30 writeups e contando.
Nenhum writeup encontrado com esses filtros.
Máquina Linux do HTB (Ouija) em que enumerei as portas SSH, HTTP e um serviço NFS via nmap, e no código-fonte da aplicação web encontrei o link de uma instância Gitea (gitea.ouija.htb) hospedando o repositório do site. As etapas de exploração inicial e de elevação de privilégios ainda não estão detalhadas nas minhas notas originais e precisam ser revisitadas.
Explorei o SQLPad exposto em sqlpad.sightless.htb, vulnerável ao CVE-2022-0944 (RCE via template injection ao criar uma conexão), obtendo shell dentro de um container Docker. A partir do /etc/shadow do container, quebrei com hashcat o hash do usuário michael e usei a senha para acessar a máquina real via SSH. De lá, redirecionei a porta interna 8080 via SSH para investigar um serviço interno, mas a escalada final até root não ficou documentada nas notas originais.
Nesta máquina Linux explorei o Craft CMS exposto na porta 80, vulnerável ao CVE-2023-41892 (Remote Code Execution), obtendo execução de comandos e acesso inicial ao servidor através de um script Python automatizado. Também havia um serviço NFS exposto identificado durante a varredura. A etapa de elevação de privilégios ainda não está detalhada nas notas e precisa ser revisitada.
Explorei um portal PHP na porta 8080 fazendo bypass do filtro de upload com a extensão .phar para obter um web shell e execução remota de comandos como www-data. Escalei para root explorando a vulnerabilidade de overlayfs em user namespaces (CVE-2023-2640/CVE-2023-3262), encontrando credenciais de banco de dados e o /etc/shadow. Com credenciais reaproveitadas, acessei um segundo serviço web (webmail), obtive um e-mail válido e realizei phishing com um arquivo .eps malicioso para conseguir shell em uma estação Windows conectada a uma rede interna adicional.
Máquina Windows do HTB explorada através de um build server .NET que compila repositórios Git arbitrários: hospedei um payload malicioso via evento PreBuild no .csproj (abuso do MSBuild <Exec>) em um servidor Gitea próprio para obter uma reverse shell inicial. A partir daí, aproveitei permissão de escrita em C:xampphtdocs para subir uma webshell PHP, usei o FullPowers para restaurar privilégios do token de serviço e, com SeImpersonatePrivilege habilitado, escalei para SYSTEM usando o PrintSpoofer.
Writeup da máquina Drive (Hack The Box), de dificuldade Hard e categoria Linux. Aborda o reconhecimento inicial e a exploração de uma falha de IDOR no endpoint "/block" de uma aplicação web de compartilhamento de arquivos para obter acesso via SSH, seguida de pós-exploração com reutilização de senha em um Gitea interno e escalada de privilégios via carregamento de extensão maliciosa no SQLite.
Writeup da máquina Manager (Hack The Box, dificuldade Média): enumeração de usuários AD via RID brute force e password spray em SMB/MSSQL, uso do xp_dirtree no MSSQL para localizar um backup do site IIS com credenciais, obtenção de shell via evil-winrm e escalonamento de privilégios até Administrator explorando o Active Directory Certificate Services (ADCS).
Exploração da máquina Devvortex (Hack The Box) através da CVE-2023-23752, que expõe credenciais do Joomla via API. Com as credenciais obtidas foi feito login no painel administrativo e alcançado RCE editando um template PHP como webshell. A escalada de privilégios final abusa do sudo apport-cli via pager para obter shell de root.
Exploração da CVE-2023-30547, uma falha de sandbox escape na biblioteca vm2 usada por uma aplicação Node.js, para obter execução remota de código e acesso inicial como o usuário svc. Escalonamento até root via quebra de hash bcrypt e ataque de força bruta caractere a caractere contra um script sudo vulnerável.
Máquina Linux Easy do HTB explorada via SSRF no Request Baskets (CVE-2023-27163) para alcançar o Maltrail 0.53 interno, vulnerável a command injection não autenticado. A escalada para root abusa de uma regra de sudo sobre systemctl status via pager.
Writeup da máquina Linux TwoMillion (Hack The Box), classificada oficialmente como Easy. O escaneamento inicial com nmap identificou os serviços SSH (22), HTTP (80) e NFS expostos, e a obtenção de shell foi automatizada por meio de um script em Python (sau-getshell.py). As etapas detalhadas de exploração e elevação de privilégios ainda não constam nas notas originais.
Exploração de uma aplicação web de compressão de imagens vulnerável ao CVE-2022-44268 no ImageMagick, permitindo leitura arbitrária de arquivos e o roubo de credenciais do banco SQLite da aplicação. A escalada de privilégios para root é feita abusando do CVE-2022-4510 em uma versão desatualizada do binwalk, usada por um script de varredura de malware executado periodicamente pelo root.
Máquina Linux fácil do HTB explorando o plugin BookingPress do WordPress, vulnerável a SQL Injection (CVE-2022-0739), para extrair credenciais. Em seguida, uma falha XXE no WordPress permite ler o wp-config.php e obter acesso FTP, de onde surgem credenciais SSH do usuário jnelson. A escalada para root é feita quebrando a passphrase GPG que protege o cofre de senhas do Passpie.
Exploração de uma aplicação Flask (Searcher) vulnerável a RCE via eval() no pacote Searchor (CVE-2023-43364), seguida de reutilização de credenciais entre um Gitea interno e o banco de dados. Escalonamento para root através de uma referência a caminho relativo em um script Python executado via sudo.
