HTB OneTwoSeven — Passo a Passo Completo

Um passo a passo completo, de ponta a ponta, de OneTwoSeven, uma máquina Linux aposentada do HackTheBox. A cadeia completa: geração determinística de credenciais → escape do chroot do SFTP via symlink → recuperação de arquivo swap do vim → encaminhamento de porta SSH para um painel administrativo protegido por firewall → bypass das regras de Apache RewriteRule comentadas → RCE → CVE-2024-1086 (nf_tables UAF) para root.

A sacada: o upload de plugin "desabilitado" não estava desabilitado — o switch do gerenciador de addons correspondia ao REQUEST_URI, então a regra de rewrite ativa de download podia ser usada para alcançar o caminho de código do upload. E o pânico deliberado pós-exploração do exploit de kernel forçou um payload de exfiltração por design.

Flags

• User: 94ab980a4ab2c7c1eb8c7f78334d5a5e
• Root: 42379deee25d3b678a7f0df5c055e888

Visão geral da cadeia

1. A geração de credenciais é determinística — password = md5(REMOTE_ADDR)[:8], username = "ots-" + base64(pw[3:]) → cada IP recebe sua própria conta SFTP, e 127.0.0.1 produz a do admin.
2. Escape do chroot do SFTP via symlinks — o SFTP com chroot permite symlinks; o Apache os resolve fora do chroot → ler /etc/passwd → descobrir a conta do admin pelo campo GECOS (127.0.0.1).
3. Arquivo swap do vim do root — .login.php.swp recuperado do diretório home do admin → credenciais do painel ots-admin / Homesweethome1 (SHA-256 quebrada com john + rockyou).
4. Encaminhamento de porta SSH — a conta SFTP do admin permite encaminhamento com -L apesar do /bin/false → alcançar o painel administrativo 60080 protegido por firewall.
5. Bypass de RewriteRule — upload "desabilitado" no , mas a regra de rewrite de está ativa; o gerenciador de addons alterna com base no → coloca um shell PHP em → .

Conteúdo

README.md     - this overview
WRITEUP.md    - the full walkthrough (recon → user → panel → RCE → root, findings, lessons, timeline)
LICENSE       - MIT

Nota: o passo a passo detalhado (WRITEUP.md) está escrito em espanhol; o README serve como resumo executivo em inglês.

Habilidades demonstradas

Lições

1. Um recurso "desabilitado" aplicado apenas por uma RewriteRule comentada não é um controle de segurança — é uma pista de obstáculos.
2. Um chroot de SFTP sem nosymlinks é decorativo quando um serviço vizinho (Apache) resolve caminhos fora dele.
3. Exploits de kernel com pânico deliberado exigem que o payload exfiltre dados no mesmo instante em que obtém root.
4. env_keep em sudo -l nunca é decoração — se proxies são preservados, o tráfego do comando permitido pode ser alvo de MITM.

Autor

Axel Feduzka · GitHub @dopaminauta · [email protected]

Passo a passo de prática em uma máquina aposentada do HackTheBox. Todos os ataques executados em um ambiente de laboratório autorizado; IPs de destino anonimizados.

Solve et Coagula — limitado por EMET, movido por AHAVA.