Hack The Box: Enigma - تقرير شامل لاختبار الاختراق والكتابة التفصيلية

1. الملخص التنفيذي

Enigma هي آلة Linux متوسطة المستوى مستضافة على Hack The Box. تتبع منهجية التقييم دورة حياة اختبار الاختراق القياسية: الاستطلاع، التعداد، الوصول الأولي عبر جمع بيانات الاعتماد، التعداد المحلي، وترقية الصلاحيات إلى root من خلال ثغرة في طبقة الخدمة (CVE-2026-27626 في OliveTin). يوضح هذا التقرير تحليل المتجهات خطوة بخطوة، والأدوات المستخدمة، واستراتيجيات تنفيذ الأوامر، وإرشادات المعالجة المطلوبة لاختراق الهدف بالكامل وتأمين السيطرة الإدارية.

2. جمع المعلومات والاستطلاع

2.1 فحص منافذ الشبكة (Nmap)

بدأ التقييم بفحص TCP SYN لتحديد المنافذ المفتوحة والخدمات التي تعمل على المضيف الهدف.

nmap -p- --min-rate=1000 -T4 <TARGET_IP>

نتائج الفحص:

• المنفذ 22/tcp (SSH): مفتوح، خدمة OpenSSH تعمل.
• المنفذ 80/tcp (HTTP): مفتوح، خادم ويب Nginx/Apache يستضيف تطبيق ويب.
• المنفذ 2049/tcp (NFS): مفتوح، خدمة مشاركة الملفات عبر الشبكة.

2.2 تعداد الويب وكسر الأدلة بالقوة الغاشمة

باستخدام أدوات اكتشاف الأدلة (gobuster / ffuf)، قمنا بفحص خدمة الويب على المنفذ 80 للكشف عن نقاط نهاية مخفية، أو بوابات إدارية، أو ملفات تكوين.

• تم اكتشاف واجهة ويب عامة ومنشورات مدونة للمطورين توضح مكونات البنية التحتية الداخلية.
• تم تحديد مسارات تطبيق محتملة متعلقة بملفات تكوين قواعد البيانات ونصوص الأتمتة.

3. الوصول الأولي (اختراق مستوى المستخدم)

3.1 اكتشاف بيانات الاعتماد

من خلال التحليل المفصل لملفات تطبيق الويب ومشاركات NFS المساعدة، اكتشفنا بيانات اعتماد مطور صالحة.

• اسم المستخدم: haris
• كلمة المرور: bestfriends

3.2 إنشاء صدفة المستخدم عبر SSH

باستخدام بيانات الاعتماد المكتشفة، قمنا بالمصادقة على خدمة SSH لإنشاء صدفة تفاعلية منخفضة الصلاحيات على النظام الهدف:

ssh haris@<TARGET_IP>

• تم الحصول على صدفة تفاعلية: haris@enigma:~$
• تم تحديد واسترجاع علم المستخدم بنجاح (user.txt).

4. التعداد المحلي واكتشاف ترقية الصلاحيات

4.1 تدقيق الخدمات الداخلية

بعد إنشاء صدفة على مستوى المستخدم، راجعنا المنافذ المحلية المستمعة والعمليات النشطة لتحديد أسطح الهجوم المحتملة غير المكشوفة خارجيًا:

ss -tulpn

الاكتشاف الرئيسي:

• كانت خدمة إدارة الأتمتة OliveTin تعمل محليًا على 127.0.0.1:1337 بصلاحيات root.

4.2 تحليل تكوين OliveTin والثغرات

كشف الفحص الإضافي لملف تكوين تطبيق OliveTin (/opt/OliveTin/config.yaml) أن إجراءات النسخ الاحتياطي لقاعدة البيانات تم تنفيذها عبر غلاف shell. على وجه التحديد، استخدم التكوين معامل db_pass داخل سلسلة أمر mysqldump:

shell: "mysqldump -u {{ db_user }} -p'{{ db_pass }}' {{ db_name }} > /opt/backups/backup.sql"
arguments:
  - name: db_pass
    type: password

يقدم هذا التكوين ثغرة حقن أوامر حرجة (CVE-2026-27626) لأن معامل db_pass محاط بعلامات اقتباس فردية داخل سياق shell، لكنه لا يقوم بتنقية المدخلات التي تحتوي على عوامل تحكم shell (مثل الفواصل المنقوطة ;، أو الأنابيب |، أو علامات الاقتباس الخلفية).

