Hack The Box

HackTheBox「Jerry」(Easy/Windows)の完全攻略レポート。8080番で稼働するApache Tomcat 7.0.88のManagerに既定資格情報tomcat:s3cretでログインし、cmd.jsp Webシェルを同梱した悪性WARファイルを作成、/manager/text/deployでPUTデプロイしてRCEを獲得、最初のコマンドから既にNT AUTHORITY\SYSTEMとして動作しており、1ファイルに両方記載されたuser.txtとroot.txtを同時に取得するまで、全実行コマンドと結果を解説します。

HackTheBox「Bounty」(Easy/Windows)の完全攻略レポート。IIS 7.5のディレクトリ列挙で/transfer.aspxを発見し、拡張子チェックがクライアント側JSのみである点を突いてSoroush Daliliのweb.configアップロードRCE手法でbounty\merlinシェルを取得してuser.txt、systeminfoで未パッチのWindows Server 2008 R2を確認し、ms10_092_schelevator(CVE-2010-3338 Task Scheduler)の権限昇格でSYSTEMとなりroot.txtを取得するまで、全実行コマンドと結果を解説します。

HackTheBox「Sunday」(Easy/Linux・Solaris)の完全攻略レポート。Oracle Solarisのfinger(79)サービスでsunny・sammyのユーザーを列挙し、非標準ポート22022のSSHへのパスワードスプレーでsunny:sundayを突破、/backup/shadow.backupからsammyの$5$ハッシュを取得してhashcat(-m 7400)でクラック(cooldude!)、sammyシェルでuser.txt、sudo NOPASSWDのwget --post-fileでroot.txtを自ホストへ送出する権限昇格でフラグを取得するまで、全実行コマンドと結果を解説します。

HackTheBox「Sense」(Medium/Linux・FreeBSD)の完全攻略レポート。lighttpdで公開されるpfSense CE 2.1.3のディレクトリ列挙で/system-users.txtを発見しRohitのユーザー名と「company defaults」のヒントを入手、既定パスワードrohit:pfsenseでwebUIにログイン、status_rrd_graph_img.phpのコマンドインジェクション(CVE-2016-10709)でwriteup.php Webシェルを配置してroot権限を取得、user.txtとroot.txtを取得するまで、全実行コマンドと結果を解説します。

HackTheBox「Granny」(Easy/Windows)の完全攻略レポート。Windows Server 2003のIIS 6.0でWebDAV PUTが有効(201 Created)な点を確認し、PUTでアップロードしたファイルをMOVEで.aspにリネームして拡張子フィルタを回避するiis_webdav_upload_aspでNT AUTHORITY\NETWORK SERVICEの低権限シェルを取得、MS15-051(client_copy_imageカーネル脆弱性)の権限昇格でNT AUTHORITY\SYSTEMとなりuser.txtとroot.txtを取得するまで、全実行コマンドと結果を解説します。

HackTheBox「Grandpa」(Easy/Windows)の完全攻略レポート。Windows Server 2003のIIS 6.0 WebDAVを調査し、PUT等のアップロード系が403で封鎖されている中、ScStoragePathFromUrlのバッファオーバーフローCVE-2017-7269(EXPLODINGCAN)を突いてNT AUTHORITY\NETWORK SERVICEの低権限シェルを取得、MS15-051(client_copy_imageカーネル脆弱性)の権限昇格でNT AUTHORITY\SYSTEMとなりuser.txtとroot.txtを取得するまで、全実行コマンドと結果を解説します。

HackTheBox「Arctic」(Easy/Windows)の完全攻略レポート。8500番で稼働するAdobe ColdFusion 8を調査し、CVE-2010-2861のlocaleディレクトリトラバーサルで管理者ハッシュを漏洩(副次経路)、CVE-2009-2265のFCKeditor nullバイトJSPアップロードでRCEしARCTIC\tolisシェルを取得してuser.txt、certutilでEXEステージャを配送しmeterpreterを確立、MS10-092(Task Scheduler schelevator)の権限昇格でNT AUTHORITY\SYSTEMとなりroot.txtを取得するまで、全実行コマンドと結果を解説します。

HackTheBox「Optimum」(Easy/Windows)の完全攻略レポート。HttpFileServer(HFS) 2.3のCVE-2014-6287を%00 nullバイトでフィルタ回避し、{.save|.exec|.}マクロ注入とVBSダウンローダ経由のRCEでOPTIMUM\kostasシェルを取得してuser.txt、MS16-032(Secondary Logon Handle)の特権昇格でNT AUTHORITY\SYSTEMとなりroot.txtを取得するまで、全実行コマンドと結果を解説します。

HackTheBox「Race」(Hard/Linux)の完全攻略レポート。phpsysinfoの弱いBasic認証(admin:admin)でbackup資格情報を漏洩させ、Grav CMSのパスワードリセットTOCTOU(forgot直後にbackupを再取得しトークン窃取)で管理者権限を奪取、GPMプロキシのMITM(mitmdumpでテーマZIPを悪意あるものへ差替)でWebシェルRCEとmaxへの横移動でuser.txt、secure-cron-runner.shのMD5検証をnamed pipe(FIFO)で検証と実行に分離するTOCTOUレースでSUID rootシェルを設置しroot.txtを取得するまで、全実行コマンドと結果を解説します。

HackTheBox「Vault」(Hard/Linux)の完全攻略レポート。changelogo.phpの.php5アップロードバイパスでwww-data RCEを得て、daveのDesktopからSSH資格情報・GPGパスフレーズ・内部サーバー一覧を入手、192.168.122.4の「VPN Configurator」(vpnconfig.php)のOpenVPN up-script RCEで同ホストをroot化してuser.txtとdave2資格情報を取得、ファイアウォールの送信元ポート制限をncat -p 53/4444で回避してピボット、rbashを脱出して最深部192.168.5.2(Vault)に到達しroot.txt.gpgをGPG復号するまで、全実行コマンドと結果を解説します。