Hack The Box: Enigma - व्यापक पेनेट्रेशन टेस्टिंग और राइट-अप रिपोर्ट

1. कार्यकारी सारांश

Enigma Hack The Box पर होस्ट की गई एक इंटरमीडिएट-स्तरीय Linux मशीन है। मूल्यांकन कार्यप्रणाली एक मानक पेनेट्रेशन टेस्टिंग जीवनचक्र का अनुसरण करती है: रेकॉनिसेंस, एन्यूमरेशन, क्रेडेंशियल हार्वेस्टिंग के माध्यम से प्रारंभिक एक्सेस, स्थानीय एन्यूमरेशन, और OliveTin में एक सर्विस-लेयर भेद्यता (CVE-2026-27626) के माध्यम से रूट प्रिविलेज एस्केलेशन। यह राइट-अप लक्ष्य को पूरी तरह से कम्प्रोमाइज़ करने और प्रशासनिक नियंत्रण सुरक्षित करने के लिए आवश्यक चरण-दर-चरण वेक्टर विश्लेषण, टूलसेट, कोड निष्पादन रणनीतियों और उपचार दिशानिर्देशों का विवरण देता है।

---

2. सूचना संग्रह और रेकॉनिसेंस

2.1 नेटवर्क पोर्ट स्कैनिंग (Nmap)

मूल्यांकन की शुरुआत लक्ष्य होस्ट पर खुले पोर्ट और चल रही सेवाओं की पहचान करने के लिए TCP SYN स्कैन के साथ की गई।

nmap -p- --min-rate=1000 -T4 <TARGET_IP>

स्कैन निष्कर्ष:

• पोर्ट 22/tcp (SSH): खुला, OpenSSH डेमन चल रहा है।
• पोर्ट 80/tcp (HTTP): खुला, Nginx/Apache वेब सर्वर एक वेब एप्लिकेशन होस्ट कर रहा है।
• पोर्ट 2049/tcp (NFS): खुला, नेटवर्क फ़ाइल शेयरिंग सेवा।

2.2 वेब एन्यूमरेशन और डायरेक्टरी ब्रूट-फोर्सिंग

डायरेक्टरी डिस्कवरी टूल्स (gobuster / ffuf) का उपयोग करते हुए, हमने छिपे हुए एंडपॉइंट्स, प्रशासनिक पोर्टल, या कॉन्फ़िगरेशन आर्टिफैक्ट्स को उजागर करने के लिए पोर्ट 80 पर वेब सेवा को स्कैन किया।

• आंतरिक इंफ्रास्ट्रक्चर घटकों की रूपरेखा देने वाली एक सार्वजनिक-मुखी वेब उपस्थिति और डेवलपर ब्लॉग पोस्ट की खोज की गई।
• डेटाबेस कॉन्फ़िगरेशन फ़ाइलों और ऑटोमेशन स्क्रिप्ट से संबंधित संभावित एप्लिकेशन पथों की पहचान की गई।

---

3. प्रारंभिक एक्सेस (उपयोगकर्ता-स्तरीय कम्प्रोमाइज़)

3.1 क्रेडेंशियल खोज

वेब एप्लिकेशन फ़ाइलों और सहायक NFS शेयरों के विस्तृत विश्लेषण के माध्यम से, हमने वैध डेवलपर क्रेडेंशियल्स का पता लगाया।

• उपयोगकर्ता नाम: haris
• पासवर्ड: bestfriends

3.2 SSH के माध्यम से उपयोगकर्ता शेल स्थापित करना

खोजे गए क्रेडेंशियल्स के साथ, हमने लक्ष्य सिस्टम पर एक इंटरैक्टिव निम्न-विशेषाधिकार वाला शेल स्थापित करने के लिए SSH सेवा के विरुद्ध प्रमाणीकरण किया:

ssh haris@<TARGET_IP>

• इंटरैक्टिव शेल प्राप्त: haris@enigma:~$
• उपयोगकर्ता फ्लैग (user.txt) को सफलतापूर्वक खोजा और प्राप्त किया गया।

---

4. स्थानीय एन्यूमरेशन और प्रिविलेज एस्केलेशन खोज

4.1 आंतरिक सेवा ऑडिटिंग

उपयोगकर्ता-स्तरीय शेल स्थापित करने के बाद, हमने संभावित हमले की सतहों की पहचान करने के लिए स्थानीय लिसनिंग पोर्ट और सक्रिय प्रक्रियाओं की समीक्षा की जो बाहरी रूप से उजागर नहीं हैं:

ss -tulpn

मुख्य खोज:

• OliveTin ऑटोमेशन प्रबंधन वेब सेवा root विशेषाधिकारों के अंतर्गत स्थानीय रूप से 127.0.0.1:1337 पर चल रही थी।

4.2 OliveTin कॉन्फ़िगरेशन और भेद्यताओं का विश्लेषण

OliveTin एप्लिकेशन कॉन्फ़िगरेशन फ़ाइल (/opt/OliveTin/config.yaml) के आगे निरीक्षण से पता चला कि डेटाबेस बैकअप क्रियाएँ एक शेल रैपर के माध्यम से निष्पादित की जाती थीं। विशेष रूप से, कॉन्फ़िगरेशन ने mysqldump कमांड स्ट्रिंग के भीतर db_pass पैरामीटर का उपयोग किया:

shell: "mysqldump -u {{ db_user }} -p'{{ db_pass }}' {{ db_name }} > /opt/backups/backup.sql"
arguments:
  - name: db_pass
    type: password

