> For the complete documentation index, see [llms.txt](https://4lec4st.gitbook.io/4lec4st/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://4lec4st.gitbook.io/4lec4st/writes-ups/hack-the-box/medium/environment.md).
# Environment
## Información de la máquina
`Environment` es una máquina Linux de dificultad media. El acceso inicial implica la explotación de [CVE-2024-52301](https://nvd.nist.gov/vuln/detail/CVE-2024-52301), que permite manipular el entorno mediante el parámetro `--env`, omitiendo así la funcionalidad de inicio de sesión. Desde el panel de administración, se explota [CVE-2024-2154](https://nvd.nist.gov/vuln/detail/CVE-2024-2154) para cargar una webshell `PHP` incrustada en una imagen de perfil, lo que permite al jugador acceder mediante la ejecución de comandos. En el sistema comprometido, se pueden encontrar claves `GPG` expuestas junto con una copia de seguridad cifrada. Los datos descifrados contienen contraseñas de usuario válidas, lo que permite el acceso `SSH`. La escalada de privilegios se logra mediante el uso de permisos de sudo. El usuario puede ejecutar un script con privilegios elevados. Aunque el script en sí es inofensivo, la variable de entorno `BASH_ENV` se conserva al aumentar los privilegios, lo que permite la ejecución de comandos arbitrarios como root.
***
## Reconocimiento
Empezaremos haciendo un primer reconocimiento para ver los puertos abiertos en el sistema.
**1. `-p-` → Escaneo de todos los puertos (1-65535)**
Por defecto, `nmap` solo escanea los **1000 puertos más comunes**.\
Con `-p-`, forzamos a que escanee **los 65,535 puertos** de la máquina objetivo, lo que puede ser útil para encontrar servicios que corren en puertos poco convencionales.
**2. `--open` → Filtrar solo los puertos abiertos**
Cuando escaneamos un sistema, muchos puertos pueden estar cerrados o filtrados por un firewall.\
Este parámetro hace que `nmap` **solo muestre los puertos abiertos**, reduciendo el ruido y facilitando el análisis.
**3. `-sS` → Stealth Scan (Escaneo Sigiloso con SYN)**
Es conocido como **"TCP SYN Scan"**, y funciona de la siguiente manera:
* `nmap` envía un paquete **SYN** (solicitud de conexión).
* Si el puerto está abierto, el servidor responde con **SYN-ACK**.
* En lugar de completar la conexión con un **ACK**, `nmap` responde con un **RST (Reset)**, interrumpiendo la comunicación.
**4. `--min-rate 5000` → Velocidad mínima de paquetes (5000 por segundo)**
Por defecto, `nmap` ajusta dinámicamente la velocidad de los paquetes según la respuesta de la red.\
Con `--min-rate 5000`, obligamos a `nmap` a **no enviar menos de 5000 paquetes por segundo**, acelerando el escaneo.
**5. `-n` → Deshabilitar resolución DNS**
Normalmente, `nmap` intenta resolver el nombre de dominio de las IPs escaneadas (DNS lookup).\
Con `-n`, evitamos esta resolución de nombres, lo que **acelera el escaneo** y evita que los servidores DNS registren nuestra actividad.
**6. `-Pn` → Omitir detección de host (Host Discovery Off)**
Por defecto, `nmap` envía paquetes ICMP (ping) para ver si un host está activo antes de escanearlo.\
Si un firewall bloquea los pings, `nmap` puede marcarlo como "host down" y no escanearlo.
**7. `-oG`** **→ Exportar el contenido en formato grepeable**
Todo el resultado del escaneo lo exportaremos en un archivo llamado **`puertos` .**
El escaneo revela que los puertos **22 (SSH)** y 80 **(HTTP)** están abiertos. Ahora realizamos un escaneo más detallado:
**1. `-p22,80` → Escaneo de puertos específicos**
Con `-p22,80`, le indicamos que **solo** escanee los puertos **22 (SSH)** y 8**0** (HTTP).
