Chatterbox — HTB Writeup | The Hack Sparrow

Executive summary — Chatterbox is a Medium Windows box whose entry point is neither web nor SMB, but an uncommon chat service: AChat 0.150 beta7, vulnerable to a buffer overflow in its own UDP protocol with a public exploit (EDB-36025). Generating a Unicode-safe encoded payload and automating its insertion into the exploit without touching it by hand yields a reverse shell as chatterbox\alfred (user flag). The Winlogon registry key stores autologon credentials in cleartext, but even without needing them to open another session, root.txt's own ACL turns out to be modifiable with icacls, with no need for an Administrator shell at any point.

Platform	Hack The Box
Operating system	Windows
Difficulty	Medium
Status	Retired
Target IP	`10.129.28.28`

Attack map

[1] Recon -- 9255/9256 UDP: AChat 0.150 beta7 (known buffer overflow, EDB-36025)
        |
[2] msfvenom (Unicode-safe, BufferRegister=EAX) -> auto-inserted into the exploit
      +-> sed fixes the target IP -> python2 exploit.py
        |
[3] reverse shell -- chatterbox\alfred  ->  user.txt
        |
[4] reg query Winlogon -- DefaultUserName/DefaultPassword in cleartext
        |
[5] root.txt -- Access denied, but the file's own ACL is modifiable
      +-> icacls root.txt /grant Alfred:F  ->  root.txt

1. Initial enumeration

A default nmap sweep (top 1000 TCP ports) barely returns anything useful on this box — almost everything shows up filtered. That's why the first step is to force a full scan of all 65535 ports before drawing any conclusions:

nmap -p- --min-rate 1000 -T4 10.129.28.28

With the list of open ports in hand, the scan is relaunched with version detection and NSE scripts against those specific ports:

nmap -sC -sV -p PORTS 10.129.28.28

The service that stands out here is neither web nor SMB, but AChat: a niche, closed-source chat/messaging application. It's exactly the kind of service a pentester can overlook by sticking to the "usual" ports — and exactly why it's worth enumerating: AChat 0.150 beta7 has a public, documented buffer overflow (EDB-36025) in the handling of its own protocol over UDP.

Resumen ejecutivo — Chatterbox es una Medium de Windows cuyo vector de entrada no es web ni SMB, sino un servicio de chat poco común: AChat 0.150 beta7, vulnerable a un buffer overflow en su propio protocolo UDP con exploit público (EDB-36025). Generando un payload con codificación segura para Unicode y automatizando su inserción en el exploit sin tocarlo a mano se consigue una reverse shell como chatterbox\alfred (user flag). El registro Winlogon guarda credenciales de autologon en texto claro, pero incluso sin necesidad de usarlas para abrir otra sesión, la propia ACL de root.txt resulta modificable con icacls, sin necesitar en ningún momento una shell como Administrator.

Plataforma	Hack The Box
Sistema operativo	Windows
Dificultad	Medium
Estado	Retired
IP objetivo	`10.129.28.28`

Mapa del ataque

[1] Recon -- 9255/9256 UDP: AChat 0.150 beta7 (buffer overflow conocido, EDB-36025)
        |
[2] msfvenom (Unicode-safe, BufferRegister=EAX) -> insertar en el exploit sin editar a mano
      +-> sed corrige la IP objetivo -> python2 exploit.py
        |
[3] reverse shell -- chatterbox\alfred  ->  user.txt
        |
[4] reg query Winlogon -- DefaultUserName/DefaultPassword en texto claro
        |
[5] root.txt -- Access denied, pero la ACL del propio fichero es modificable
      +-> icacls root.txt /grant Alfred:F  ->  root.txt

1. Enumeración inicial

El barrido de puertos por defecto de nmap (top 1000 TCP) apenas devuelve ruido en esta máquina: casi todo aparece filtered. Por eso el primer paso es forzar un escaneo completo de los 65535 puertos antes de sacar conclusiones:

nmap -p- --min-rate 1000 -T4 10.129.28.28

Con la lista de puertos abiertos en la mano, se relanza el escaneo con detección de versión y scripts NSE sobre esos puertos concretos:

nmap -sC -sV -p PUERTOS 10.129.28.28

El servicio que destaca aquí no es web ni SMB, sino AChat: una aplicación de chat/mensajería poco extendida, publicada por su autor como binario cerrado. Es exactamente el tipo de servicio que un pentester puede pasar por alto si se limita a los puertos «típicos» — y exactamente por eso conviene enumerarlo: AChat 0.150 beta7 tiene un buffer overflow público y documentado (EDB-36025) en el manejo de su propio protocolo por UDP.

🔒 Clearance required

This content is Root Access only. Everything else on the site — the free tier, the whole public library — stays open.

See Root Access plans

No account? Create one free then upgrade from your console.