> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-easy/delivery-hackthebox-writeup.md). # Relato do HackTheBox Delivery {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Enumeração de Hosting Virtual * Abusando do sistema de tickets de suporte * Acesso ao MatterMost * Vazamento de Informações * Enumeração de banco de dados - MySQL * Quebrando hashes * Testando regras do hashcat para criar senhas * Testando o sucrack para descobrir a senha de um usuário {% endhint %} ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir comunicação estável com a máquina-alvo.

**Descoberta de portas abertas com Nmap:** Enumere as portas abertas e exporte os resultados para o arquivo "allPorts" no diretório do Nmap: ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 -vvv 10.10.10.222 -oG allPorts ```

**Análise de portas abertas com extractPorts:** Use a função extractPorts para exibir as portas abertas em um formato conciso e copiá-las para a área de transferência (22,80,8085)

**Varredura de versão de portas com Nmap:** Use o Nmap para verificar as versões dos serviços e salvar a saída no arquivo "targeted": ```bash nmap -sCV -p22,80,8065 10.10.10.222 -oN targeted ```

### Porta 80:

**Identificação de informações com o WhatWeb:** Executar o WhatWeb revela um usuário **jane** com o endereço de e-mail ****. ```bash whatweb 10.10.10.222 ```

Também encontramos um domínio **delivery.htb** e um subdomínio **helpdesk.delivery.htb**.

**Configuração do arquivo /etc/hosts** Adicionamos o endereço IP do alvo ao nosso `/etc/hosts` arquivo para facilitar as resoluções DNS locais.

## **Central de Suporte - HelpDesk :** O `helpdesk.delivery.htb` O subdomínio permite criar tickets de suporte. Estamos tentando criar uma conta com as seguintes informações:

**Abrindo um ticket** * `jordan@delivery.com`

Um novo ticket é aberto, e recebemos um e-mail contendo um identificador: * **E-mail** : <7990131@delivery.htb> * **ID do ticket**: 7990131

Ao verificar o ticket, usamos nosso próprio endereço de e-mail (****), embora não tenhamos criado ele, assim como o número do ticket recebido (**7990131**).

Isso nos permite acessar a caixa de correio associada.

### Porta 8065 - Mattermost **Descoberta do Mattermost:** Porta **8065** hospeda um **Mattermost** CMS.

**Tentando criar uma conta:** Estamos tentando criar uma conta, então usamos o endereço de e-mail: <7990131@delivery.htb> nome: jordan1 senha Jordan1234#

Recebemos uma mensagem de verificação contendo um **token** para ativar a conta:

{% code overflow="wrap" %} ``` http://delivery.htb:8065/do_verify_email?token=hs36amqfpkm3hcguxsmrton83e7a9k7xp595rga6zhwzd35awf1krpftfqink3go&email=7990131%40delivery.htb ``` {% endcode %}

Após a validação, nos conectamos com nossas credenciais e acessamos o Mattermost **painel de administração**.

**Recuperação de credenciais** No **"Trocar canais"** na seção encontramos uma mensagem contendo um nome de usuário e uma senha: * **Nome de usuário**: `maildeliverer` * **Senha**: Youve/\_G0t/\_Mail!

Em seguida, tentamos uma conexão SSH com essas credenciais: ```bash ssh maildeliverer@delivery.htb ```

### Flag user.txt :)

## **Escalada de privilégios** Vamos até a raiz do sistema, na `/var/www/html/osticket` pasta, e filtramos pela palavra **senha**: ```bash grep -ir "password" ``` Não encontramos nada interessante. Agora vamos procurar informações para **Mattermost** filtrando os processos em execução: ```bash ps -faux ```

Percebemos que o Mattermost está instalado em `/opt` e encontramos um **config.json** arquivo.

Ao abri-lo, descobrimos credenciais para o banco de dados SQL:

* Nome de usuário: `mmuser` * Senha: `Crack_The_MM_Admin_PW` ### Conectando ao MySQL Usamos essas credenciais para nos conectar ao banco de dados: ```bash mysql -u mmuser -p ``` Listamos os bancos de dados: ```sql show databases; use mattermost ```

Listamos as tabelas disponíveis e descrevemos a estrutura da **Users** tabela: ```sql show tables; describe Users; ```

Por fim, selecionamos as **Nome de usuário** e **Senha** colunas: ```sql select Username, Password from Users; ``` Em seguida, encontramos o **hash da senha do root:** `$2a$10$VM6EeymRxJ29r8Wjkr8Dtev0O.1STWb4.4ScG.anuu7v0EFJwgjjO`

### 1. Força bruta - Hash Usamos **hashid** para identificar o tipo de hash: ```bash hashid hash ```

O hash é identificado como **bcrypt**. Com **John the Ripper**, lançaremos um ataque de força bruta especificando o **bcrypt** formato: ```bash john --format=bcrypt hash -w /usr/share/wordlists/rockyou.txt ``` No entanto, isso não funciona com **rockyou.txt**, nenhuma senha encontrada.

Observando o chat em grupo, percebemos que eles dizem diretamente que a senha **"PleaseSubscribe!"** é reutilizada. Essa senha não aparece em **rockyou.txt**, mas um invasor poderia usar **hashcat** para gerar variações.

### Variações de senha - Hashcat **Geração de variantes com Hashcat** Com **hashcat**, criaremos variações da senha: ```bash hashcat --stdout -r /usr/share/hashcat/rules/best64.rule password ```

Em seguida, tentaremos quebrar o hash usando **hashcat** e o novo dicionário: ```bash hashcat -m 3200 -a 0 hash passwords ``` A senha encontrada é: **PleaseSubscribe!21**

### 2. Força bruta no "su" - sucrack Vamos lançar um ataque contra **su**: ```bash sucrack -w 20 -u root passwords ```

Isso nos diz que a senha está correta: **PleaseSubscribe!21** Conseguimos fazer login como **root**.

### Flag root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-easy/delivery-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.