TwoMillion
✍️ Autor: TRX & TheCyberGeek 🔍 Dificultad: Fácil 📅 Fecha de creación: 7/06/2023
Last updated
Was this helpful?
✍️ Autor: TRX & TheCyberGeek 🔍 Dificultad: Fácil 📅 Fecha de creación: 7/06/2023
Last updated
Was this helpful?
En primer lugar, tras conectarnos a la máquina, utilizamos el comando:
para verificar la conectividad de red.
A continuación, realizamos el comando:
para realizar un escaneo de puertos y servicios detallado en la dirección IP.
Como podemos observar durante el escaneo que el puerto 22 perteneciente al servicio SSH y el puerto 80 perteneciente al servicio HTTP están abiertos por lo que a continuación se indagará más.
Se utiliza el comando:
para que nos proporcione más información sobre esos puertos específicamente.
Revisamos el puerto 80.
Se asimila a la página oficial de Hack The Box pero no vemos nada interesante por lo que revisamos los directorios.
Nos llama la atención el directorio /invite se asimila a como se tenía que registrar la gente al principio en la plataforma ya que se necesitaba un código de invitación. Tras inspeccionar la página encontramos la función llamada makeInviteCode.
La llamamos.
Como vemos esta encriptada en ROT13 por lo que desencriptamos.
Realizamos lo que nos comunica la pista.
Está el código en base64 por lo que decodificamos.
Ponemos el código de invitación.
Nos logueamos con las credenciales registradas.
Vamos al apartado de Access. Miramos los endpoints de la API.
Nos sale Unauthorized por lo que tenemos que coger la cookie session.
No somos administradores. Tampoco podemos generar una VPN. Vemos que podemos actualizar datos del usuario así que probamos.
Nos avisa del email por lo que añadimos.
Nos dice que falta un parámetro por si es administrador.
Somos administradores lo que significa que la API está mal configurada. Por si acaso revisamos.
Intentamos generar una VPN ya que somos admin.
Matizamos lo que se nos avisa.
Ahora nos pide el parámetro username.
La respuesta ya no está en JSON por lo que lo quitamos.
Genera una VPN por el usuario que le diga. Por lo que hacemos lo siguiente.
Somos www-data por lo que tenemos RCE.
Nos conectamos.
Tenemos un fichero .env interesante mostramos su contenido.
Migramos de usuario.
Al estar dentro y ejecutar:
aún no somos root, por lo que hacemos:
para ver si hay algo para explotar pero nos pide contraseña. Tampoco tenemos permisos SUID.
Nos dice que tenemos un mail.
Al ver la información del sistema en el que nos encontramos encontramos este exploit.
Nos lo descargamos en nuestra máquina víctima tras comprimirlo en nuestra máquina anfitrión.
Abrimos otra terminal y nos logueamos a través de ssh y también nos situamos en el directorio /tmp/CVE-2023-0386.
Tras realizar esto nos convertimos en root.
