Tabby — HTB Writeup | The Hack Sparrow

Executive summary — Tabby is an Easy Linux box with a very complete chain: an LFI in news.php first leaks a system user (ash) and then Tomcat's credentials file; those credentials deploy a malicious WAR on the Manager (RCE); a backup ZIP found on the web server itself is cracked and its password is reused for user ash; and since ash is in the lxd group, we escalate to root by building a custom Alpine image on the attacker box and mounting the host filesystem in a privileged container. A LFI → Tomcat WAR → ZIP → LXD → root path.

Platform	Hack The Box
Operating system	Linux
Difficulty	Easy
Status	Retired
Target IP	`10.129.22.24`

Attack map

[80] megahosting.htb/news.php?file= → LFI (path traversal)
   │  /etc/passwd → user «ash»
   │  tomcat-users.xml → Tomcat Manager credentials
   ▼
[8080] Tomcat Manager → deploy WAR (JSP reverse shell) → RCE (tomcat)
   │  /var/www/html/files/16162020_backup.zip → zip2john + hashcat → «admin@it»
   ▼
[su ash]  reused password → user.txt
   │  id → lxd group
   ▼
[LXD]  Alpine image built on the attacker box → privileged container
   │  mounts host / at /mnt/root
   ▼
[ROOT]  /mnt/root/root/root.txt

1. Reconnaissance

Full port and service scan:

nmap -p- -sC -sV -n -oA scan 10.129.22.24

-p-: scans all 65535 ports.
-sC: Nmap's default scripts.
-sV: version detection.
-n: skip DNS resolution.
-oA scan: saves the output in all three formats as scan.

22/tcp    open  ssh
80/tcp    open  http    Apache
8080/tcp  open  http    Apache Tomcat

Port 8080 is the interesting one: it exposes an Apache Tomcat, which ends up being the initial access vector.

Resumen ejecutivo — Tabby es un Linux Easy con una cadena muy completa: una LFI en news.php filtra primero el usuario del sistema (ash) y después el fichero de credenciales de Tomcat; con esas credenciales se despliega un WAR malicioso en el Manager (RCE); un backup ZIP encontrado en el propio servidor web se craquea y su contraseña se reutiliza para el usuario ash; y como ash está en el grupo lxd, se escala a root construyendo una imagen Alpine a medida en la máquina atacante y montando el filesystem del host en un contenedor privilegiado. Recorrido LFI → Tomcat WAR → ZIP → LXD → root.

Plataforma	Hack The Box
Sistema operativo	Linux
Dificultad	Easy
Estado	Retired
IP objetivo	`10.129.22.24`

Mapa del ataque

[80] megahosting.htb/news.php?file= → LFI (path traversal)
   │  /etc/passwd → usuario «ash»
   │  tomcat-users.xml → credenciales del Tomcat Manager
   ▼
[8080] Tomcat Manager → deploy de WAR (JSP reverse shell) → RCE (tomcat)
   │  /var/www/html/files/16162020_backup.zip → zip2john + hashcat → «admin@it»
   ▼
[su ash]  contraseña reutilizada → user.txt
   │  id → grupo lxd
   ▼
[LXD]  imagen Alpine construida en el atacante → contenedor privilegiado
   │  monta / del host en /mnt/root
   ▼
[ROOT]  /mnt/root/root/root.txt

1. Reconocimiento

Escaneo completo de puertos y servicios:

nmap -p- -sC -sV -n -oA scan 10.129.22.24

-p-: escanea los 65535 puertos.
-sC: scripts por defecto de Nmap.
-sV: detección de versiones.
-n: sin resolución DNS.
-oA scan: guarda la salida en los tres formatos con el nombre scan.

22/tcp    open  ssh
80/tcp    open  http    Apache
8080/tcp  open  http    Apache Tomcat

El puerto 8080 es el más interesante: expone un Apache Tomcat, que acaba siendo la vía de acceso inicial.

🔒 Clearance required

This content is Root Access only. Everything else on the site — the free tier, the whole public library — stays open.

See Root Access plans

No account? Create one free then upgrade from your console.