HTB OneTwoSeven — Walkthrough Completo

Una walkthrough completa, dall'inizio alla fine, di OneTwoSeven, una macchina Linux HackTheBox ritirata. L'intera catena: generazione deterministica delle credenziali → escape della chroot SFTP tramite symlink → recupero del file di swap di vim → port-forwarding SSH verso un pannello admin protetto da firewall → bypass delle Apache RewriteRules commentate → RCE → CVE-2024-1086 (nf_tables UAF) per root.

Il gancio: l'upload del plugin "disabilitato" non era disabilitato — lo switch del gestore degli addon faceva match su REQUEST_URI, quindi la regola di rewrite attiva per il download poteva essere sfruttata per raggiungere il percorso di codice dell'upload. E il panic post-exploitation deliberato dell'exploit del kernel ha imposto un payload progettato per l'esfiltrazione.

Flags

• User: 94ab980a4ab2c7c1eb8c7f78334d5a5e
• Root: 42379deee25d3b678a7f0df5c055e888

Panoramica della catena

1. La generazione delle credenziali è deterministica — password = md5(REMOTE_ADDR)[:8], username = "ots-" + base64(pw[3:]) → ogni IP ottiene il proprio account SFTP, e 127.0.0.1 produce quello dell'admin.
2. Escape della chroot SFTP tramite symlink — la SFTP in chroot consente i symlink; Apache li risolve all'esterno della chroot → si legge /etc/passwd → si scopre l'account admin tramite il campo GECOS (127.0.0.1).
3. File di swap di vim di root — .login.php.swp recuperato dalla home dell'admin → credenziali del pannello ots-admin / Homesweethome1 (SHA-256 crackato con john + rockyou).
4. Port-forward SSH — l'account SFTP dell'admin consente il forwarding -L nonostante /bin/false → si raggiunge il pannello admin 60080 protetto da firewall.
5. Bypass della RewriteRule — upload "disabilitato" in , ma la rewrite di è attiva; il gestore degli addon fa switch su → piazza una shell PHP in → .

Contenuti

README.md     - questa panoramica
WRITEUP.md    - la walkthrough completa (ricognizione → user → pannello → RCE → root, scoperte, lezioni, timeline)
LICENSE       - MIT

Nota: la walkthrough dettagliata (WRITEUP.md) è scritta in spagnolo; il README funge da sintesi esecutiva in inglese.

Competenze dimostrate

Lezioni

1. Una funzionalità "disabilitata" imposta solo da una RewriteRule commentata non è un controllo di sicurezza — è un percorso a ostacoli.
2. Una chroot SFTP senza nosymlinks è solo decorativa quando un servizio vicino (Apache) risolve i percorsi al di fuori di essa.
3. Gli exploit del kernel con panic deliberati richiedono che il payload esfiltri i dati nello stesso istante in cui ottiene root.
4. env_keep in sudo -l non è mai decorativo — se i proxy vengono preservati, il traffico del comando consentito può essere intercettato (MITM).

Autore

Axel Feduzka · GitHub @dopaminauta · [email protected]

Walkthrough pratica su una macchina HackTheBox ritirata. Tutti gli attacchi eseguiti in un ambiente di laboratorio autorizzato; gli IP di destinazione sono stati sanificati.

Solve et Coagula — bound by EMET, driven by AHAVA.