Hack The Box - TwoMillion 解题报告

概述

本仓库包含我对 Hack The Box - TwoMillion 机器的完整通关过程。本报告旨在记录我的方法论、解释枚举过程，并展示最终同时获得 User 和 Root 权限的利用链。

免责声明： 本文仅用于教育目的。所有操作均在 Hack The Box 提供的合法实验室环境中进行。

机器信息

所涵盖的技能

• 枚举
• Web 应用测试
• JavaScript 分析
• API 枚举
• IDOR 漏洞
• 命令注入
• 凭据发现
• 本地权限提升
• CVE 利用

---

枚举

我开始对目标机器进行一些枚举，以查看它开放了哪些端口和服务。

在发现存在 HTTP 服务后，尝试重定向到另一个主机，但该主机名没有对应的 IP，因此我修改了 /etc/host

尝试打开链接后，我们得到了这个页面，然后继续访问感兴趣的页面，看看它有什么内容。

我发现了这个网页，并点击了 Join HTB。

然后我们检查了打开此页面时会加载哪些文件，并发现了一个有趣的 JS 文件。

这是该文件的内容，但它被混淆了，因此我们需要对其内容进行反混淆以理解代码。

这是代码，看起来我们有一些 URL 需要调查。

在这里，我尝试了解如何生成邀请密钥，并复制了这段编码数据进行解码。

使用本地 CyberChef 对其进行解码，我们得到了一个生成密钥的路径。

这里我们修改了 URL 路径，得到了一个邀请码，但它看起来是编码过的。

我尝试了 base64，居然成功了！！我得到了邀请密钥。

使用邀请码注册并填写详细信息。

我们得到了这个页面，并开始寻找有价值的东西。

我们发现了一个 VPN 文件生成器，如果我们能获取到关于特权账户的任何信息，那就非常有用了。

顺着上一页的链接继续探索，尝试寻找任何端点，我们发现了一些对管理员非常有吸引力的路径。

在这里，我开始尝试让我的账户获得管理员身份验证。

最后，我们获得了 ID，我认为我们已经拥有了管理员权限，所以现在我们需要检查身份验证状态。

是的，正如我们所料，我们拥有了管理员访问权限，所以下一步就是尝试以管理员身份为自己生成 VPN。

这里我们根据响应中的内容开始填写所请求的字段。

这里我们拿到了一个 VPN 文件，但为什么不试试命令注入呢？!!

正如我们所料，成功了！！！

在查看了像 .env 这样一个有趣的文件后，我们获得了 admin 的密码。

最终，我们进入了机器内部。

读取用户 flag

这里所有尝试都是为了获取 Root flag

这里我们收到了一封邮件，它揭示了一个非常重要的漏洞。

确定了内核版本后，我搜索了影响该版本的公开已知漏洞，并发现了 CVE-2023-0386。这是 Linux 内核 OverlayFS 实现中的一个**本地权限提升（LPE）**漏洞。它允许本地攻击者利用 OverlayFS 在处理具有 Linux capabilities 的文件时的缺陷来获得 root 权限。由于目标机器运行的内核存在漏洞，该漏洞为从当前用户提升至 root 提供了一条合适的途径。

我搜索了如何利用该漏洞，找到了这个 PoC，并尝试复现它。

我在我的虚拟机中下载了该仓库，使用 scp 将其复制到 TwoMillion 机器上，阅读了 README 文件，并部署了该利用程序。

这里我们获得了 Root 权限，并读取了 Root flag。

完成！！

谢谢 <3

Abdullah Rawashdeh