Alert

Executive summary — Alert is an Easy Linux box with an elegant, very instructive web chain. A Markdown Viewer lets you upload .md files and share them; the viewer renders the Markdown without sanitising the resulting HTML, so a stored XSS fires when the administrator opens the link we send through the site's contact form. With that XSS we abuse an LFI in messages.php?file= to read the .htpasswd of a hidden vhost protected with basic auth (statistics.alert.htb, found by subdomain fuzzing); we crack albert's md5crypt hash with rockyou and SSH in. For the escalation, linpeas reveals that root runs a PHP development server on 127.0.0.1:8080 over /opt/website-monitor, whose config directory is group-writable by management (which albert belongs to): we drop a PHP reverse shell there, trigger it through an SSH tunnel, and land a shell as root. Path: vhost fuzzing → stored XSS → LFI → md5crypt → SSH → root's local PHP server with a writable config directory.

Before touching anything, we map what's exposed. A full nmap scan avoids surprises later on (e.g. a third port that only shows up when scanning everything).

Resumen ejecutivo — Alert es un Linux Easy con una cadena web elegante y muy didáctica. Un Markdown Viewer permite subir .md y compartirlos; el visor renderiza el Markdown sin sanear el HTML resultante, así que un XSS almacenado se dispara cuando el administrador abre el enlace que le enviamos por el formulario de contacto. Con ese XSS abusamos de un LFI en messages.php?file= para leer el .htpasswd de un vhost oculto y protegido con autenticación básica (statistics.alert.htb, descubierto por fuzzing de subdominios); crackeamos el hash md5crypt de albert con rockyou y entramos por SSH. Para la escalada, linpeas revela que root sirve un servidor PHP de desarrollo en 127.0.0.1:8080 sobre /opt/website-monitor, cuyo directorio config es escribible por el grupo management (al que pertenece albert): soltamos ahí una reverse shell PHP, la disparamos a través de un túnel SSH y obtenemos una shell como root. Recorrido: vhost fuzzing → XSS almacenado → LFI → md5crypt → SSH → PHP local de root con directorio de configuración escribible.

Antes de tocar nada, mapeamos qué hay expuesto. Un nmap completo evita sorpresas más adelante (p. ej. un tercer puerto que solo aparece con todos los escaneados).