Write-up Shoppy [Easy] - Hack The Box (Informal)
Publicación del write-up de sujeto a las guías generales de Hack The Box.
Write-up Shoppy [Easy] - Hack The Box (Informal)
Mi perfil de Hack The Box: julianglez16
Http-enum de nmap encuentra un /login. Gobuster encuentra /login, /images, /admin, /assests, etc… la mayoría devuelven 301, 302 o redirigen a login.
Tras preguntar a un usuario por instagram, sé que es un SQLi con MongoDB. Aún sabiendo esto voy a intentar realizar los pasos como si no supiese que es MongoDB.
La query que da acceso es " admin' || ' :
1
2
3
db.collections.find( { $where: success() {
return ( this.usename == $username and this.password == $password) # username = admin' || ' y password = "
} } )
LA PETICIÓN INYECTADA:
1
2
3
db.collections.find( { $where: success() {
return ( this.usename == 'admin' || ' and this.password == '')
} } )
Una vez dentro del panel de admin se pueden buscar usuarios. Con un brute force se obtienen admin y josh.
Una vez cogidos los datos de estos usuarios se hace una enumeración de los subdominios de shoppy.htb con gobuster –> ESTO TENDRÍA QUE HABERLO HECHO AL PRINCIPIO O DESPUÉS DEL LOGIN –> se encuentra mattermost.shoppy.htb
Con john o una herramienta online se crackea la contraseña (es una contraseña hasheada en MD5) y da como resultado “xxxxxxxxx”. Con eso se accede a la cuenta de josh en mattermost.shoppy.htb
Mattermost es un chat donde se encuentran las credenciales de acceso a la máquina por ssh. Una vez dentro se encuentra la flag user.txt y creo que se puede acceder al root mediante el binario password-manager en /home/deploy -> al hacer cat (no funciona strings) se puede ver que la contraseña para ver las credenciales es “Sample” y te da las credenciales del usuario deploy, que pertenece al grupo docker y deploy. Perteneciendo al grupo docker se puede ejecutar una shell con privilegios de root.