Ruby für Pentester

Installiere Ruby 4, lerne irb kennen und schreib dein allererstes Skript — einen HTTP-Client, der ein Ziel fingerabdruckt. Wir richten ihn auf die pensionierte HackTheBox-Maschine Bizness und bestätigen, was läuft.

OFBiz hat einen Authentifizierungs-Bypass (CVE-2023-51467). Wir gießen ihn in eine wiederverwendbare Ruby-Methode, lernen, wie Funktionen und Konstanten funktionieren, und bestätigen, dass wir am Login vorbei sind.

Wir richten den Auth-Bypass auf OFBiz' ProgramExport-Screen, POSTen einen Groovy-Payload und führen unser erstes Kommando auf der Box aus. Nebenbei lernst du POST-Anfragen, Hashes und wie man Daten aus einer Response herauszieht.

Reflektierte Ausgabe ist umständlich. Wir schreiben unseren eigenen TCP-Listener in Ruby, um eine interaktive Reverse-Shell zu fangen — und lernen dabei Sockets und Threads.

Mit einer Shell als ofbiz gehen wir dem Admin-Passwort-Hash nach. OFBiz' eingebettete Derby-Datenbank liegt als flache Dateien auf der Platte — wir greppen sie und lernen dann Regex und Dateiverarbeitung, um den Hash sauber herauszuziehen.

Der Admin-Hash liegt in keinem Standardformat vor, das hashcat mitbringt — also bilden wir OFBiz' genaues Hashing in Ruby nach und bruten es gegen eine Wortliste. Dann bauen wir einen Thread-Pool, um es zu parallelisieren — und treffen die GVL, den Grund, warum Teil 4's Threads Netzwerkarbeit beschleunigten, reines Hashing aber nicht.

Das geknackte Passwort ist auch das von root — schlichte Passwort-Wiederverwendung. Wir setzen es zum Eskalieren ein und lernen die wenigen Wege, wie Ruby externe Programme ausführt — system, Backticks, Open3 — und enden mit einem PTY, um ein interaktives su zu steuern.

Mehrere Wegwerf-Skripte, die alle denselben HTTP-Client neu aufbauen. Wir falten sie in eine wiederverwendbare Klasse und geben ihr mit OptionParser eine echte Kommandozeilen-Schnittstelle — der Sprung vom Skripten zum Werkzeug.

Ein Werkzeug, das du erneut ausführst, verdient ein Sicherheitsnetz. Wir lernen minitest kennen, Rubys eingebautes Test-Framework, und wie man testbaren Code schreibt — die Logik, die du prüfen kannst, vom Netzwerk trennen, das du nicht prüfen kannst.

Das Finale. Ein Metasploit-Modul ist nur eine Ruby-Klasse in der Form des Frameworks — also heben wir genau die OFBiz-Kette hinein und lassen uns vom Framework HTTP, Optionen, Payloads und eine Shell gratis reichen.