**2. `-sCV` → Escaneo de versiones y scripts básicos**
Este parámetro en realidad es **dos combinaciones en una**:
* **`-sC`** → Activa los **NSE scripts por defecto** en `nmap` (similar a usar `--script=default`).\
Ejecuta scripts básicos para enumerar información del servicio detectado, como banners, versiones, etc.
* **`-sV`** → Realiza **fingerprinting de versiones**, intentando identificar la versión exacta del software en cada puerto abierto.
**3. `-oN` → Guardar el resultado en formato Normal**
Por defecto, `nmap` muestra los resultados en pantalla, pero con **`-oN targeted`**, guardamos el resultado en un archivo en **formato legible para humanos**.
## Enumeración de directorios con feroxbuster
El proceso de enumeración de directorios identificó endpoints de interés:(`/mailing`), posiblemente vinculado a gestión o envío de mensajes; un endpoint de autenticación (`/login`), utilizado como punto de entrada para credenciales de usuarios; y un endpoint de carga de archivos (`/upload`), entre otros.
**Directorio raíz (`/`)**: Se visualiza el contenido inicial de la aplicación, que sirve como punto de entrada principal para la navegación y análisis.
**Ruta `/login`**: Corresponde al formulario de autenticación de usuarios, donde se gestionan las credenciales para el acceso a la aplicación.
Devuelve una página específica (posiblemente relacionada con pruebas de disponibilidad o funcionalidad interna), lo que indica la existencia de endpoints adicionales no documentados.
**Ruta `/upload`**: Al intentar acceder, la aplicación responde con un error que expone información sensible. Concretamente, se revelan la versión del intérprete **PHP** y del framework **Laravel**, lo que proporciona datos de huella tecnológica útiles para identificar posibles vulnerabilidades asociadas a esas versiones.
## CVE-2024-52301 -> --env variable
**CVE-2024-52301** es una vulnerabilidad de *argument injection* en el framework **Laravel**: cuando `register_argc_argv` en PHP está activado, un atacante puede inyectar valores de `argv` a través de la cadena de consulta (query string) y forzar que Laravel use un *environment* distinto (p. ej. `--env`) durante el procesamiento de la petición. Esto permite manipular la detección del entorno de ejecución de la app.
Repositorios y PoC/escáneres públicos muestran que la explotación se basa en pasar fragmentos `argv` en la query string (p. ej. `argv[0]=--env` / `argv[1]=value` o la sintaxis `--env=value`) para que la lógica de detección del framework lo interprete como parámetros CLI.
{% embed url="" %}
La petición a `/login` transmite `_token`, `email`, `password`, `remember`. Si se envía la petición sin `email` y `password` la app responde con `500 Internal Server Error`. Los errores se muestran en la página (stack trace / mensajes), y además en `/upload` ya habíamos visto que el servidor revela la versión de **PHP** y **Laravel**.
La aplicación devuelve **mensajes de error y stack traces en respuestas HTTP** visibles desde el navegador, lo cual expone información sensible sobre la implementación y el flujo de procesamiento.
## Login Bypass
Al inyectar un valor no booleano en un parámetro esperado como `True`/`False`
La aplicación devolvía un error distinto que revelaba la presencia de un *entorno* denominado **preprod**.
Aprovechando esto se forzó que la aplicación cargase el *environment* `preprod`
Como resultado, conseguimos eludir el flujo de autenticación y acceder a `/management/dashboard`.
## File Upload -> CVE-2024-21546 -> RCE -> Shell www-data
Observamos una funcionalidad de *upload* en la sección de perfil.
Interceptamos la petición HTTP con BurpSuite añadiendo una imagen cualquiera
La respuesta/metadata del servidor revela la ruta de almacenamiento absoluta o la URL pública del fichero subido. (Dato informativo, no esencial para la explotación).
Forzando una condición de fallo en el upload (payload malformado/tipo no permitido) se obtiene un mensaje de error detallado desde el servidor.
El mensaje/stacktrace identifica la librería `unisharp/laravel-filemanager` como componente responsable del manejo de ficheros.
