zerizeriのエンジニア技術ブログ

HackTheBox「RedCross」(Medium/Linux)の攻略Writeup。vhost列挙でintra/admin各サブドメインを発見し、Cookieのロール改ざんとメッセージ機能のXSSで管理者intranetへアクセス、ユーザー管理パネルのコマンドインジェクションでアカウントを作成してSSHシェルを取得、PostgreSQLの認証情報漏洩を経て、setuidバイナリiptctlのバッファオーバーフローによる権限昇格でroot.txtを取得するまでを解説します。

HackTheBox「Lightweight」(Medium/Linux)の攻略Writeup。tcpdumpに付与されたLinux capabilitiesを悪用してループバックインターフェースのパケットをキャプチャし、status.phpのLDAPクエリからldapuser2の資格情報を傍受、Webアプリのソースコードに残るldapuser1のパスワードを発見、ldapuser1のホームにあるcapabilities付きopenssl バイナリで任意ファイルを読み書きしてroot昇格するまでを解説します。

HackTheBox「Arkham」(Windows)の攻略Writeup。LUKS暗号化されたBackup.imgをbatman入りカスタム辞書(batmanforever)でクラックしてtomcat設定とJSF ViewStateのHMAC鍵を入手、javax.faces.ViewStateのJavaデシリアライズ脆弱性をysoserialとHMAC署名付きペイロードで突いてRCE、Outlookメール(.ost)から得たBatmanの資格情報でWinRMシェル、UAC制限をC$共有マウントで回避してroot.txtを取得するまでを解説します。

HackTheBox「Unattended」の攻略Writeup。www.nestedflanders.htbのid パラメータのブラインドSQLインジェクションをsqlmapとネスト型クエリで突き、LFI(ローカルファイルインクルード)へ発展させてPHPソースを読み出し、 egress制限を回避したport 443のリバースシェルでguly権限を取得してuser.txt、grubグループ権限で読める/boot/initrd.imgを展開しcryptrootスクリプトとuinitrdバイナリからroot パスワードを生成する権限昇格でroot.txtを取得するまでを解説します。

HackTheBox「Json」(Medium/Windows)の攻略Writeup。認証APIが返すBearerトークンの.NETデシリアライズ脆弱性(Json.Net / ysoserialペイロード)を突いて初期アクセスを取得し、root.txtへの3通りの権限昇格経路——FileZilla Admin管理インターフェースへの接続とユーザーパスワード変更、独自アプリをリバースして暗号化された認証情報を復号しFTP経由で利用、JuicyPotatoによるSYSTEMシェル奪取——をそれぞれ解説します。

HackTheBox「OpenKeyS」(Medium/OpenBSD)の攻略Writeup。Webサーバの/includesで見つかるvimスワップファイルからauth.phpの実装とcheck_authバイナリを解析、Qualysホワイトペーパーが示すOpenBSD認証バイパスCVE-2019-19521(ユーザー名に-schallengeを指定)をCookie経由で突いてjenniferのSSH秘密鍵を奪取しuser.txt、xlockのCVE-2019-19520とauthグループを悪用するCVE-2019-19522でroot.txtを取得するまでを解説します。

HackTheBox「Worker」(Medium/Windows)の攻略Writeup。SVN(port 3690)の列挙で複数のVHostとnathenの資格情報を発見し、Azure DevOpsへログイン、テンプレートリポジトリへのaspx Webシェルアップロードとプルリクエストのマージでコード実行を獲得、追加ドライブWのsvnrepos passwdファイルから得たrobislの資格情報とevil-winrmでuser.txt、Azure DevOpsパイプラインでPowerShellを実行しnt authority\systemとしてroot.txtを取得するまでを解説します。

HackTheBox「Scrambled」(Medium/Windows)の攻略Writeup。NTLM認証が無効化された環境でWebページとファイル共有のヒントからユーザー資格情報を入手し、KerberoastとサービスアカウントのSilver Ticket生成でMSSQLインスタンスにアクセス、カスタム.NET実行ファイルをリバースエンジニアリングして発見したデシリアライズ脆弱性を突きSYSTEMシェルを獲得するまでを、LinuxとWindows両方の攻撃環境で解説します。

HackTheBox「EvilCUPS」の完全攻略レポート。CUPS 2.4.2のEvilCUPS CVEチェーン(CVE-2024-47176/47076/47175/47177)の仕組みを解説し、cups-browsedへのUDP 631パケット送信から悪意あるIPPサーバのFoomaticRIPCommandLineによるlp権限RCEへ、印刷ジョブのスプールに残ったpass.txtからroot:Br3@k-G!@ss-r00t-evilcupsを回収してuser.txt/root.txtを取得するまで、全実行コマンドと結果を解説します。

HackTheBox「MonitorsThree」(Medium)の完全攻略レポート。/forgot_password.phpのusernameパラメータのSQLインジェクションからadmin:greencacti2001を奪取、cacti.monitorsthree.htbのCacti Package Import脆弱性CVE-2024-25641でwww-data webシェルを取得、marcusへのsuとSSH鍵でuser.txt、Duplicati(port 8200)のserver-passphrase認証バイパスによるroot昇格でroot.txtまで、全実行コマンドと結果を解説します。