Hackthebox: LinkVortex walkthrough

Sau khoảng 2,5 năm đi làm công nhân pentest :D (1 năm rưỡi làm whitebox) mình thử làm lại lab trên Hackthebox xem khả năng của mình như nào 😎

Chọn mấy máy dễ dễ làm trước, nhãn để là Easy nhưng thực ra không phải piece of cake hẳn đâu

Kết quả scan nmap, OpenSSH 8.9p1 tồn tại lỗ hổng RCE regreSSHion (CVE-2024-6387) tuy nhiên cũng khó để khai thác trong thực tế

Sử dụng ffuf để tìm subdomain, tìm được domain dev.linkvortex.htb

Sử dụng dirsearch tìm sub directory trên domain dev, thấy có folder .git

Ngoài ra có thể cài thêm extension DotGit trên Chrome, khi truy cập 1 website, sẽ tự động thông báo nếu website đó có folder .git

Sử dụng git-dumper (https://github.com/arthaud/git-dumper) để dump source code về

Khi truy cập vào website product, lấy được thông tin version của CMS Ghost 5.58

Ngoài ra có thể sử dụng whatweb hoặc nuclei thay thế cho wappalyzer

CMS này tồn tại lỗ hổng cho phép đọc file bất kỳ (https://github.com/0xDTC/Ghost-5.58-Arbitrary-File-Read-CVE-2023-40028), tuy nhiên cần tài khoản xác thực

Sử dụng dirsearch tìm sub directory trên website product, tìm được 2 file sitemap.xml và robots.txt, từ sitemap.xml tìm được user admin

Từ robots.txt tìm được uri login portal ghost, dựa vào error response để enum username

Trong TH user không tồn tại sẽ báo lỗi như ảnh dưới

Nếu search password trong source code thì sẽ ra rất nhiều kết quả :D, tuy nhiên để ý trong commit code thấy được 1 commit thay đổi password

Thử đăng nhập portal và thành công

Sau khi đã có tài khoản, khai thác lỗi đọc file của CMS Ghost 5.58

Để ý 1 commit còn lại sẽ tìm được đường dẫn file cấu hình ứng dụng web

Đọc file tại đường dẫn /var/lib/ghost/config.production.json tìm được tài khoản mail

SSH thành công tài khoản user bob

Tiếp theo đến phần leo quyền

Sử dụng command sudo -l để kiểm tra quyền user bob, user này có quyền thực thi sudo với script clean_symlink.sh

Nội dung file clean_symlink.sh