TwoMillion

Executive summary — TwoMillion is an Easy Linux box recreating the old Hack The Box site and its famous invite code. The registration JavaScript hides an endpoint that leaks the generation instructions (ROT13-encoded) for a code that itself arrives Base64-encoded; once registered, the admin API doesn't validate privileges and lets us self-assign is_admin=1, and the VPN-generation endpoint suffers a command injection in the username parameter giving RCE as www-data. A .env file leaks a password reused for SSH, and root comes via CVE-2023-0386 (OverlayFS/FUSE), hinted at in an internal system mail. An invite code (ROT13/Base64) → registration → admin API (is_admin=1) → command injection → www-data → .env → SSH admin → OverlayFS → root path.

A fast full-port scan first, then a detailed scan on just the open ports: faster than running -sCV against all 65535 ports at once.

Resumen ejecutivo — TwoMillion es un Linux Easy que recrea la antigua web de Hack The Box y su famoso código de invitación. El JavaScript del registro esconde un endpoint que revela las instrucciones (cifradas en ROT13) para generar un código (codificado en Base64); ya registrados, la API de administración no valida privilegios y nos deja auto-asignarnos is_admin=1, y el endpoint de generación de VPN sufre una inyección de comandos en el parámetro username que da RCE como www-data. Un fichero .env filtra una contraseña reutilizada para SSH, y el root llega con CVE-2023-0386 (OverlayFS/FUSE), cuya pista aparece en un correo interno del sistema. Recorrido invite code (ROT13/Base64) → registro → API admin (is_admin=1) → command injection → www-data → .env → SSH admin → OverlayFS → root.

Un escaneo rápido de todos los puertos primero, y uno detallado después solo sobre los abiertos: más rápido que lanzar -sCV sobre las 65535 puertas de golpe.