5. استراتيجية الاستغلال والتنفيذ (CVE-2026-27626)

5.1 إعداد نفق إعادة توجيه منفذ SSH

نظرًا لأن خدمة OliveTin المصابة مرتبطة بشكل صارم بـ 127.0.0.1:1337، فإن الطلبات الخارجية من جهاز Kali المهاجم يتم حظرها بخطأ Connection refused. للتفاعل مع الخدمة، أنشأنا نفق إعادة توجيه منفذ محلي عبر SSH:

ssh -L 1337:127.0.0.1:1337 haris@<TARGET_IP>

5.2 صياغة وتنفيذ حمولة الاستغلال

باستخدام نص استغلال Python يستهدف نقطة نهاية OliveTin API (/api/olivetin.api.v1.OliveTinApiService/StartAction)، قمنا بحقن أوامر نظام عشوائية في متجه المعامل المصاب.

نظرًا لصرامة صيغة shell واعتماديات الأدلة في غلاف أمر mysqldump الأصلي، قد يؤدي إنشاء الملفات المباشر أحيانًا إلى أخطاء في حالة الخروج (مثل الأدلة الهدف المفقودة أو قيود الصلاحيات). من خلال صياغة سلاسل تنفيذ دقيقة أو الاستعلام المباشر عن نظام الملفات عبر ثغرة API، تجاوزنا عقبات التنفيذ.

تشغيل حمولة الأمر عبر واجهة الاستغلال:

python3 CVE-2026.27626.py -u http://127.0.0.1 -x "cat /root/root.txt"

مخرجات التنفيذ:

[+] Execution ID: 7fd15259-3996-4e03-9ebd-329034ee4e0d
======================================================================
Command Output
======================================================================
exit status 127
Usage: mysqldump [OPTIONS] database [tables]
...
ae9306f5690c4812c6f9445027d0d060
sh: 1: : Permission denied
======================================================================

تم استخراج علم root بنجاح مباشرة من خلال تدفق مخرجات الأمر.

6. ما بعد الاستغلال وأدلة الاختراق

• تم الحصول على علم root: ae9306f5690c4812c6f9445027d0d060
• الاستمرارية الإدارية: تتضمن آلية استمرارية بديلة إضافة مفتاح SSH العام إلى /root/.ssh/authorized_keys عبر متجه حقن الأوامر، مما يمنح وصولاً سلسًا إلى الطرفية الإدارية.

7. توصيات المعالجة والدفاع

1. تنقية المدخلات والمعاملات: تأكد من أن معاملات التطبيق التي تُمرر إلى أوامر النظام (مثل كلمات مرور قواعد البيانات في OliveTin) يتم التحقق منها بدقة مقابل مجموعات الأحرف الأبجدية الرقمية، مع منع أحرف shell الوصفية الخام.
2. مبدأ أقل الصلاحيات: تجنب تشغيل برامج أتمتة الإدارة مثل OliveTin تحت سياق أمان root إلا عند الضرورة القصوى. شغّل الخدمات تحت حسابات خدمة مخصصة بأقل الصلاحيات.
3. تحديثات البرامج: قم بترقية OliveTin والأغلفة المرتبطة بالأتمتة إلى الإصدارات المصححة حيث يتم تخفيف ثغرات حقن الأوامر عبر المعاملات القالبية.
4. تقسيم الشبكة: قيّد واجهات الإدارة من الارتباط بواجهات loopback إذا كانت الرقابة الإدارية تتطلب مصادقة متعددة العوامل أو قوائم التحكم بالوصول على مستوى الشبكة (ACLs).