HTB OneTwoSeven — الدليل الكامل

شرح كامل من البداية إلى النهاية لماكينة OneTwoSeven، وهي جهاز لينكس متقاعد من HackTheBox. السلسلة الكاملة: توليد حتمي لبيانات الاعتماد → هروب من chroot عبر الروابط الرمزية في SFTP → استعادة ملف المبادلة الخاص بـ vim → إعادة توجيه منفذ SSH إلى لوحة إدارة محمية بجدار ناري → تجاوز قواعد Apache RewriteRule المُعلَّقة كتعليقات → RCE → CVE-2024-1086 (nf_tables UAF) للوصول إلى الجذر.

النقطة المحورية: لم يكن رفع الملحقات "المعطَّل" معطَّلاً — فمدير الإضافات switch يطابق على REQUEST_URI، لذا كان يمكن استغلال قاعدة إعادة الكتابة النشطة للتنزيل للوصول إلى مسار كود الرفع. كما أن الانهيار المتعمَّد بعد الاستغلال في ثغرة النواة فرض حمولة مصمَّمة للاستخراج.

الأعلام

• المستخدم: 94ab980a4ab2c7c1eb8c7f78334d5a5e
• الجذر: 42379deee25d3b678a7f0df5c055e888

نظرة عامة على السلسلة

1. توليد بيانات الاعتماد حتمي — password = md5(REMOTE_ADDR)[:8]، وusername = "ots-" + base64(pw[3:]) → كل عنوان IP يحصل على حساب SFTP خاص به، و127.0.0.1 ينتج حساب المدير.
2. الهروب من chroot في SFTP عبر الروابط الرمزية — يتيح SFTP المقيد داخل chroot الروابط الرمزية؛ ويقوم Apache بحلها خارج chroot → قراءة /etc/passwd → اكتشاف حساب المدير عبر حقل GECOS (127.0.0.1).
3. ملف مبادلة vim للجذر — تم استرداد .login.php.swp من مجلد المدير المنزلي → بيانات اعتماد اللوحة ots-admin / Homesweethome1 (تم كسر SHA-256 باستخدام john + rockyou).
4. إعادة توجيه منفذ SSH — يسمح حساب SFTP الخاص بالمدير بإعادة التوجيه عبر -L رغم /bin/false → الوصول إلى لوحة الإدارة المحمية بجدار ناري على المنفذ 60080.
5. تجاوز RewriteRule — الرفع "معطَّل" في .htaccess، لكن قاعدة إعادة الكتابة الخاصة بـ نشطة؛ يقوم مدير الإضافات بالتبديل بناءً على → يضع قشرة PHP في → .

المحتويات

README.md     - this overview
WRITEUP.md    - the full walkthrough (recon → user → panel → RCE → root, findings, lessons, timeline)
LICENSE       - MIT

ملاحظة: الشرح التفصيلي (WRITEUP.md) مكتوب بالإسبانية؛ هذا README هو الملخص التنفيذي بالإنكليزية.

المهارات المُقدَّمة

الدروس المستفادة

1. الميزة "المعطَّلة" التي لا تُنفَّذ إلا عبر RewriteRule مُعلَّقة كتعليق ليست عنصر أمان — بل مسار عقبات.
2. إن SFTP chroot بدون nosymlinks زخرفي عندما تقوم خدمة مجاورة (Apache) بحل المسارات خارجه.
3. تتطلب الاستغلالات التي تُحدث انهيارات متعمَّدة أن تقوم الحمولة باستخراج البيانات في اللحظة نفسها التي تحصل فيها على الجذر.
4. env_keep في sudo -l ليس زخرفة أبدًا — إذا كانت الوكلاء محفوظة، يمكن اعتراض حركة مرور الأمر المسموح به (MITM).

المؤلف

Axel Feduzka · GitHub @dopaminauta · [email protected]

شرح تدريبي على جهاز HackTheBox متقاعد. نُفذت جميع الهجمات في بيئة مختبرية مرخَّصة؛ تم تعقيم عناوين IP المستهدفة.

Solve et Coagula — مقيَّد بـ EMET، مدفوع بـ AHAVA.