Hack The Box

HackTheBox「Previse」(Easy/Linux)の完全攻略レポート。login.php への302リダイレクトを無視して accounts.php に直接POSTし管理者アカウントを不正作成、files.php からサイトバックアップZIPを入手して config.php の MySQL 認証情報を取得し、logs.php の delim パラメータがそのまま PHP の exec() に渡る OS コマンドインジェクション（; bash -i リバースシェル）で www-data を奪取、MySQL の accounts テーブルからダンプした m4lwhere の MD5-crypt ハッシュを hashcat でクラックして SSH ログインし user.txt、sudo -l で許可された root 実行スクリプトが gzip を絶対パスなしで呼ぶ点を突いた PATH 環境変数ハイジャックで root.txt を取得するまで、Web リダイレクト回避からソースコード監査・権限昇格までを全実行コマンドと結果付きで解説します。

HackTheBox: BountyHunter — 全実行コマンド・実行結果レポート :root { --bg: #ffffff; --bg2: #f6f8fa; --bg3: #eaeef2; ...

HackTheBox「Explore」(Easy/Android)の完全攻略レポート。ES File Explorer 4.1.9.7.4の無認証HTTP API脆弱性CVE-2019-6447をlistPics+GET creds.jpgで悪用して手書きメモ画像を取得し、記されたkristi:Kr1sT!5h@Rp3xPl0r3!でSSH(2222番、PTY)にログインしてuser.txt、SSHポートフォワードでlocalhost:5555のADBに到達しadb rootでadbdをroot再起動する権限昇格でroot.txtを取得するまで、Androidマシン特有の攻略を全実行コマンドと結果付きで解説します。

HackTheBox「Luanne」(Easy/Linux・NetBSD)の完全攻略レポート。robots.txtの/weatherで見つかるbozohttpdのLua Weatherアプリのos.executeインジェクションでRCEを獲得、.htpasswdを読み取ってjohnでクラック(webapi_user:iamthebest)、開発用bozohttpd(3001)からid_rsaを取得してr.michaelsにSSHしuser.txt、netpgp --decryptで暗号化バックアップを復号しjohnで再クラック(littlebear)、doas -u root shのPTY経由パスワード入力でroot.txtを取得するまで、全実行コマンドと結果を解説します。

HackTheBox「Laboratory」(Easy/Linux)の完全攻略レポート。SSL証明書のSANから発見したgit.laboratory.htbのGitLab CE 12.8.1(Docker)に@laboratory.htbドメインで自己登録し、CVE-2020-10977の任意ファイル読取とMarshalデシリアライズRCEでgitシェルを取得、gitlab-rails runnerで自己アカウントをadmin昇格してAPIトークンを得てdexterのid_rsaを奪取、SSHでuser.txt、docker-security SUIDバイナリの相対PATH呼び出しを偽chmodでハイジャックする権限昇格でroot.txtを取得するまで、全実行コマンドと結果を解説します。

HackTheBox「Academy」(Easy/Linux)の完全攻略レポート。register.phpのroleid=1パラメータ注入で管理者権限アカウントを作成し、dev-staging-01.academy.htbのLaravelデバッグページからAPP_KEYを漏洩、CVE-2018-15133(PendingBroadcastデシリアライゼーション)でwww-data RCE、ログ等から得た資格情報でsu cry0l1t3/mrb3nと横移動してuser.txt、sudo composer run-scriptのGTFOBins悪用による権限昇格でroot.txtを取得するまで、全実行コマンドと結果を解説します。

HackTheBox「Doctor」(Medium/Linux)の完全攻略レポート。doctors.htbの投稿タイトル経由のJinja2 Server-Side Template Injection(SSTI)でwebユーザーのRCEを獲得、apache2のバックアップログに平文で残ったshaun:Guitar123を漏洩させてsu shaunでuser.txt、Splunk Universal Forwarder(8089)に対するSplunkWhisperer2のappバンドルインストールRCEでroot権限実行を得てroot.txtを取得するまで、全実行コマンドと結果を解説します。

HackTheBox「Buff」(Easy/Windows)の完全攻略レポート。8080番で稼働するGym Management System 1.0の未認証ファイルアップロードRCE(EDB-48506)でbuff\shaunシェルを取得してuser.txt、chiselのリバーストンネル(R:8888:127.0.0.1:8888)でlocalhost限定のCloudMeに到達、CloudMe 1.11.2のバッファオーバーフロー(EIP=0x68A842B5のPUSH ESP;RET)を突いてbuff\administratorとなりroot.txtを取得するまで、全実行コマンドと結果を解説します。

HackTheBox「Tabby」(Easy/Linux)の完全攻略レポート。news.phpのLFIでtomcat-users.xmlを読み取ってtomcat:$3cureP4s5w0rd123!を入手、Tomcat ManagerのText APIにJSP Webシェル入りWARをデプロイしてRCE、backup.zipを発見しfcrackzipでパスワードをクラック(admin@it)してsu - ashでuser.txt、lxdグループ権限でAlpine split imageを使った特権コンテナをマウントする権限昇格でroot.txtを取得するまで、全実行コマンドと結果を解説します。

HackTheBox「Blunder」(Easy/Linux)の完全攻略レポート。/todo.txtの漏洩でユーザー名fergusを特定し、X-Forwarded-Forヘッダーをランダム化してBluditのブルートフォース保護をバイパスしてfergus:RolandDeschainを突破、画像アップロードのディレクトリトラバーサルRCE(CVE-2019-16113)でwww-dataシェルを取得、users.phpのSHA1ハッシュをクラックしてhugo:Password120でuser.txt、sudoのCVE-2019-14287(sudo -u#-1)でroot.txtを取得するまで、全実行コマンドと結果を解説します。