zerizeriのエンジニア技術ブログ

HackTheBox「Calamity」(High/Linux)の完全攻略レポート。admin.phpのcookie門番をHTMLコメントに平文で残ったパスワードで突破し、HTML Parserの未サニタイズPHP実行(GET html=のshell_exec)でwww-dataシェルを取得してuser.txt、recov.wavとrick.wavの位相差分フォレンジックで隠し音声からxalvasのパスワードを抽出してSSHログイン、lxdグループ所属を利用したsecurity.privileged=trueの特権LXDコンテナでroot.txtを取得するまで、全実行コマンドと結果を解説します。

HackTheBox「Charon」(Hard/Linux)の完全攻略レポート。SuperCMSのforgot.phpのuniOn SQLi(大小文字混在フィルタ回避)でoperatorsテーブルからsuper_cms_admのMD5ハッシュを抽出、hashcat+best66.ruleでクラック(tamarro)して管理パネルにログイン、隠しフィールドを悪用したGIF89a;偽装PHP Webシェルアップロードでシェルを取得、256bit RSA鍵を素因数分解してpass.cryptを復号しdecoderにSSHしuser.txt、SUIDのsupershellの$(…)コマンド置換でホワイトリストを回避する権限昇格でroot.txtを取得するまで、全実行コマンドと結果を解説します。

HackTheBox: CrimeStoppers — 全実行コマンド・実行結果レポート :root { --bg: #ffffff; --bg2: #f6f8fa; --bg3: #eaeef2; ...

HackTheBox「Shrek」(Hard/Linux)の完全攻略レポート。「Shrek Love」ファンサイトのsecret_ultimate.phpのソースコメントのヒントから隠しディレクトリ/secret_area_51/を発見、mp3ファイルの音声スペクトログラム解析でFTP(donkey)資格情報を得て暗号化SSH秘密鍵を回収、パスフレーズを解いてsecにSSHしuser.txt、/usr/srcで動くchown cronのワイルドカードインジェクションを突く権限昇格でroot.txtを取得するまで、全実行コマンドと結果を解説します。

HackTheBox「Guardian」(Hard/Linux)の完全攻略レポート。サブドメインportal.guardian.htbのStudent Portalにデフォルトパスワードでログインし、チャットのIDORでGitea資格情報を漏洩、PhpSpreadsheet XSSで講師Cookieを窃取、onload属性を使うCSRFで不正admin作成、PHPフィルターチェーン注入のLFI→RCEとハッシュクラックでjamil user.txt、utilities.pyの権限チェック漏れでmarkへ昇格、safeapache2ctlのLoadFile検証漏れでroot.txtを取得するまで、全実行コマンドと結果を解説します。

HackTheBox「LaCasaDePapel」(Easy/Linux)の完全攻略レポート。vsftpd 2.3.4のバックドアCVE-2011-2523でポート6200にアクセスしPsy Shell(PHP REPL)に入り、nairobiのCA秘密鍵を読み取って443のサーバー証明書をCAとしてクライアント証明書を偽造、HTTPSの/file/<base64パス>のLFIでprofessorのid_rsaを窃取してSSHしuser.txt(berlin)、supervisordのinode所有権トリックでmemcached.iniをmvで置換する権限昇格でroot.txtを取得するまで、全実行コマンドと結果を解説します。

HackTheBox「Bastion」(Easy/Windows)の完全攻略レポート。SMB匿名アクセスで非標準の「Backups」共有を発見し、VHDをCIFSマウントして7zでSAM/SYSTEMハイブを抽出、secretsdumpとhashcatでNTLMハッシュをクラック(l4mpje:bureaulampje)、OpenSSH for WindowsでログインしてuserT.txt、mRemoteNGの設定ファイルconfCons.xmlを窃取してデフォルトパスワード"mR3m"によるAES-GCM復号でAdministrator資格情報を得てroot.txtを取得するまで、全実行コマンドと結果を解説します。

HackTheBox: SwagShop — 全実行コマンド・実行結果レポート :root { --bg: #ffffff; --bg2: #f6f8fa; --bg3: #eaeef2; --bo...

HackTheBox「Writeup」(Easy/Linux)の完全攻略レポート。robots.txtから見つけた/writeup/のCMS Made Simple 2.2.9に対し、CVE-2019-9053のtime-based blind SQLインジェクションでcms_users/cms_siteprefsからsaltとパスワードハッシュを抽出、hashcat(-m 20)でクラックしてjkr:raykayjay9を取得、SSHログインしてuser.txt、staffグループが/usr/local/{bin,sbin}に書き込める点を突いてrun-partsのPATHハイジャックでSSHログイン時のmotdをroot実行させSUID bashを設置、root.txtを取得するまで、全実行コマンドと結果を解説します。

HackTheBox「Haystack」(Easy/Linux・ELK Stack)の完全攻略レポート。Elasticsearch 6.4.2のquotesインデックスを調査してbase64混入データを発見し、総当たりデコードでsecurity:spanish.is.keyの資格情報を抽出してSSHログインしuser.txt、localhost:5601で稼働するKibanaのLFI脆弱性CVE-2018-17246でkibanaユーザーのJS実行を成立させ、Logstash設定ファイルを書き込んでgrok/execプラグインがroot権限で実行される仕組みを突いてroot.txtを取得するまで、全実行コマンドと結果を解説します。