Hack The Box

HackTheBox: Stocker — 全実行コマンド・実行結果レポート :root { --bg: #ffffff; --bg2: #f6f8fa; --bg3: #eaeef2; --bor...

HackTheBox「Squashed」(Easy/Linux)の完全攻略レポート。Nmap で 22(SSH)・80(HTTP squashed.htb)・111/2049(NFS) を確認し、showmount -e で公開されている /var/www/html と /home/ross のエクスポートを把握、ローカルユーザーを作らず setpriv で任意の UID/GID を名乗る NFS の root_squash 設定不備を突いて、Web ルートの所有者 UID 2017(alex)として PHP Webシェルを NFS 経由で設置し RCE から user.txt を取得、次に UID 1001(ross)として ross の .Xauthority を窃取し base64+URLエンコードで /tmp に配置、xwd でルートウィンドウのスクリーンショットを撮影して画面上の KeePassXC に表示された root の平文パスワードを読み取り、echo|su が TTY 不足で失敗する問題を Python の pty.openpty() による疑似端末割り当てで回避して su root し root.txt を取得するまで、NFS UID 偽装・X11 画面キャプチャ・PTY トリック権限昇格を全実行コマンドと結果付きで解説します。

HackTheBox「Precious」(Easy/Linux)の完全攻略レポート。Nmap で 22(SSH) と 80(nginx 上の Ruby/Sinatra 製 "Convert Web Page to PDF" ツール precious.htb) を確認し、PDF 生成に使われる pdfkit 0.8.6 の URL パラメータに潜むコマンドインジェクション CVE-2022-25765 を突いて ruby ユーザーの RCE を獲得、authorized_keys へ SSH 公開鍵を注入して ruby でログインし ~/.bundle/config に平文で残る資格情報 henry:Q3c1AqGHtoI0aXAYFH を発見、henry として SSH ログインし user.txt を取得、sudo NOPASSWD で実行できる update_dependencies.rb が YAML.load を安全でない形で使っている点を突き、Ruby のユニバーサルデシリアライゼーションガジェットで Kernel.system を呼び出して root.txt を取得するまで、pdfkit コマンドインジェクション・Bundler 資格情報漏洩・YAML デシリアライゼーション権限昇格を全実行コマンドと結果付きで解説します。

HackTheBox「MetaTwo」(Easy/Linux)の完全攻略レポート。Nmap で 21(ProFTPD)・22(SSH)・80(WordPress + BookingPress 1.0.10、metapress.htb) を確認し、予約ページから再利用可能な nonce を取得して BookingPress プラグインの未認証 UNION SQLインジェクション CVE-2022-0739 で wp_users テーブルのログインハッシュをダンプ、hashcat で phpass ハッシュをクラックして manager:partylikearockstar で WordPress 管理画面にログイン、WordPress 5.6.2 のメディアアップロード XXE 脆弱性 CVE-2021-29447 を .wav メタデータトリックで突いて wp-config.php を読み出し FTP 資格情報を入手、FTP の mailer/send_email.php にハードコードされた SMTP 資格情報から jnelson の SSH 資格情報を得て SSH ログインし user.txt を取得、Passpie パスワードマネージャーの GPG 秘密鍵パスフレーズを john で blink182 にクラックして root 用パスワードを復元し su で昇格して root.txt を取得するまで、BookingPress SQLi・WordPress XXE・FTP 資格情報漏洩・Passpie 権限昇格を全実行コマンドと結果付きで解説します。

HackTheBox「Photobomb」(Easy/Linux)の完全攻略レポート。Nmap で 22(SSH) と 80(nginx 1.18.0 の印刷注文サイト photobomb.htb) を確認し、photobomb.js にハードコードされていた Basic 認証資格情報 pH0t0:b0Mb! を窃取して /printer にアクセス、画像変換機能の filetype パラメータに潜むブラインド OS コマンドインジェクションを特定、base64 で包んだコマンドを filetype 経由で実行して authorized_keys へ SSH 公開鍵を書き込み wizard として SSH ログインし user.txt を取得、sudo -l で判明した SETENV NOPASSWD の /opt/cleanup.sh が find をフルパス指定せず呼び出す点を突き、偽の find バイナリを PATH 先頭に割り込ませて cleanup.sh を root 実行させ root.txt を取得するまで、JS 資格情報漏洩・ブラインドコマンドインジェクション・sudo SETENV PATH ハイジャック権限昇格を全実行コマンドと結果付きで解説します。

HackTheBox: Shoppy — 全実行コマンド・実行結果レポート :root { --bg: #ffffff; --bg2: #f6f8fa; --bg3: #eaeef2; --bord...

HackTheBox: RedPanda — 全実行コマンド・実行結果レポート :root { --bg: #ffffff; --bg2: #f6f8fa; --bg3: #eaeef2; --bo...

HackTheBox「RouterSpace」(Easy/Linux)の完全攻略レポート。Nmap で 22(SSH) と 80(Node.js/Express、X-Powered-By: RouterSpace) を確認し、トップページから配布される React Native 製 Android アプリ RouterSpace.apk を入手・展開して JS バンドルから API 仕様と専用 User-Agent ヘッダーが必須である点を把握、/api/v4/.../deviceAccess の ip パラメータに潜む OS コマンドインジェクションを突いて paul 権限の RCE を獲得、アウトバウンドFW でリバースシェルが張れないため authorized_keys へ公開鍵を書き込む形で SSH ログインし user.txt を取得、sudo 1.8.31 に残る CVE-2021-3156(通称 Baron Samedit)のヒープオーバーフローを Metasploit の sudo_baron_samedit で悪用して root.txt を取得するまで、APK 解析・コマンドインジェクション・Baron Samedit 権限昇格を全実行コマンドと結果付きで解説します。

HackTheBox「SteamCloud」(Easy/Linux)の完全攻略レポート。Nmap で 22・80・2380・8443・10249・10250・10256 を確認し、minikube(Kubernetes v1.22.3)で稼働する Kubelet API(10250)と API Server(8443)を特定、kubeletctl で認証なしに Pod 一覧を取得して RCE 可能な Pod をスキャンし nginx Pod へ exec で侵入、Pod 内の ServiceAccount トークン(default:default)を窃取して kubectl auth can-i --list で pods の get/create/list 権限を確認、hostPath でホストの / を丸ごと /root にマウントする悪意ある特権 Pod を作成して Running を待ち、kubeletctl exec からホストのルートファイルシステムを直接読み取って user.txt と root.txt を取得するまで、Kubelet API 匿名アクセス・ServiceAccount トークン窃取・hostPath 特権 Pod 作成による Kubernetes 攻略を全実行コマンドと結果付きで解説します。

HackTheBox: Trick — 全実行コマンド・実行結果レポート :root { --bg: #ffffff; --bg2: #f6f8fa; --bg3: #eaeef2; --borde...