> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-easy/greenhorn-hackthebox-writeup.md). # Greenhorn HackTheBox 复盘 Greenhorn HackTheBox 简单 Linux 机器复盘，涵盖在 Git 仓库中发现嵌入式密码、未加哈希的 SHA-512 密码、Pluck 利用、解密像素化密码（使用 DEPIX {% embed url="" %} {% hint style="warning" %} **技能：** * 在 Git 仓库中发现嵌入的密码 * 未哈希的 SHA-512 密码 * Pluck 利用 * 解密像素化密码（使用 DEPIX） {% endhint %} ## 侦察 **工作区设置：** 通过创建三个文件夹来设置工作区，用于存放重要内容、漏洞利用和 Nmap 侦察结果。

**VPN 连接检查** 检查 VPN 连接，以确保与目标机器的稳定通信。

**使用 Nmap 发现开放端口：** 枚举开放端口，并将结果导出到 Nmap 目录中的“allPorts”文件： ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.25 -oG allPorts ```

**使用 extractPorts 分析开放端口：** 使用 extractPorts 函数以简洁格式显示开放端口并将其复制到剪贴板（22,80,3000）

**使用 Nmap 进行端口版本扫描：** 使用 Nmap 扫描服务版本，并将输出保存到“targeted”文件中： ```bash nmap -sCV -p80,22,3000 10.10.11.25 -oN targeted ```

要通过 DNS 将域名解析为 IP 地址，请将与其 IP 地址相关联的域名插入到 `/etc/hosts` 文件。

### **密码发现：** 在 3000 端口上我们发现了一个类似 Git 的暴露服务，类似于 GitHub，但供企业内部使用

我们继续创建一个账户

在项目文件中，我们找到一个包含密码的文件，位于“`pass.php`":

``` d5443aef1b64544f3685bf112f6c405218c573c7279a831b1fe9612e3a4d770486743c5580556c0d838b51749de15530f87fb793afdcc689b6b39024d7790163 ```

这个哈希是 SHA512。解密后，我们得到密码 **`iloveyou1`**. {% embed url="" %}

## Pluck CMS 漏洞在 80 端口上我们发现了一个 Pluck Web 服务。

该 `login.php` 该文件需要密码才能访问管理界面。

该内容管理器的版本为 `4.7.18`，存在远程代码执行（RCE）漏洞。

{% embed url="" %} ### 利用阶段： 1. 克隆包含利用脚本的仓库： ```bash git clone https://github.com/Rai2en/CVE-2023-50564_Pluck-v4.7.18_PoC.git cd CVE-2023-50564_Pluck-v4.7.18_PoC ``` 2. 我们修改 `poc.py` 脚本，填入服务器 IP 地址和密码“*iloveyou1*".

2. 接下来，创建一个 `payload.zip` 包含恶意载荷的文件，并将 `` 和端口字段调整为与我们的监听器匹配。

5. 我们运行利用脚本： ```bash python poc.py /home/jordan/......./payload.zip ```

同时，我们在端口上打开一个监听会话 `4444` ，使用 Netcat 并以用户身份获得服务器访问权限 `www-data`.

通过检查 `/etc/passwd` 文件，我们发现用户“junior”。我们成功使用密码连接 **iloveyou1**:

### 已获得 user.txt 标志：

## 权限提升 1. 我们找到该 PDF 文件： `使用 OpenVAS.pdf`. 2. 使用 Python 3 传输文件，运行： ```bash python3 -m http.server 1234 ```

3. 我们使用以下命令下载 PDF 文件：

wget http://10.10.11.25:1234/Using%20OpenVAS.pdf

打开这个文件时，我们发现了管理员账户的像素化密码

### 密码解密：要破解隐藏的密码，我们使用 Depix 软件： {% embed url="" %}

```bash git clone https://github.com/spipm/Depix cd Depix ``` 接下来，我们执行命令： ```bash python3 depix.py / -p pixel.png / -s images/searchimages/debruinseq_notepad_Windows10_closeAndSpaced.png / -o /home/jordan/Desktop/password.png ```

解密后的密码是：

`sidefromsidetheothersidesidefromsidetheotherside` 我们使用这个密码以 root 用户身份登录。

### root 的 flag :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-easy/greenhorn-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.