Al buscar la librería con bases de vulnerabilidades se identifica la vulnerabilidad registrada como CVE (disponible en bases públicas); se trata de una inyección/ejecución remota de código relacionada con la validación incorrecta del tipo MIME y la manipulación del nombre de archivo.
Este script en Python disponibles públicamente que automatizan el proceso de explotación
Clonamos el repositorio
Se parametriza el script y se levanta un listener con netcat para aceptar la reverse shell cuando ésta se conecte.
La ejecución del payload proporciona una shell remota con los privilegios del proceso web (habitualmente `www-data`), confirmando ejecución remota de código con el contexto del servidor web.
## Shell hish -> Decrypt gpg file
Hemos obtenido acceso inicial limitado al usuario `www-data` y logrado localizar el archivo `user.txt.` El siguiente paso consiste en escalar privilegios para obtener un shell con privilegios de `root`.
Se identifica un archivo cifrado (`.gpg`) en `/home/hish/backup`. Al intentar descifrarlo desde el contexto del usuario actual, el proceso falla debido a restricciones de permisos de acceso al directorio `.gnupg` del propietario.
Creamos un directorio temporal en `/tmp` y copiamos de manera recursiva el directorio `.gnupg` del usuario `hish`, que contiene la clave privada y configuración de GPG. Posteriormente, utilizamos `gpg -d --home /tmp/` para especificar un *home* alternativo y descifrar el archivo `.gpg`, extrayendo así las credenciales almacenadas de `hish`
Con las credenciales obtenidas (usuario `hish` y su contraseña), se establece una sesión SSH hacia el host `Environment.htb`, obteniendo un shell con los privilegios del usuario `hish`
## Root Access
Cuando Bash se inicia, decide qué archivos de configuración leer en función de cómo fue invocado:
* **Shell interactivo** (cuando abres una terminal): Bash carga archivos como `~/.bashrc` o `~/.bash_profile` para configurar tu entorno.
* **Shell no interactivo** (cuando se ejecuta un script o se llama a `bash -c`): Bash normalmente no carga esos archivos de configuración.
* Sin embargo, si la variable de entorno **`BASH_ENV`** está definida, Bash toma su valor como la ruta de un archivo y lo ejecuta antes de correr el script.
* Esto equivale a decir: *“si existe `BASH_ENV`, antes de ejecutar nada, ejecuta el contenido de ese archivo”*.
* Importante: Bash no busca ese archivo en las rutas del `PATH`, sino que debe estar indicado de manera explícita (con ruta relativa o absoluta).
* Si el shell no interactivo además se abre con la opción `--login`, entonces Bash intenta cargar los mismos archivos que cargaría un shell de inicio de sesión (`/etc/profile`, `~/.bash_profile`, etc.), independientemente de `BASH_ENV`.
Tenemos acceso como root
Podemos ver la flag final.
***
## Conclusión
La máquina **Environment** representa un escenario de dificultad media que permite practicar técnicas completas de post-explotación en un entorno Linux. El acceso inicial se logra mediante la explotación de **CVE-2024-52301**, una vulnerabilidad de *argument injection* que permite manipular el entorno de ejecución de la aplicación Laravel y eludir la autenticación estándar. Posteriormente, mediante **CVE-2024-21546**, se explota la funcionalidad de subida de archivos para inyectar una webshell PHP en el perfil de usuario, lo que permite ejecutar comandos arbitrarios con los privilegios del proceso web (`www-data`).
Durante la fase de post-explotación, se identificaron archivos GPG cifrados que contenían credenciales de usuarios. Aprovechando la capacidad de GPG de especificar un *home* alternativo, se pudo descifrar la copia de seguridad y obtener la contraseña del usuario `hish`. Con estas credenciales, se estableció una conexión SSH, avanzando la escalada de privilegios hacia un usuario con mayores permisos.
Finalmente, la escalada a **root** se realizó explotando la persistencia de la variable de entorno `BASH_ENV` en un script ejecutable con privilegios de sudo. Esto permitió ejecutar comandos arbitrarios como `root`, culminando con la obtención de la flag final.