Hack The Box

HackTheBox「Love」(Easy/Windows)の完全攻略レポート。Nmap で 80・443・445・3306・5000 など多数のポートと、SSL証明書のCNから vhost staging.love.htb を確認し、staging.love.htb/beta.php の SSRF 脆弱性で外部非公開の内部ポート5000(OMRS管理画面)を取得して資格情報 admin:@LoveIsInTheAir!!!! を窃取、Voting System 1.0 の管理画面にログインして有権者追加フォーム(voters_add.php)から Webシェルをアップロードし RCE を獲得して phoebe ユーザーとして user.txt を取得、レジストリの AlwaysInstallElevated 設定が有効な点を突き msfvenom で生成した悪意ある MSI パッケージを msiexec で実行して SYSTEM 権限を奪取し root.txt を取得するまで、SSRF 資格情報漏洩・Voting System Webシェル RCE・AlwaysInstallElevated 権限昇格を全実行コマンドと結果付きで解説します。

HackTheBox: Toolbox — 全実行コマンド・実行結果レポート :root { --bg: #ffffff; --bg2: #f6f8fa; --bg3: #eaeef2; --bor...

HackTheBox「Armageddon」(Easy/Linux)の完全攻略レポート。Nmap で 22(SSH) と 80(Apache 2.4.6 + PHP 5.4.16 + Drupal 7) を確認し、robots.txt で特定した Drupal 7 に対して CVE-2018-7600（通称 Drupalgeddon2）の Forms API を悪用した二段階 RCE で apache ユーザーのコマンド実行を獲得、settings.php から MySQL の drupaluser 資格情報を窃取して users テーブルの Drupal7 形式ハッシュを hashcat(-m 7900) でクラックし brucetherealadmin として SSH ログインして user.txt を取得、同ユーザーに許可された sudo snap install を悪用して install フックが root 実行される悪意ある snap パッケージをインストールし root.txt を取得するまで、Drupalgeddon2 RCE・ハッシュクラック・snap 権限昇格を全実行コマンドと結果付きで解説します。

HackTheBox: Spectra — 全実行コマンド・実行結果レポート :root { --bg: #ffffff; --bg2: #f6f8fa; --bg3: #eaeef2; --bor...

HackTheBox「ScriptKiddie」(Easy/Linux)の完全攻略レポート。Nmap で 22(SSH) と 5000(Werkzeug/Flask 0.16.1 の "k1d'5 h4ck3r t00l5" ツール) を確認し、APK生成機能に対して CVE-2020-7384（msfvenom が Android APK ペイロード生成時にテンプレートAPKの署名情報へコマンドを注入できる脆弱性）を突いた悪意あるテンプレートAPKをアップロード、生成処理の裏でコマンドが実行され kid ユーザーのリバースシェルを奪取、SSH公開鍵を注入して kid でSSHログインし user.txt を取得、incrond が監視するファイルへコマンド置換を仕込んで pwn ユーザーへ横移動し、pwn に許可された sudo msfconsole の irb から system() で root.txt をコピーして取得するまで、msfvenom APK テンプレート注入・incrond 横移動・Metasploit 悪用の権限昇格を全実行コマンドと結果付きで解説します。

HackTheBox「Return」(Easy/Windows)の完全攻略レポート。Nmap で DNS・Kerberos・LDAP・WinRM を備えた Active Directory ドメインコントローラ構成と、IIS 10.0 + PHP 7.4.13 の "HTB Printer Admin Panel" を確認し、プリンタ設定フォームの LDAP Server Address を攻撃者IPへ書き換える LDAP Pass-back 攻撃を仕掛けて、389番で立てたリスナーに飛んでくる simple bind から svc-printer の平文パスワード 1edFg43012!! を窃取、evil-winrm で WinRM ログインし user.txt を取得、svc-printer が所属する Server Operators グループのサービス設定変更権限を悪用して既存サービス(VSS)の binPath を書き換え SYSTEM 権限でコマンドを実行し root.txt を取得するまで、AD 特有の LDAP Pass-back と Server Operators 権限昇格を全実行コマンドと結果付きで解説します。

