Hack The Box

HackTheBox「OpenKeyS」(Medium/OpenBSD)の攻略Writeup。Webサーバの/includesで見つかるvimスワップファイルからauth.phpの実装とcheck_authバイナリを解析、Qualysホワイトペーパーが示すOpenBSD認証バイパスCVE-2019-19521(ユーザー名に-schallengeを指定)をCookie経由で突いてjenniferのSSH秘密鍵を奪取しuser.txt、xlockのCVE-2019-19520とauthグループを悪用するCVE-2019-19522でroot.txtを取得するまでを解説します。

HackTheBox「Worker」(Medium/Windows)の攻略Writeup。SVN(port 3690)の列挙で複数のVHostとnathenの資格情報を発見し、Azure DevOpsへログイン、テンプレートリポジトリへのaspx Webシェルアップロードとプルリクエストのマージでコード実行を獲得、追加ドライブWのsvnrepos passwdファイルから得たrobislの資格情報とevil-winrmでuser.txt、Azure DevOpsパイプラインでPowerShellを実行しnt authority\systemとしてroot.txtを取得するまでを解説します。

HackTheBox「Scrambled」(Medium/Windows)の攻略Writeup。NTLM認証が無効化された環境でWebページとファイル共有のヒントからユーザー資格情報を入手し、KerberoastとサービスアカウントのSilver Ticket生成でMSSQLインスタンスにアクセス、カスタム.NET実行ファイルをリバースエンジニアリングして発見したデシリアライズ脆弱性を突きSYSTEMシェルを獲得するまでを、LinuxとWindows両方の攻撃環境で解説します。

HackTheBox「EvilCUPS」の完全攻略レポート。CUPS 2.4.2のEvilCUPS CVEチェーン(CVE-2024-47176/47076/47175/47177)の仕組みを解説し、cups-browsedへのUDP 631パケット送信から悪意あるIPPサーバのFoomaticRIPCommandLineによるlp権限RCEへ、印刷ジョブのスプールに残ったpass.txtからroot:Br3@k-G!@ss-r00t-evilcupsを回収してuser.txt/root.txtを取得するまで、全実行コマンドと結果を解説します。

HackTheBox「MonitorsThree」(Medium)の完全攻略レポート。/forgot_password.phpのusernameパラメータのSQLインジェクションからadmin:greencacti2001を奪取、cacti.monitorsthree.htbのCacti Package Import脆弱性CVE-2024-25641でwww-data webシェルを取得、marcusへのsuとSSH鍵でuser.txt、Duplicati(port 8200)のserver-passphrase認証バイパスによるroot昇格でroot.txtまで、全実行コマンドと結果を解説します。

HackTheBox「Certified」の完全攻略レポート。事前付与されたjudith.mader資格情報からWriteOwner権限を濫用してmanagementグループを掌握、Shadow Credentials攻撃でmanagement_svcのNTハッシュを奪取してuser.txt、同手法でca_operatorを乗っ取り、ADCS ESC9(UPN偽装+証明書要求)とクロックスキュー補正によるKerberos PKINIT認証でDomain Adminを奪取しroot.txtまで、全実行コマンドと結果を解説します。

HackTheBox「Cat」の完全攻略レポート。Best Cat CompetitionのContestフォームのXSSで管理者axelのCookieを窃取、accept_cat.phpのSQLiとSQLite ATTACH DATABASEでWebシェルを設置してwww-data RCE、rosaのMD5ハッシュクラックとApacheログからのパスワード漏洩でaxel SSH、Gitea 1.22.0のCVE-2024-6886 Stored XSSとrootパスワード再利用でroot.txtまで、全実行コマンドと結果を解説します。

HackTheBox「Passage」(Medium)の完全攻略レポート。CuteNews 2.1.2のCVE-2019-11447(GIF8;ヘッダを偽装したavatarアップロード)でwww-data webシェルを取得、cdata/usersからpaulのSHA-256ハッシュを抽出・クラック(atlanta1)してsu paulでuser.txt、共有id_rsaでnadavへSSH横移動、USBCreatorのD-Busメソッドでpolkit認証をバイパスする権限昇格でroot.txtまで、全実行コマンドと結果を解説します。

HackTheBox「Jewel」(Medium)の完全攻略レポート。port 8000のgitwebから.gitスナップショットを取得してRails製BL0G!のソースを解析、CVE-2020-8165(activesupport 5.2.2.1のMarshalデシリアライズ)でRCEペイロードを構築し、cache.deleteを並行GETレースで回避してbillシェルを取得、SSH公開鍵設置とGoogle Authenticator TOTP突破を経て、GTFOBinsのsudo gem openでroot.txtまで、全実行コマンドと結果を解説します。

HackTheBox「Bucket」(Medium)の完全攻略レポート。s3.bucket.htbで稼働するLocalStackのS3バケットが認証なしで書き込み可能な点を突いてPHP Webシェルをアップロードしwww-data RCE、DynamoDBのusersテーブルから漏洩したパスワード使い回しでroy、127.0.0.1:8000のroot所有mod_itkアプリとPD4MLのfile://添付LFIを毎分リセットとの競合を回避しつつ悪用してroot.txtまで、全実行コマンドと結果を解説します。