यह कॉन्फ़िगरेशन एक गंभीर कमांड इंजेक्शन भेद्यता (CVE-2026-27626) पेश करता है क्योंकि db_pass पैरामीटर एक शेल संदर्भ के भीतर सिंगल कोट्स में संलग्न है, लेकिन शेल नियंत्रण ऑपरेटरों (जैसे, सेमीकोलन ;, पाइप |, या बैकटिक्स) वाले इनपुट को ठीक से सैनिटाइज़ नहीं करता है।

---

5. शोषण रणनीति और निष्पादन (CVE-2026-27626)

5.1 SSH पोर्ट फ़ॉरवर्डिंग टनल सेटअप करना

चूंकि भेद्य OliveTin सेवा सख्ती से 127.0.0.1:1337 से बंधी है, Kali हमलावर मशीन से बाहरी अनुरोध Connection refused त्रुटि के साथ अवरुद्ध हो जाते हैं। सेवा के साथ इंटरफ़ेस करने के लिए, हमने SSH के माध्यम से एक स्थानीय पोर्ट-फ़ॉरवर्डिंग टनल स्थापित किया:

ssh -L 1337:127.0.0.1:1337 haris@<TARGET_IP>

5.2 एक्सप्लॉइट पेलोड तैयार करना और निष्पादित करना

OliveTin API एंडपॉइंट (/api/olivetin.api.v1.OliveTinApiService/StartAction) को लक्षित करने वाली एक Python एक्सप्लॉइट स्क्रिप्ट का उपयोग करते हुए, हमने भेद्य पैरामीटर वेक्टर में मनमाने सिस्टम कमांड इंजेक्ट किए।

मूल mysqldump कमांड रैपर में सख्त शेल सिंटैक्स और डायरेक्टरी निर्भरताओं के कारण, सीधी फ़ाइल निर्माण कभी-कभी एग्ज़िट स्टेटस त्रुटियों (जैसे गुम लक्ष्य निर्देशिकाएँ या अनुमति बाधाएँ) में परिणत हो सकती है। सटीक निष्पादन स्ट्रिंग्स तैयार करके या API भेद्यता के माध्यम से सीधे फ़ाइल सिस्टम को क्वेरी करके, हमने निष्पादन बाधाओं को दूर किया।

एक्सप्लॉइट इंटरफ़ेस के माध्यम से कमांड पेलोड चलाना:

python3 CVE-2026.27626.py -u http://127.0.0.1 -x "cat /root/root.txt"

निष्पादन आउटपुट:

[+] Execution ID: 7fd15259-3996-4e03-9ebd-329034ee4e0d
======================================================================
Command Output
======================================================================
exit status 127
Usage: mysqldump [OPTIONS] database [tables]
...
ae9306f5690c4812c6f9445027d0d060
sh: 1: : Permission denied
======================================================================

रूट फ्लैग सफलतापूर्वक सीधे कमांड आउटपुट स्ट्रीम के माध्यम से निकाला गया।

---

6. पोस्ट-एक्सप्लॉइटेशन और कम्प्रोमाइज़ का प्रमाण

• रूट फ्लैग प्राप्त: ae9306f5690c4812c6f9445027d0d060
• प्रशासनिक पर्सिस्टेंस: एक वैकल्पिक पर्सिस्टेंस तंत्र में कमांड इंजेक्शन वेक्टर के माध्यम से /root/.ssh/authorized_keys में एक SSH सार्वजनिक कुंजी जोड़ना शामिल है, जो निर्बाध प्रशासनिक टर्मिनल एक्सेस प्रदान करता है।

---

7. उपचार और रक्षा सिफ़ारिशें

1. इनपुट सैनिटाइज़ेशन और पैरामीटरीकरण: सुनिश्चित करें कि सिस्टम कमांड (जैसे OliveTin में डेटाबेस पासवर्ड) को पास किए गए एप्लिकेशन पैरामीटर अल्फ़ान्यूमेरिक कैरेक्टर सेट के विरुद्ध सख्ती से मान्य किए जाते हैं, कच्चे शेल मेटाकैरेक्टर को प्रतिबंधित करते हुए।
2. न्यूनतम विशेषाधिकार का सिद्धांत: OliveTin जैसे प्रबंधन ऑटोमेशन सॉफ़्टवेयर को root सुरक्षा संदर्भ के अंतर्गत चलाने से बचें जब तक कि बिल्कुल आवश्यक न हो। सेवाओं को न्यूनतम अनुमतियों वाले समर्पित सेवा खातों के अंतर्गत चलाएँ।
3. सॉफ़्टवेयर अपडेट: OliveTin और संबंधित ऑटोमेशन रैपर्स को पैच किए गए संस्करणों में अपग्रेड करें जहाँ टेम्पलेटेड पैरामीटर के माध्यम से कमांड इंजेक्शन भेद्यताओं को कम किया गया हो।
4. नेटवर्क सेगमेंटेशन: प्रबंधन इंटरफ़ेस को लूपबैक इंटरफ़ेस से बाइंडिंग को प्रतिबंधित करें यदि प्रशासनिक निरीक्षण के लिए मल्टी-फ़ैक्टर प्रमाणीकरण या नेटवर्क-स्तरीय एक्सेस कंट्रोल लिस्ट (ACLs) की आवश्यकता होती है।