Hackthebox
HackTheBox - Editor
· ✍️ sckull
xwiki-debian-15.10.8 CVE-2025-24893 groovy-expression netdata-v1.45.2 CVE-2024-32019 ndsudo portforwarding
Editor corre una version vulnerable de xWiki donde se logro la ejecucion de comandos para el acceso a credenciales y al servicio SSH. Se descubrio un puerto perteneciente a Netdata, tras verificar la version de este se encontro que uno de los ejecutables permite escalar privilegios. Tras modificar la variable de entorno y crear un ejecutable se logro acceso root.
HackTheBox - Editor
HackTheBox - Era
· ✍️ sckull
ffuf idor sqlite netexec ftp web-privesc ssh2-php ssh2-exec-php linux-elf-binary-signer
Era corre un sitio para administrar archivos donde se identifico un IDOR. Se descargaron archivos entre ellos un backup que nos ayudo a escalar privilegios en el sitio y descubrir una funcionalidad unica para administradores donde, utilizamos el "wrapper" SSH2 para acceder a la maquina. Una contrasena conocida nos dio acceso a un nuevo usuario. Finalmente escalamos privilegios tras modificar y firmar un ejecutable utilizado en un cronjob.
HackTheBox - Era
HackTheBox - Mirage
· ✍️ sckull
nfs dns kerbrute nsupdate nats nats-server wireshark bloodhound kerberoasting ForceChangePassword gmsa winrm bloodyAD RunasCs logon-hours certipy ESC10 RBCD
Mirage inicia en el servicio NFS, donde se encontraron dos archivos que indican configuraciones, comandos y software utilizado. Se identifico una configuracion en el servidor DNS que permitia agregar registros, esto permitio la captura de credenciales para el servidor NATS donde posteriormente se extrajeron otro par de credenciales para recabar informacion para Bloodhound. Con el analisis en este ultimo se logro el acceso a diferentes usuarios a traves de grupos, usuarios y permisos. Finalmente, se logro identificar la configuracion y requisitos para explotar ESC10 para escalar privilegios.
HackTheBox - Mirage
HackTheBox - Outbound
· ✍️ sckull
roundcube-webmail CVE-2025-49113 mysql roundcube-session roundcube-password roundcube-cipher below-command CVE-2025-27591 symlink-privesc openssl
Outbound expone una version de RoundCube vulnerable, tras la explotacion logramos acceso inicial. Accedimos a un primero usuario con la contrasena para la base de datos. Esta ultima almacena las sesiones de usuarios donde obtuvimos la contrasena de un usuario. Las credenciales expuestas en un correo permitieron el acceso por el servicio SSH. Finalmente escalamos privilegios con el comando below a traves de un enlace simbolico.
HackTheBox - Outbound
HackTheBox - Voleur
· ✍️ sckull
bloodhound netexec-spider_plus xlsx office2john getTGT bloodyAD GetUserSPNs Kerberoast winrm RunasCs Restore-ADObject Windows-Credentials-Manager dpapi secretsdump ntds
En Voleur se descubrio un archivo XLSX protegido con credenciales de usuarios. Con el analisis de bloodhound se identifico un usuario al que se realizo Kerberoasting permitiendo el acceso por WinRM. Se accedio a otro usuario a traves de runas donde se restauro un usuario eliminado. Con este ultimo se obtuvieron credenciales locales protegidas por DPAPI. Estas dieron acceso a una clave privada SSH. Tras acceder con esta, se descubrio un backup de la base de datos de Active Directory con archivos de registro los cuales permitieron escalar privilegios.
HackTheBox - Voleur
HackTheBox - Artificial
· ✍️ sckull
tensorflow-cpu CVE-2024-3660 model-HDF5 docker python sqlite backrest rest portforwarding
En Artificial permite la ejecucion de modelos de Inteligencia Artificial con TensorFlow, vulnerable la cual permitio el acceso inicial. La base de datos contiene credenciales para un primer usuario. Se descubrio un backup de backrest con credenciales de acceso, se realizo Local Port Forwarding para acceder a su interfaz web. Con la creacion de un repositorio se logro escalar privilegios.
HackTheBox - Artificial
HackTheBox - TombWatcher
· ✍️ sckull
netexec bloodhound GenericAll Addself WriteSPN ForceChangePassword WriteOwner targetedKerberoast gMSADumper shadow-credential-attack certipy deleted-user ESC15 LDAPS
TombWatcher con un enfoque en Active Directory, inicia con la enumeracion y analisis de informacion recolectada para Bloodhound, donde se muestra una ruta desde un usuario inicial hasta uno con permisos a WinRM. Se logro el acceso a este ultimo a traves de la explotacion de permisos, usuarios y grupos. Se restauro un usuario administrador eliminado el cual nos permitio escalar privilegios a traves de la explotacion de una plantilla vulnerable a ESC15.
HackTheBox - TombWatcher
HackTheBox - Certificate
· ✍️ sckull
exiftool bypass-upload-zip null-byte hashcat pcap wireshark Krb5RoastParser bloodhound genericall shadow-credential-attack certipy-ad SeManageVolumePrivilege golden-certificate-attack certutil impacket-secretsdump ESC3
En Certificate realizamos Bypass a un filtro en el sitio web para la subida de archivos a traves de un archivo ZIP para el acceso inicial. Credenciales en la base de datos del sitio permitieron obtener acceso a un primer usuario. Con los permisos de este ultimo realizamos Shadow Credential Attack para obtener acceso a dos usuarios. Uno de estos usuarios tenia el permiso SeManageVolume el cual explotamos lo que nos dio acceso al Certificate Authority (CA), utilizamos este para realizar Golden Certificate Attack para escalar privilegios.
HackTheBox - Certificate
HackTheBox - Puppy
· ✍️ sckull
kerbrute ldap smb winrm evil-winrm nfs showmount bloodhound-ce GenericWrite net-rpc smbclient keepass keepass4brute.sh GenericAll pth-net bloodyAD ACCOUNTDISABLE smbserver windows-credentials-manager dpapi secretsdump
Puppy inicia con el analisis de informacion en bloodhound identificando usuarios, permisos y grupos explotables. Aprovechando estos se logro acceder a un recurso SMB que contenia un backup de KeePass, donde se extrajeron credenciales validas para un segundo usuario. Los permisos de este ultimo permitieron acceso por WinRM a un tercer usuario. Se encontro un backup de un sitio web que contenia credenciales para otro usuario. Finalmente, se obtuvieron credenciales locales protegidas por DPAPI de un usuario administrador, lo que permitio escalar privilegios.
HackTheBox - Puppy
HackTheBox - Fluffy
· ✍️ sckull
netexec bloodhound-ce GenericWrite GenericAll CVE-2025-24071 .library-ms responder pth-net certipy-ad shadow-credential-attack evil-winrm ESC16
Fluffy inicia con la enumeracion de recursos SMB para acceder a un PDF que documenta vulnerabilidades del sistema. Una de ellas permitio filtrar un hash NTLM a traves de un archivo .library-ms comprimido. El analisis con Bloodhound muestra permisos GenericAll y GenericWrite para un usuario, lo que permitio realizar Shadow Credentials attack a multiples usuarios para acceso por WinRM. Finalmente se identifico y exploto una plantilla vulnerable ESC16 para escalar privilegios.
HackTheBox - Fluffy