le **root** utilisateur exécute un script Python situé dans le `/opt/tmp.py` répertoire.

Nous avons la possibilité de modifier ce script Python.

Nous le modifions pour ajouter la commande permettant de définir un **setuid** sur l’objet `/bin/bash` binaire, nous permettant d'exécuter un shell Bash avec les privilèges de **root**: ```python #!/usr/bin/env python import os import sys try: os.system('chmod u+s /bin/bash') except: sys.exit() ``` Après avoir modifié le script, nous attendons environ une minute que la tâche cron s'exécute. Une fois la tâche cron exécutée, nous pouvons obtenir un shell Bash avec **root** des privilèges en exécutant la commande suivante : ```bash /bin/bash -p ```

### Drapeau root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-medium/solidstate-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.