HTB - Outbound

write-ups
2.5k 詞

HTB - Outbound

pic

https://labs.hackthebox.com/achievement/machine/1503196/672

初始帳號 tyler / LhKL1o9Nm3X2

執行摘要

本次專案目標為取得目標伺服器的最高控制權。我們透過既有的初始帳號作為突破口，利用 Roundcube Webmail 的 RCE 漏洞 (CVE-2025-49113) 取得網頁伺服器權限。接著透過資料庫配置檔與內建解密腳本，成功橫向移動至內部員工 jacob 的信箱與 SSH 服務最終，我們利用開源監控工具 below 的本地提權漏洞 (CVE-2025-27591)，成功將最高權限寫入 /etc/passwd，達成 System Root 完破 (Pwned)。

資訊蒐集

首先先使用 nmap 初次枚舉一下資訊

1
2
sudo nmap -sS -sC -sV -oA save -p- -vv -T5 --min-rate=1000 10.129.232.158

pic
受測主機上有明顯的兩個 Port , 分別是網頁和 SSH 服務

pic
pic
通過原始碼可以得知版本號 , 我們可以利用版本號來搜尋有沒有相關能利用的漏洞

pic

通過搜尋結果我們可以得知受測主機的版本停留在有漏洞的版本

取得網站主機管理權限獲取

pic

通過 CVE-2025-49113 我們可以利用一個已經存在的帳號來取得 RCE 漏洞

cat config/config.inc.php
pic

進入網頁主機後找到設定檔 , 結果發現裡面有明文寫著的 MySQL 服務帳號密碼

1
mysql -u roundcube -pRCDBPass2025 roundcube

User table
pic

Session table

Key Value
password L7Rv00A8TuwJAr67kITxxcSgnIk25Am/
auth_secret DpYqv6maI9HxDL5GhcCd8JaQQW
request_token TIsOaABA1zHSXZOBpH6up5XFyayNRHaw

因為imap登入需要明文帳號密碼 , 所以伺服器中肯定存在解密的腳本一番尋找我們在 /bin中找到解密腳本

pic

至此 , 我們拿到受測主機信箱服務的一個使用者的帳號密碼
jacob:595mO8DmwGeD

登入郵件伺服器後看到pic
由上圖對話得知 Tyler 似乎是網路管理員 , 給了我們連入伺服器的帳號密碼 , 並提醒我們要修改所以 jacob 的 SSH 帳號密碼似乎會是 jacob:gY4Wr3a1evp4

pic

至此拿到了 user

權限提升Privilege Escalation

進到系統先 sudo -l 看有沒有用 root 權限跑得程式
pic
below 然後有幾個參數是被禁止的執行後看到版本為 0.8.0

pic

由於這是個開源程式 , 我們來看看 Github 主頁有什麼可以利用的資訊

到 Github 上看到有安全回報

pic

我們可以透過輸入指令錯誤的 log 來讀寫任意檔案 , 甚至增加帳戶測試一下我們的錯誤內容確實被紀錄在 root 這個帳戶的 log 裡面

pic

那這樣多了很多操作空間 , 我們能利用 error_root.txt 這個檔案來寫入任何檔案

所以我們先刪掉原本的 error_root 然後符號連接到 /etc/passwd

pic

引用剛剛頁面所說的 CVE-2025-27591 的 PoC
通過施測人員開設一個網頁伺服器投入受測主機

pic
至此達成 root

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
root:$y$j9T$pYysWAL0lX2oSXNpBeXs81$yinIBrOJnhJj7viI.GiorNEgZFyIewJbS3qnjgXth16:20247:0:99999:7:::
daemon:*:20135:0:99999:7:::
bin:*:20135:0:99999:7:::
sys:*:20135:0:99999:7:::
sync:*:20135:0:99999:7:::
games:*:20135:0:99999:7:::
man:*:20135:0:99999:7:::
lp:*:20135:0:99999:7:::
mail:*:20135:0:99999:7:::
news:*:20135:0:99999:7:::
uucp:*:20135:0:99999:7:::
proxy:*:20135:0:99999:7:::
www-data:*:20135:0:99999:7:::
backup:*:20135:0:99999:7:::
list:*:20135:0:99999:7:::
irc:*:20135:0:99999:7:::
_apt:*:20135:0:99999:7:::
nobody:*:20135:0:99999:7:::
systemd-network:!*:20135::::::
systemd-timesync:!*:20135::::::
messagebus:!:20135::::::
systemd-resolve:!*:20135::::::
pollinate:!:20135::::::
polkitd:!*:20135::::::
syslog:!:20135::::::
uuidd:!:20135::::::
tcpdump:!:20135::::::
tss:!:20135::::::
landscape:!:20135::::::
fwupd-refresh:!*:20135::::::
usbmux:!:20178::::::
sshd:!:20178::::::
_laurel:!:20178::::::
mel:$y$j9T$5lR6zOH0Y8G/9ZDhogu2o0$9..CpGSBi06uovpNhGjqaMhPkc3Yw/svG9T3bSBoeS2:20247:0:99999:7:::
tyler:$y$j9T$t1QDz.OaqfevjpnRfQrRY.$jJwx2.H.OkiHiW8T0f.3A1qS5ZfA7.nmwU3TE1otfb.:20247:0:99999:7:::
jacob:$y$j9T$5JYw1WIG1mlmMdj6BrGVV/$yimg6djeBwfHAaDiOPoU0le/aURm6fRaG.DXzBkmmmA:20247:0:99999:7:::