Expressway

https://app.hackthebox.com/machines/736

Expressway es la primera máquina easy de la Season 9

Escaneo Inicial

 nmap -sS -p- -n -Pn --open --min-rate 5000 -oN escaneo.txt -sCV 10.10.11.87
 Nmap scan report for 10.10.11.87
 Host is up (0.22s latency).
 Not shown: 65534 closed tcp ports (reset)
 PORT   STATE SERVICE VERSION
 22/tcp open  ssh     OpenSSH 10.0p2 Debian 8 (protocol 2.0)
 Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel
 
 Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
 # Nmap done at Sun Sep 21 17:50:49 2025 -- 1 IP address (1 host up) scanned in 18.98 seconds

Podemos comprobar que la maquina tiene el puerto 22 (SSH) abierto únicamente, en este punto al no tener credenciales válidas no hay nada que podamos hacer.

Procederemos a escanear los puertos UDP

sudo nmap -sU --min-rate 5000 10.10.11.87
[sudo] contraseña para alex: 
Starting Nmap 7.97 ( https://nmap.org ) at 2025-09-23 11:56 +0200
Nmap scan report for 10.10.11.87
Host is up (0.080s latency).
Not shown: 993 open|filtered udp ports (no-response)
PORT      STATE  SERVICE
500/udp   open   isakmp
1028/udp  closed ms-lsa
17487/udp closed unknown
21364/udp closed unknown
21842/udp closed unknown
34038/udp closed unknown
37813/udp closed unknown

Vemos que el puerto 500 esta abierto, para recopilar mas información acerca de lo que es isakmp se puede consultar la siguiente página

Logo500/udp - Pentesting IPsec/IKE VPN - HackTricksbook.hacktricks.wiki

ISAKMP (Internet Security Association and Key Management Protocol) es un protocolo que define el marco para establecer, negociar, modificar y eliminar asociaciones de seguridad (SAs) y claves criptográficas en una conexión de red

Utilizando la herramienta ike-scan podemos obtener información

El valor de la última línea devuelve 1 returned handshake, esto significa que el objetivo está configurado para IPsec y está dispuesto a realizar la negociación IKE

A continuación podemos intentar obtener un hash con un fakeID

El hash pertenece a fakeid, encontramos un posible usuario válido ([email protected])

Crackeamos el hash

Hash Cracking

Para esta parte vamos a usar john, guardamos el hash en un archivo .txt y usando la herramienta ikescan2john, de la suite de tools de john the ripper, lo transformaremos a un hash válido que podremos crackear si tiene una contraseña debil

Tenemos la contraseña quedaria probarla usando el puerto descubierto SSH

FootHold (User.txt)

Probando el usuario ike con la contraseña crackeada

Conseguimos el acceso inicial y la flag user.txt

Root

Enumerando el sistema vemos la siguiente versión de sudo

Esta versión tiene un CVE reciente

LogoCVE-2025-32463 | INCIBE-CERT | INCIBEwww.incibe.es

  1. ✅ Lee /directorio/etc/nsswitch.conf (DENTRO del chroot futuro)

  2. ✅ Carga bibliotecas NSS del SISTEMA PRINCIPAL (no aisladas)

  3. ❌ Después aplica el chroot (¡demasiado tarde!)

Podemos usar el siguiente poc para obtener root en el sistema

LogoCVE-2025-32463_chwoot/sudo-chwoot.sh at main · pr0v3rbs/CVE-2025-32463_chwootGitHub

Una vez usado somos root

Última actualización