> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-easy/delivery-hackthebox-writeup.md). # Разбор Delivery на HackTheBox {% embed url="" %} {% hint style="warning" %} **Навыки:** * Перечисление виртуальных хостов * Злоупотребление системой тикетов поддержки * Доступ к Mattermost * Утечка информации * Перечисление базы данных — MySQL * Взлом хэшей * Работа с правилами hashcat для создания паролей * Использование sucrack, чтобы выяснить пароль пользователя {% endhint %} ## Разведка **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

**Проверка подключения VPN** Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

**Обнаружение открытых портов с помощью Nmap:** Перечислите открытые порты и экспортируйте результаты в файл "allPorts" в каталоге Nmap: ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 -vvv 10.10.10.222 -oG allPorts ```

**Анализ открытых портов с помощью extractPorts:** Используем функцию extractPorts для отображения открытых портов в кратком формате и копирования их в буфер обмена (22,80,8085)

**Сканирование версий портов с Nmap:** Используйте Nmap для сканирования версий сервисов и сохраните вывод в файл "targeted": ```bash nmap -sCV -p22,80,8065 10.10.10.222 -oN targeted ```

### Порт 80:

**Выявление информации с помощью WhatWeb:** Запуск WhatWeb выявляет пользователя **jane** с адресом электронной почты ****. ```bash whatweb 10.10.10.222 ```

Также мы находим домен **delivery.htb** и поддомен **helpdesk.delivery.htb**.

**Настройка файла /etc/hosts** Мы добавляем IP-адрес цели в наш `/etc/hosts` файл, чтобы упростить локальное разрешение DNS.

## **Support Center - HelpDesk :** У `helpdesk.delivery.htb` поддомен позволяет создавать тикеты поддержки. Мы пытаемся создать аккаунт со следующими данными:

**Создание тикета** * `jordan@delivery.com`

Открыт новый тикет, и мы получаем письмо, содержащее идентификатор: * **Эл. почта** : <7990131@delivery.htb> * **ID тикета**: 7990131

При проверке тикета мы используем наш собственный адрес электронной почты (****), хотя мы его не создавали, а также номер полученного тикета (**7990131**).

Это позволяет нам получить доступ к связанному почтовому ящику.

### Порт 8065 - Mattermost **Обнаружение Mattermost:** Порт **8065** размещает **Mattermost** CMS.

**Попытка создать аккаунт:** Мы пытаемся создать аккаунт, затем используем адрес электронной почты: <7990131@delivery.htb> имя: jordan1 пароль Jordan1234#

Мы получаем сообщение с подтверждением, содержащее **токен** для активации аккаунта:

{% code overflow="wrap" %} ``` http://delivery.htb:8065/do_verify_email?token=hs36amqfpkm3hcguxsmrton83e7a9k7xp595rga6zhwzd35awf1krpftfqink3go&email=7990131%40delivery.htb ``` {% endcode %}

После подтверждения мы подключаемся со своими учетными данными и получаем доступ к Mattermost **панель управления**.

**Восстановление учетных данных** В **«Переключить каналы»** в разделе мы находим сообщение, содержащее имя пользователя и пароль: * **Имя пользователя**: `maildeliverer` * **Пароль**: Youve/\_G0t/\_Mail!

Затем мы пытаемся подключиться по SSH с этими учетными данными: ```bash ssh maildeliverer@delivery.htb ```

### Флаг user.txt :)

## **Повышение привилегий** Переходим в корень системы, в `/var/www/html/osticket` папке и фильтруем по слову **пароль**: ```bash grep -ir "password" ``` Мы не находим ничего интересного. Теперь мы будем искать информацию для **Mattermost** путем фильтрации запущенных процессов: ```bash ps -faux ```

Мы замечаем, что Mattermost установлен в `/opt` и находим **config.json** файле.

Открыв его, мы обнаруживаем учетные данные для SQL-базы данных:

* Имя пользователя: `mmuser` * Пароль: `Crack_The_MM_Admin_PW` ### Подключение к MySQL Мы используем эти учетные данные для подключения к базе данных: ```bash mysql -u mmuser -p ``` Мы выводим список баз данных: ```sql show databases; use mattermost ```

Мы выводим доступные таблицы и описываем структуру **Users** таблице: ```sql show tables; describe Users; ```

Затем мы находим **Имя пользователя** и **Пароль** столбцов: ```sql select Username, Password from Users; ``` Затем мы находим **хеш пароля root:** `$2a$10$VM6EeymRxJ29r8Wjkr8Dtev0O.1STWb4.4ScG.anuu7v0EFJwgjjO`

### 1. Брутфорс — хеш Мы используем **hashid** для определения типа хэша: ```bash hashid hash ```

Хэш определяется как **bcrypt**. С **John the Ripper**, мы запустим атаку перебором, указав **bcrypt** формат: ```bash john --format=bcrypt hash -w /usr/share/wordlists/rockyou.txt ``` Однако это не работает с **rockyou.txt**, пароль не найден.

Наблюдая за групповым чатом, мы замечаем, что они прямо говорят, что пароль **"PleaseSubscribe!"** используется повторно. Этот пароль не встречается в **rockyou.txt**, но хакер мог бы использовать **hashcat** для генерации вариантов.

### Варианты паролей — Hashcat **Генерация вариантов с помощью Hashcat** С **hashcat**, мы создадим варианты пароля: ```bash hashcat --stdout -r /usr/share/hashcat/rules/best64.rule password ```

Затем мы попытаемся взломать хэш, используя **hashcat** и новый словарь: ```bash hashcat -m 3200 -a 0 hash passwords ``` Найденный пароль: **PleaseSubscribe!21**

### 2. Брутфорс для "su" — sucrack Мы запустим атаку против **su**: ```bash sucrack -w 20 -u root passwords ```

Это говорит нам, что пароль правильный: **PleaseSubscribe!21** Мы успешно входим как **root**.

### Флаг root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-easy/delivery-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.