###### tags: `HackTheBox` `round 1`
# CyberSanta Baby APT
## description

This is the most wonderful time of the year, but not for Santa's incident response team. Since Santa went digital, everyone can write a letter to him using his brand new website. Apparently an APT group hacked their way in to Santa's server and destroyed his present list. Could you investigate what happened?
Это самое прекрасное время года, но не для команды реагирования на инциденты Санты. С тех пор, как Санта стал цифровым, каждый может написать ему письмо, используя его новый веб-сайт. Очевидно, группа APT взломала сервер Санты и уничтожила его текущий список. Не могли бы вы расследовать, что произошло? 

## objects

POST /user/register?element_parents=account/mail/%23value&ajax_form=1&_wrapper_format=drupal_ajax:
[
  {
    "command": "insert",
    "method": "replaceWith",
    "selector": null,
    "data": "uid=33(www-data) gid=33(www-data) groups=33(www-data)<span class=\"ajax-new-content\"></span>",
    "settings": null
  }
]

## commands

rm  /var/www/html/sites/default/files/.ht.sqlite && echo SFRCezBrX24wd18zdjNyeTBuM19oNHNfdDBfZHIwcF8wZmZfdGgzaXJfbDN0dDNyc180dF90aDNfcDBzdF8wZmYxYzNfNGc0MW59 > /dev/null 2>&1 && ls -al  /var/www/html/sites/default/files"

## actions

base64 decode
SFRCezBrX24wd18zdjNyeTBuM19oNHNfdDBfZHIwcF8wZmZfdGgzaXJfbDN0dDNyc180dF90aDNfcDBzdF8wZmYxYzNfNGc0MW59

## flags

HTB{0k_n0w_3v3ry0n3_h4s_t0_dr0p_0ff_th3ir_l3tt3rs_4t_th3_p0st_0ff1c3_4g41n}