> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-easy/delivery-hackthebox-writeup.md). # Разбор HackTheBox Delivery Разбор Easy Linux-машины HackTheBox Delivery, охватывающий перечисление виртуального хостинга, злоупотребление системой тикетов поддержки, доступ к MatterMost, утечку информации, с практическими заметками по перечислению, эксплуатации, {% embed url="" %} {% hint style="warning" %} **Навыки:** * Перечисление виртуального хостинга * Злоупотребление системой тикетов поддержки * Доступ к MatterMost * Утечка информации * Перечисление базы данных - MYSQL * Взлом хэшей * Эксперименты с правилами hashcat для создания паролей * Эксперименты с sucrack, чтобы узнать пароль пользователя {% endhint %} ## Разведка **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

**Проверка подключения к VPN** Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

**Обнаружение открытых портов с помощью Nmap:** Перечислите открытые порты и экспортируйте результаты в файл "allPorts" в каталоге Nmap: ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 -vvv 10.10.10.222 -oG allPorts ```

**Анализ открытых портов с extractPorts:** Используем функцию extractPorts, чтобы отобразить открытые порты в кратком формате и скопировать их в буфер обмена (22,80,8085)

**Сканирование версий портов с помощью Nmap:** Используйте Nmap для сканирования версий служб и сохраните вывод в файл "targeted": ```bash nmap -sCV -p22,80,8065 10.10.10.222 -oN targeted ```

### Порт 80:

**Выявление информации с помощью WhatWeb:** Запуск WhatWeb выявляет пользователя **jane** с адресом электронной почты ****. ```bash whatweb 10.10.10.222 ```

Также мы находим домен **delivery.htb** и поддомен **helpdesk.delivery.htb**.

**Настройка файла /etc/hosts** Мы добавляем IP-адрес цели в наш `/etc/hosts` файл, чтобы упростить локальное разрешение DNS.

## **Центр поддержки - HelpDesk :** Эта `helpdesk.delivery.htb` поддомен позволяет создавать тикеты поддержки. Мы пытаемся создать учетную запись со следующей информацией:

**Открытие тикета** * `jordan@delivery.com`

Открывается новый тикет, и мы получаем письмо, содержащее идентификатор: * **Электронная почта** : <7990131@delivery.htb> * **ID тикета**: 7990131

При проверке тикета мы используем наш собственный адрес электронной почты (****), хотя мы его не создавали, а также номер полученного тикета (**7990131**).

Это позволяет нам получить доступ к связанной почтовой ячейке.

### Порт 8065 - Mattermost **Обнаружение Mattermost:** Порт **8065** размещает **Mattermost** CMS.

**Попытка создать учетную запись:** Мы пытаемся создать учетную запись, затем используем адрес электронной почты: <7990131@delivery.htb> имя: jordan1 пароль Jordan1234#

Мы получаем сообщение с подтверждением, содержащее **token** для активации учетной записи:

{% code overflow="wrap" %} ``` http://delivery.htb:8065/do_verify_email?token=hs36amqfpkm3hcguxsmrton83e7a9k7xp595rga6zhwzd35awf1krpftfqink3go&email=7990131%40delivery.htb ``` {% endcode %}

После подтверждения мы подключаемся с нашими учетными данными и получаем доступ к Mattermost **панели управления**.

**Восстановление учетных данных** В **"Переключить каналы"** в разделе мы находим сообщение, содержащее имя пользователя и пароль: * **Имя пользователя**: `maildeliverer` * **Пароль**: Youve/\_G0t/\_Mail!

Затем мы пытаемся установить SSH-соединение с этими учетными данными: ```bash ssh maildeliverer@delivery.htb ```

### Флаг user.txt :)

## **Повышение привилегий** Мы переходим в корень системы, в `/var/www/html/osticket` и ищем по слову **пароль**: ```bash grep -ir "password" ``` Мы не находим ничего интересного. Теперь мы будем искать информацию о **Mattermost** путем фильтрации запущенных процессов: ```bash ps -faux ```

Мы замечаем, что Mattermost установлен в `/opt` и находим **config.json** файле.

Открыв его, мы обнаруживаем учетные данные для базы данных SQL:

* Имя пользователя: `mmuser` * Пароль: `Crack_The_MM_Admin_PW` ### Подключение к MySQL Мы используем эти учетные данные для подключения к базе данных: ```bash mysql -u mmuser -p ``` Мы выводим список баз данных: ```sql show databases; use mattermost ```

Мы выводим доступные таблицы и описываем структуру **Пользователи** таблице: ```sql show tables; describe Users; ```

Наконец, мы выбираем **Имя пользователя** и **Пароль** столбцами: ```sql select Username, Password from Users; ``` Затем мы находим **хэш пароля root:** `$2a$10$VM6EeymRxJ29r8Wjkr8Dtev0O.1STWb4.4ScG.anuu7v0EFJwgjjO`

### 1. Брутфорс - хэш Мы используем **hashid** для определения типа хеша: ```bash хеш hashid ```

Хеш идентифицирован как **bcrypt**. С **John the Ripper**, мы запустим атаку перебором, указав **bcrypt** формат: ```bash john --format=bcrypt hash -w /usr/share/wordlists/rockyou.txt ``` Однако это не работает с **rockyou.txt**, пароль не найден.

Наблюдая за групповым чатом, мы замечаем, что они прямо говорят, что пароль **"PleaseSubscribe!"** используется повторно. Этот пароль не появляется в **rockyou.txt**, но хакер мог бы использовать **hashcat** для генерации вариаций.

### Варианты пароля - Hashcat **Создание вариантов с помощью Hashcat** С **hashcat**, мы создадим варианты пароля: ```bash hashcat --stdout -r /usr/share/hashcat/rules/best64.rule password ```

Затем мы попытаемся взломать хеш с помощью **hashcat** и нового словаря: ```bash hashcat -m 3200 -a 0 hash passwords ``` Найденный пароль: **PleaseSubscribe!21**

### 2. Перебор «su» - sucrack Мы начнём атаку против **su**: ```bash sucrack -w 20 -u root passwords ```

Это сообщает нам, что пароль верный: **PleaseSubscribe!21** Мы успешно вошли как **root**.

### Флаг root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-easy/delivery-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.