HackTheBox「Antique」(Easy/Linux)の完全攻略レポート。Nmap で telnet(23) の "HP JetDirect" バナーと UDP の SNMP(161, community: public) を確認し、snmpwalk で特定OIDから漏洩したBITS値(16進)をデコードして telnet パスワード P@ssw0rd@123!!123 を入手、HP JetDirect の telnet にログインして exec <cmd> コマンドによる任意コマンド実行(RCE)で lp ユーザーのシェルを得て user.txt を取得、localhost限定で稼働する CUPS 1.6.1 の CVE-2012-5519（lpadmin権限で ErrorLog を任意ファイルに指定できる任意ファイル読取）を悪用して root.txt を読み出すまで、プリンタ特有の SNMP 情報漏洩・JetDirect RCE・CUPS 権限昇格を全実行コマンドと結果付きで解説します。

HackTheBox「Driver」(Easy/Windows)の完全攻略レポート。Nmap で 80(MFP Firmware Update Center/Basic認証)・135・445・5985(WinRM) を確認し、ファームウェア更新のアップロード機能に対して UNC パスを埋め込んだ .scf(Shell Command File)をアップロード、閲覧時に発生するSMB接続を Responder で待ち受けて tony の NTLMv2 ハッシュをキャプチャ、john で tony:liltony にクラックして evil-winrm で WinRM ログインし user.txt を取得、Print Spooler の稼働を突く CVE-2021-1675(PrintNightmare)を Invoke-Nightmare(PowerShell版)で悪用して管理者ユーザーを追加・Administrator に昇格し root.txt を取得するまで、Windows 特有の .scf→NTLMリレーと PrintNightmare 権限昇格を全実行コマンドと結果付きで解説します。

HackTheBox「Horizontall」(Easy/Linux)の完全攻略レポート。Vue.js製SPAのバンドルJSから隠しvhost api-prod.horizontall.htb を発見し、そこで動く Strapi CMS 3.0.0-beta.17.4 に対して CVE-2019-18818（/admin/auth/reset-password の認証バイパス）で管理者JWTトークンを奪取、続けて CVE-2019-19609（/admin/plugins/install の Blind RCE）で strapi ユーザー権限のOSコマンド実行に持ち込み、authorized_keys へSSH公開鍵を注入してSSHログインし user.txt を取得、ss で見つけた localhost:8000 の内部 Laravel アプリへSSHローカルポートフォワードで到達し、root権限で稼働する Laravel の CVE-2021-3129（Ignition デバッグモードの phpggc Monolog/RCE1 デシリアライゼーションRCE）を突いて root.txt を取得するまで、JS解析から多段CVEチェーンまでを全実行コマンドと結果付きで解説します。

HackTheBox「Horizontall」(Easy/Linux)の完全攻略レポート。Vue.js製SPAのバンドルJSから隠しvhost api-prod.horizontall.htb を発見し、そこで動く Strapi CMS 3.0.0-beta.17.4 に対して CVE-2019-18818（/admin/auth/reset-password の認証バイパス）で管理者JWTトークンを奪取、続けて CVE-2019-19609（/admin/plugins/install の Blind RCE）で strapi ユーザー権限のOSコマンド実行に持ち込み、authorized_keys へSSH公開鍵を注入してSSHログインし user.txt を取得、ss で見つけた localhost:8000 の内部 Laravel アプリへSSHローカルポートフォワードで到達し、root権限で稼働する Laravel の CVE-2021-3129（Ignition デバッグモードの phpggc Monolog/RCE1 デシリアライゼーションRCE）を突いて root.txt を取得するまで、JS解析から多段CVEチェーンまでを全実行コマンドと結果付きで解説します。