HTB - Celestial walkthrough (ITA)

Guarda su YouTube → 30:53 31 maggio 2021

CybersecurityCTF

Descrizione

In questo video mostro un walkthrough completo della macchina Celestial offerta dalla piattaforma Hack The Box. Hack The Box è una piattaforma online che permette di sviluppare le proprie abilità di pentesting. ----------------------------------------------------------------------------------------- TIMESTAMPS 00:00 introduzione 01:35 nmap 03:20 analisi server nodeJS 05:00 utilizzo burpsuite 08:55 analisi cookie 17:30 RCE #1: eval() 21:25 analisi codice server.js 24:00 user flag 24:50 exploiting cronjob 26:25 root flag 26:50 recap 27:44 RCE #2: unserialize() ----------------------------------------------------------------------------------------- RIFERIMENTI - https://github.com/LeonardoE95/yt-it/blob/main/src/2021-05-31-sicurezza-htb-celestial - https://opsecx.com/index.php/2017/02/08/exploiting-node-js-deserialization-bug-for-remote-code-execution/ ----------------------------------------------------------------------------------------- CONTATTI - Technical blog: https://blog.leonardotamiano.xyz/ - Github: https://github.com/LeonardoE95?tab=repositories - Support my work: https://www.paypal.com/donate/?hosted_button_id=T49GUPRXALYTQ

Commenti 13

I commenti vengono da YouTube e sono aggiornati periodicamente.

@LucaCanali 31 maggio 2021 2

Molto interessanti e spiegati bene 💪
@JustVapez 6 giugno 2021 2

ciso sei molto bravo e ti seguo da un po' mi ha insegnato molto sul penetration testing
1 risposta
1. @esadecimale Autore 7 giugno 2021
  
  Hey, grazie mille del complimento! Ma guarda, non pensare che sia così bravo, che su queste cose sono solo un principiante (e non lo sto dicendo per "falsa modestia" ma proprio per davvero, con cognizione di causa, forse tra un po' di anni se continuo ad allenarmi/migliorare sarò veramente bravo). Comunque, mi piace molto condividere le cose mano mano che le imparo io stesso, ed è proprio questa voglia di condivisione che mi ha portato ad aprire questo canale, quindi grazie ancora, sono veramente contento di ricevere del feedback del genere!
@gabrydanto778 7 febbraio 2024 1

Leo sorry, ma il codice javascript che hai usato x le shell lo hai scritto al momento o lo hai trvato in qualche modo?
1 risposta
1. @hexdump1337 7 febbraio 2024 1
  
  in ultima analisi non fa troppa differenza. Detto questo penso di aver ricercato “reverse shell in nodeJS”.
@aerialskyfury 1 gennaio 2022 1

bei video molto interessanti ! Quanto tempo ci metti a finire un pentesting?
3 risposte
1. @esadecimale Autore 1 gennaio 2022
  
  Allora dipende principalmente dal livello di difficoltà della macchina. Si parla quindi di un paio di ore minimo per macchine medie. Quelle più facili anche in un’oretta magari. