zerizeriのエンジニア技術ブログ

HackTheBox「Race」(Hard/Linux)の完全攻略レポート。phpsysinfoの弱いBasic認証(admin:admin)でbackup資格情報を漏洩させ、Grav CMSのパスワードリセットTOCTOU(forgot直後にbackupを再取得しトークン窃取)で管理者権限を奪取、GPMプロキシのMITM(mitmdumpでテーマZIPを悪意あるものへ差替)でWebシェルRCEとmaxへの横移動でuser.txt、secure-cron-runner.shのMD5検証をnamed pipe(FIFO)で検証と実行に分離するTOCTOUレースでSUID rootシェルを設置しroot.txtを取得するまで、全実行コマンドと結果を解説します。

HackTheBox「Vault」(Hard/Linux)の完全攻略レポート。changelogo.phpの.php5アップロードバイパスでwww-data RCEを得て、daveのDesktopからSSH資格情報・GPGパスフレーズ・内部サーバー一覧を入手、192.168.122.4の「VPN Configurator」(vpnconfig.php)のOpenVPN up-script RCEで同ホストをroot化してuser.txtとdave2資格情報を取得、ファイアウォールの送信元ポート制限をncat -p 53/4444で回避してピボット、rbashを脱出して最深部192.168.5.2(Vault)に到達しroot.txt.gpgをGPG復号するまで、全実行コマンドと結果を解説します。

HackTheBox「Drive」(Hard/Linux)の完全攻略レポート。Django製「Doodle Grive」のIDOR(/<id>/block/でgetFileDetailの認可を迂回)で投稿本文に残るmartinの平文SSHパスワードを窃取、SSHトンネルで内部限定のGiteaに到達しdb_backup.shから7zバックアップのパスワードを漏洩、4世代のバックアップを解凍してtomHandsのSHA1ローテーションを解析・hashcatでクラックしuser.txt、SUIDのdoodleGrive-cliバイナリのedit()関数のSQLiとvimシェルエスケープでSUID bashを設置しroot.txtを取得するまで、全実行コマンドと結果を解説します。

HackTheBox: CyberMonday — 全実行コマンド・実行結果レポート :root { --bg: #ffffff; --bg2: #f6f8fa; --bg3: #eaeef2; -...

HackTheBox「Download」(Hard/Linux)の完全攻略レポート。nginxのunsafe-URI正規化バイパスを全文字%XXエンコードで突いてLFIを成立させapp.jsとcookie-session署名鍵を漏洩、HMAC-SHA1 keygrip方式でセッションCookieを偽造、Prisma Query InjectionのブラインドオラクルでMD5ハッシュを抽出してwesleyシェルを取得しuser.txt、systemdサービス平文のDB資格情報とpg_write_server_filesのCOPYで.bash_profileを仕込み、TIOCSTIによるTTYハイジャックでroot.txtを取得するまで、全実行コマンドと結果を解説します。

HackTheBox「Gofer」(Hard/Linux)の完全攻略レポート。SMB匿名アクセスの.backup/mailから社員名とヒントを入手し、proxy.gofer.htbの<Limit GET>メソッド制限をPOSTでバイパス、Gopher SSRFで内部25番ポートにSMTP注入してフィッシングメールを送信、悪意ある.odt(LibreOffice Basicマクロ)でjhudsonシェルを取得しuser.txt、tcpdumpでtbuckleyのBasic認証を平文捕捉、notesバイナリのUse-After-Freeでroleをadminに昇格、tarのPATHハイジャックでroot.txtを取得するまで、全実行コマンドと結果を解説します。

HackTheBox「Holiday」(Insane/Linux)の完全攻略レポート。「Linux」を含むUser-Agentでなければ弾くフィルタを回避し、Node.js/Express「Booking Management」のSQLite boolean-blind SQLインジェクションでRickAの資格情報(MD5クラック→nevergonnagiveyouup)を奪取、charcode難読化のStored XSSで管理者のconnect.sid Cookieを窃取、/admin/exportの&区切りと10進IPによるコマンドインジェクションでalgernonシェルを取得しuser.txt、sudo NOPASSWDのnpm iのpreinstallスクリプト悪用でroot.txtを取得するまで、全実行コマンドと結果を解説します。

「Ten」(Vulnlab / Hard / Linux)の完全攻略レポート。signupポータルでFTPアカウントを自動発行し、vhost列挙で見つけたwebdb.ten.vl(Angular SPA)のMySQL管理機能から任意SQLを実行、users テーブルのdir/uid/gidをパストラバーサルで改ざんしてFTP経由でauthorized_keysを注入、tyrellとしてSSHログインしてuser.txt、etcd/remco/Apache設定再生成の仕組みを突いてApacheのErrorLogパイプ注入でroot権限コマンドを実行しroot.txtを取得するまで、全実行コマンドと結果を解説します。

HackTheBox「Dump」(Hard/Linux)の完全攻略レポート。無認証で登録・ログインできるカスタムPHPパケットキャプチャ管理アプリのzip -T/-TT引数インジェクションを3段階アップロードとGTFOBinsで突いてwww-dataシェルを取得、SQLiteに平文で保存されたfritzの資格情報(Passw0rdH4shingIsforNoobZ!)でSSHログインしてuser.txt、sudo tcpdumpのワイルドカード解釈ズレを悪用してupdate-motd.dへ書き込みpam_motd経由でSUID bashを設置、root.txtを取得するまで、全実行コマンドと結果を解説します。

HackTheBox「Legacy」(Easy/Windows)の完全攻略レポート。SMB(445)のみ開いたWindows XP SP3をsmb-os-discoveryで特定し、nmapのsmb-vuln-ms08-067でMS08-067(CVE-2008-4250)の脆弱性を確認、Metasploitのms08_067_netapiとwindows/shell_reverse_tcpでエクスプロイトしてNT AUTHORITY\SYSTEMシェルを直接取得、権限昇格なしでuser.txtとroot.txtを同時に取得するまで、全実行コマンドと結果を解説します。