> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/delivery-hackthebox-writeup.md). # Delivery HackTheBox攻略記事仮想ホスティング列挙、サポートチケットシステムの悪用、MatterMostへのアクセス、情報漏えいを扱うDelivery HackTheBox Easy Linuxマシンの攻略記事。実践的な列挙、侵入、 {% embed url="" %} {% hint style="warning" %} **スキル:** * 仮想ホスティングの列挙 * サポートチケットシステムの悪用 * Mattermost へのアクセス * 情報漏えい * データベース列挙 - MySQL * ハッシュのクラック * パスワードを作成するために hashcat ルールを使う * sucrack を使ってユーザーのパスワードを見つける {% endhint %} ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。

**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

**Nmap による開いているポートの検出:** 開いているポートを列挙し、結果を Nmap ディレクトリ内の「allPorts」ファイルに出力します: ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 -vvv 10.10.10.222 -oG allPorts ```

**extractPorts による開いているポートの分析:** extractPorts 関数を使って開いているポートを簡潔な形式で表示し、クリップボードにコピーする（22,80,8085）

**Nmapによるポートバージョンスキャン：** Nmap を使ってサービスのバージョンをスキャンし、出力を「targeted」ファイルに保存します: ```bash nmap -sCV -p22,80,8065 10.10.10.222 -oN targeted ```

### ポート80:

**WhatWeb による情報の特定:** WhatWeb を実行するとユーザーが判明する **jane** メールアドレスは ****. ```bash whatweb 10.10.10.222 ```

また、ドメインも見つかる **delivery.htb** そしてサブドメイン **helpdesk.delivery.htb**.

**/etc/hosts ファイルの設定** ターゲットの IP アドレスを私たちの `/etc/hosts` ローカル DNS 解決を容易にするためのファイルに追加する。

## **サポートセンター - HelpDesk：** その `helpdesk.delivery.htb` このサブドメインではサポートチケットを作成できます。次の情報でアカウントを作成しようとしています：

**チケットを開く** * `jordan@delivery.com`

新しいチケットが開かれ、識別子を含むメールが届く： * **メール** : <7990131@delivery.htb> * **チケット ID**: 7990131

チケットを確認するときは、自分のメールアドレス（****）を使います。これは作成していませんが、受け取ったチケット番号（**7990131**).

これにより、関連付けられたメールボックスにアクセスできます。

### ポート 8065 - Mattermost **Mattermost の発見:** ポート **8065** をホストしている **Mattermost** CMS。

**アカウントの作成を試みる:** アカウントを作成しようとして、その後メールアドレス: <7990131@delivery.htb>、名前: jordan1、パスワード: Jordan1234# を使用します

検証メッセージを受信し、そこには **token** アカウントを有効化するための

{% code overflow="wrap" %} ``` http://delivery.htb:8065/do_verify_email?token=hs36amqfpkm3hcguxsmrton83e7a9k7xp595rga6zhwzd35awf1krpftfqink3go&email=7990131%40delivery.htb ``` {% endcode %}

検証後、資格情報でログインし、Mattermost の **管理パネルにアクセスする**.

**資格情報の回収** その **「チャンネルを切り替える」** セクションで、ユーザー名とパスワードを含むメッセージを見つける： * **ユーザー名**: `maildeliverer` * **パスワード**: Youve/\_G0t/\_Mail!

その後、これらの資格情報で SSH 接続を試みる： ```bash ssh maildeliverer@delivery.htb ```

### フラグ user.txt :)

## **権限昇格** システムのルートへ移動し、 `/var/www/html/osticket` フォルダ内で、単語 **パスワード**: ```bash grep -ir "password" ``` 特に興味深いものは見つからない。これから、次の情報を探す： **Mattermost** 実行中のプロセスを絞り込むことで： ```bash ps -faux ```

Mattermost が次の場所にインストールされていることに気づく `/opt` そして **config.json** ファイルに存在するユーザーに対して試します。

開くと、SQL データベースの資格情報が見つかる：

* ユーザー名: `mmuser` * パスワード: `Crack_The_MM_Admin_PW` ### MySQL への接続これらの資格情報を使ってデータベースに接続する： ```bash mysql -u mmuser -p ``` データベースを一覧表示する： ```sql show databases; use mattermost ```

利用可能なテーブルを一覧表示し、次の構造を確認する： **ユーザー** テーブル: ```sql show tables; describe Users; ```

最後に、次を選択する： **ユーザー名** および **パスワード** 列: ```sql select Username, Password from Users; ``` その結果、次が見つかる： **root のパスワードのハッシュ：** `$2a$10$VM6EeymRxJ29r8Wjkr8Dtev0O.1STWb4.4ScG.anuu7v0EFJwgjjO`

### 1. 総当たり攻撃 - ハッシュ次を使用します **hashid** ハッシュの種類を識別するには: ```bash hashid ハッシュ ```

このハッシュは次のように識別されます **bcrypt**. 次の **John the Ripper**、次を指定して総当たり攻撃を開始する： **bcrypt** 形式： ```bash john --format=bcrypt hash -w /usr/share/wordlists/rockyou.txt ``` しかし、次ではうまくいかない： **rockyou.txt**、パスワードは見つからない。

グループチャットを観察すると、パスワードが **「PleaseSubscribe!」** が再利用されていると直接述べていることに気づく。このパスワードは **rockyou.txt**には見当たらないが、攻撃者は **hashcat** を使って派生形を生成できる。

### パスワードのバリエーション - Hashcat **Hashcatによるバリアントの生成** 次の **hashcat**、パスワードのバリエーションを作成します: ```bash hashcat --stdout -r /usr/share/hashcat/rules/best64.rule password ```

次に、以下を使用してハッシュのクラックを試みます **hashcat** および新しい辞書を使用して: ```bash hashcat -m 3200 -a 0 hash passwords ``` 見つかったパスワードは: **PleaseSubscribe!21**

### 2. 「su」に対する総当たり攻撃 - sucrack 〜に対して攻撃を開始します **su**: ```bash sucrack -w 20 -u root passwords ```

これでパスワードが正しいことがわかります： **PleaseSubscribe!21** 〜として正常にログインしました **root**.

### root.txt フラグ :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/delivery-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.