Exploração de exports NFS sem restrição de host e sem validação real de UID/GID, permitindo personificar o dono do webroot e subir uma webshell. A escalada de privilégios sequestra a sessão X11 de outro usuário via .Xauthority para capturar a senha de root exposta na tela.
Máquina Linux de dificuldade fácil do Hack The Box. O acesso inicial é obtido enumerando o serviço SNMP, que revela as credenciais do usuário daniel para SSH. Dentro da máquina, uma aplicação web interna (Pandora FMS) é identificada e explorada via SQL Injection (CVE-2021-32099) e RCE autenticado (CVE-2020-5844), concedendo acesso como o usuário matt. A elevação de privilégios para root é obtida explorando uma falha de PATH hijacking em um binário SUID.
Writeup da máquina Soccer (HackTheBox, Linux, fácil). O acesso inicial explora credenciais padrão do Tiny File Manager para upload de uma webshell PHP. A partir daí, uma SQL Injection cega via WebSocket em um segundo vhost expõe credenciais do usuário player, e o escalonamento para root é feito abusando de uma regra do doas que permite rodar o dstat com um plugin Python malicioso.
Máquina Linux com um plugin do WordPress (ebook-download) vulnerável a Directory Traversal, usado para ler /proc e localizar um GDB Server rodando como o usuário user. A exploração do GDB Server remoto entregou a shell inicial. A escalada para root foi feita anexando-se a uma sessão de screen que o root mantinha aberta em loop.
Máquina Linux com uma instância do Metabase vulnerável a RCE pré-autenticação (CVE-2023-38646), explorada para obter shell dentro de um container Docker. Credenciais encontradas em variáveis de ambiente do container permitiram acesso SSH ao host, cujo kernel desatualizado foi explorado via GameOverlay (CVE-2023-2640/CVE-2023-32629) para escalar a root.
Máquina Linux explorada via transferência de zona DNS (AXFR) que revelou subdomínios ocultos, seguida de SQL Injection para bypass de login em um painel administrativo. A partir do painel, um campo de traceroute vulnerável a RCE permitiu obter shell. A escalada para root foi feita sobrescrevendo um script PHP (artisan do Laravel) executado pelo crontab com permissões de root.
Writeup da máquina Resolute (HTB), Windows/Active Directory de dificuldade Media. Enumeração via RPC expõe usuários e uma senha em texto claro, que reutilizada via password spray dá acesso inicial. Escalonamento explora abuso do grupo DnsAdmins para carregar uma DLL maliciosa no serviço DNS e obter execução como SYSTEM, chegando a Domain Admin.
Exploração de uma falha de upload de arquivo (bypass de blacklist de extensões) para acesso inicial em um servidor web, seguida de pivoting por três hosts internos (Ubuntu, DNS e Vault) via túnel SSH, abuso de configuração OpenVPN e uma técnica de restrição por porta de origem. A cadeia termina com a decodificação de uma flag de root protegida por GPG.
Máquina Windows Easy do HTB explorada via CVE-2014-6287, uma falha de RCE no HTTP File Server (HFS) 2.3.x da Rejetto causada por um bypass de regex com byte nulo. A exploração via campo de busca da aplicação gerou uma shell PowerShell como o usuário kostas, que já possuía acesso total à pasta do Administrator, permitindo o comprometimento completo do sistema.
Exploração de um servidor Jenkins exposto na porta 50000 para obter RCE via Script Console. A partir do shell inicial, um banco de dados KeePass (.kdbx) foi quebrado com John/Hashcat, revelando um hash NTLM do Administrator usado em ataque pass-the-hash para escalonamento total de privilégios.
Exploração de uma falha de IDOR em uma aplicação web de monitoramento de rede para baixar capturas de pacotes de outros usuários, revelando credenciais em texto claro usadas para acesso SSH. A escalação de privilégios foi feita abusando da capability cap_setuid presente no binário python3.8.
Exploração da máquina Forest do Hack The Box: enumeração anônima via RPC/SMB para extrair usuários do domínio, ataque de AS-REP Roasting contra a conta svc-alfresco para obter acesso inicial via WinRM, e escalonamento de privilégios abusando de permissões delegadas ao grupo Exchange Windows Permissions para executar um ataque DCSync e comprometer o Administrator do domínio.
Exploração de uma senha GPP (Group Policy Preferences) exposta em um compartilhamento SMB anônimo, decifrada por conta da chave AES pública da Microsoft. A credencial obtida foi usada em um ataque de Kerberoasting contra a conta Administrator, permitindo quebrar a senha offline e assumir o controle total do domínio Active Directory.
Exploração da máquina Shocker do Hack The Box via ShellShock (CVE-2014-6271) em um script CGI do Apache, obtendo execução remota de comandos e uma shell reversa como o usuário shelly. O escalonamento para root foi feito abusando de uma permissão sudo sem senha no binário perl.
Máquina Linux de dificuldade Medium do HTB. O acesso inicial explora um LFI encadeado com RCE via injeção de PHP no phpLiteAdmin exposto na porta 443, após força bruta de credenciais do usuário admin. A escalada para root ocorre via CVE-2014-0476 no chkrootkit (<0.49), executado periodicamente como root por um cron job.
Exploração da máquina Legacy (HTB), um Windows XP com SMB exposto e vulnerável ao MS17-010 (EternalBlue). Após enumeração com nmap, o acesso como administrador do sistema (NT AUTHORITY SYSTEM) foi obtido diretamente via módulo ms17_010_psexec do Metasploit, sem necessidade de escalonamento de privilégios adicional.