HTB OneTwoSeven — 完全ウォークスルー

退役した HackTheBox の Linux マシン OneTwoSeven の、完全なエンドツーエンドのウォークスルーです。攻撃チェーン全体: 決定的なクレデンシャル生成 → SFTP chroot のシンボリックリンク脱出 → vim スワップファイルの復旧 → ファイアウォールで保護された管理パネルへの SSH ポートフォワーディング → コメントアウトされた Apache RewriteRule の迂回 → RCE → root 権限獲得のための CVE-2024-1086 (nf_tables UAF)。

核心: 「無効化された」はずのプラグインアップロードは、実際には無効化されていませんでした。アドオンマネージャーの switch は REQUEST_URI で判定していたため、有効な ダウンロード用リライトルールを利用してアップロードのコードパスに到達できたのです。さらに、カーネルエクスプロイトが意図的に引き起こすエクスプロイト後のパニックにより、設計段階から情報流出を前提とした (exfiltration-by-design) ペイロードが不可欠となりました。

フラグ

• ユーザー: 94ab980a4ab2c7c1eb8c7f78334d5a5e
• ルート: 42379deee25d3b678a7f0df5c055e888

攻撃チェーンの概要

1. クレデンシャル生成は決定的 — password = md5(REMOTE_ADDR)[:8]、username = "ots-" + base64(pw[3:]) → すべての IP に専用の SFTP アカウントが割り当てられ、127.0.0.1 からは管理者のアカウントが得られます。
2. シンボリックリンクによる SFTP chroot 脱出 — chroot された SFTP はシンボリックリンクを許可しており、Apache が chroot の外でそのリンクを解決します → /etc/passwd を読み取る → GECOS フィールドから管理者アカウントを発見 (127.0.0.1)。
3. root の vim スワップファイル — 管理者のホームから .login.php.swp を復旧 → パネルのクレデンシャル ots-admin / Homesweethome1 を入手 (john + rockyou で SHA-256 をクラック)。
4. SSH ポートフォワード — 管理者の SFTP アカウントは /bin/false にもかかわらず -L フォワーディングを許可 → ファイアウォールの内側にある 60080 の管理パネルへ到達。
5. RewriteRule の迂回 — .htaccess ではアップロードが「無効」だが、 のリライトルールは有効。アドオンマネージャーは で分岐する → で PHP シェルを に設置 → 。

内容

README.md     - this overview
WRITEUP.md    - the full walkthrough (recon → user → panel → RCE → root, findings, lessons, timeline)
LICENSE       - MIT

注: 詳細なウォークスルー (WRITEUP.md) はスペイン語で書かれています。この README は英語によるエグゼクティブサマリーです。

使用したスキル

教訓

1. コメントアウトされた RewriteRule だけで「無効化」されている機能は、セキュリティ対策ではありません。それは単なる障害物コースです。
2. nosymlinks のない SFTP chroot は、隣接するサービス (Apache) が chroot 外のパスを解決してしまう状況では、ただの飾りにすぎません。
3. 意図的にパニックを起こすカーネルエクスプロイトでは、root を獲得したまさにその瞬間にデータを外部へ送信するペイロードが求められます。
4. sudo -l の env_keep は決して飾りではありません。プロキシが保持されている場合、許可されたコマンドの通信は MITM される可能性があります。

作者

Axel Feduzka · GitHub @dopaminauta · [email protected]

退役した HackTheBox マシンでの練習用ウォークスルーです。すべての攻撃は認可済みのラボ環境で実施され、対象 IP はサニタイズされています。

Solve et Coagula — EMET に縛られ、AHAVA に駆られて。