root
bash -i >& /dev/tcp/localhost/1337 0>&1
HackTheBox - Checkpoint
· ✍️ sckull
bloodyad restore-object-ad bloodyad-bloodhound password-spraying malicious-vs-code-ext yeoman vsce rubeus SharpSuccessor badS4U2self volatility volatility-hashdump netexec-ntds
En Checkpoint identificamos y restauramos un objeto eliminado para obtener informacion con el colector de Bloodhound. Con la informacion recabada, realizamos Password Spraying para identificar credenciales validas para a un usuario. Identificamos un recurso en samba para este usuario donde aloja extensiones VS Code, creamos una extension maliciosa para la ejecucion de comandos y lograr acceso inicial. Realizamos un ataque de BadSuccessor para el acceso a un nuevo usuario. Finalmente escalamos privilegios tras extraer credenciales en un volcado de memoria.
HackTheBox - Checkpoint
HackTheBox - Silentium
· ✍️ sckull
ffuf flowiseai-3.0.5 exposure-sensitive-information CVE-2025-59528 docker gogs-0.13.3 mailhog CVE-2025-64111 symlink-prives-gogs
Silentium corre Flowise AI con multiples vulnerabilidades. La primera permitio obtener el token para un usuario que posteriormente utilizamos en una segunda para obtener acceso inicial en un contenedor de docker. En este se encontraron credenciales en las variables de entorno que nos permitio el acceso por SSH. Finalmente se escalaron privilegios mediante una version de gogs vulnerable con enlaces simbolicos.
HackTheBox - Silentium
HackTheBox - Cobblestone
· ✍️ sckull
xss web-privesc sqli sqli-file-priv mysql portforwarding cobbler python CVE-2024-47533 cobbler-write_autoinstall_template cobbler-background_aclsetup
En Cobblestone se identifico y exploto una vulnerabilidad SQL Injection lo que permitio la lectura y escritura de archivos para posteriormente obtener acceso inicial. Credenciales dentro de una base de datos dieron acceso a un nuevo usuario. Cobbler se ejecutaba localmente, se ejecuto port forwarding para interactuar con la API donde se identifico una vulnerabilidad que permite realizar cambios con credenciales conocidas. La escalada de privilegios se realizo a traves de la ejecucion de una plantilla con los componentes de Cobbler, tambien a traves de Command Injection con la informacion de un Issue en el repositorio de este.
HackTheBox - Cobblestone
HackTheBox - Helix
· ✍️ sckull
nifi nifi-1.21.0 CVE-2023-40037 nifi-ExecuteSql nifi-ExecuteProcess pdf2john OPC-UA-Server asyncua-python opcua-client-python
En Helix se realizo una enumeracion de subdominios para descubrir Nifi. A traves de esta ultima logramos la ejecucion de comandos y acceso inicial. Se encontro una clave privada para SSH que permitio el acceso a un nuevo usuario. Se interactuo con un servidor 'OPC UA' y, basados en la documentacion, se modificaron valores para cambiar el estado del sistema que junto a un script con ejecucion sudo permitio escalar privilegios.
HackTheBox - Helix
HackTheBox - Kobold
· ✍️ sckull
privatebin-2.0.2 mcpjam-inspector-1.4.2 arcane-1.13.0 CVE-2025-64714 CVE-2026-23744 ffuf nginx-files LFI docker-privesc
En Kobold se enumeraron subdominios donde se identifico software/aplicaciones que, basadas en sus versiones se descubrieron vulnerabilidades. La primera, MCPJam Inspector con una del tipo RCE que permitio el acceso inicial. Una segunda en PrivateBin del tipo LFI, permitio la lectura de la configuracion para descubrir credenciales. Esta ultima permitio acceso a Arcane para escalar privilegios con un contenedor privilegiado de Docker.
HackTheBox - Kobold
HackTheBox - Fries
· ✍️ sckull
pwm ffuf gitea pgadmin-9.1 postgresql shell-via-sql docker metasploit CVE-2025-2945 ligolo-ng nmap nfs nfsshell docker-certificate-auth pwm-ldap-creds hashcat responder bloodhound gmsa evil-winrm ESC7 ESC6 ESC16 certify certipy evil-winrm-py
En Fries se descubrieron varios subdominios: uno aloja un repositorio con credenciales y otro, exponia una instancia de pgAdmin vulnerable. Esta permitio acceder a dos contenedores Docker donde se descubrieron nuevas credenciales. Tras realizar pivoting se identifico un contenedor que exponia un recurso NFS con certificados. Las credenciales encontradas permitieron el acceso por SSH a un host Linux; dentro, utilizamos los certificados para escalar privilegios. Tambien, descubrimos credenciales para PWM lo que permitio obtener nuevas credenciales. Con estas ultimas ejecutamos Bloodhound lo que permitio identificar permisos que dieron el acceso a un nuevo usuario y, a traves de este se explotaron ESC7, ESC6 y ESC16 para escalar privilegios en el dominio.
HackTheBox - Fries
HackTheBox - Logging
· ✍️ sckull
logs-file bloodhound GenericWrite shadow-credential-attack scheduled-task ILSPy dll reverse-shell-dll wsus-https certify certipy dnstool wsuks mimikatz
Logging expone archivos de log en el servicio de samba donde se descubrieron credenciales. Esto ultimo y el analisis de Bloodhound permitio acceso por WinRM. Se encontro una tarea programada para un ejecutable que busca actualizaciones y la ejecucion de una funcion en un archivo dll. Se creo una nueva actualizacion con una shell inversa para lograr el acceso a un nuevo usuario. Finalmente se realizo la explotacion de WSUS para escalar privilegios.
HackTheBox - Logging
HackTheBox - DevArea
· ✍️ sckull
vsFTPd-3.0.5 jadx java-jar Apache-CXF-3.2.14 CVE-2022-46364 Jetty-9.4.27 HoverFly-1.11.3 CVE-2025-54123 SSRF writable-bash reverse-tunnel chisel suid
DevArea expone el servicio FTP, donde se encontro un archivo JAR para un servicio web SOAP corriendo en Apache CXF. Este ultimo es vulnerable a SSRF, lo que permitio realizar la lectura de credenciales en un servicio de Linux. Finalmente se escalaron privilegios a traves de un script con sudo y permisos de escritura sobre bash.
HackTheBox - DevArea
HackTheBox - WingData
· ✍️ sckull
ffuf searchsploit CVE-2025-47812 Wing-FTP-Server-7.4.3 hash-sha-256-salt hashcat python3-tarfile CVE-2025-4517
En WingData descubrimos Wing FTP Server en una version vulnerable que permitio el acceso inicial. Los archivos de configuracion para este, permitieron exponer credenciales para un primer usuario. Escalamos privilegios a traves de una vulnerabilidad en TarFile de Python para la escritura de archivos a traves de enlaces simbolicos.
HackTheBox - WingData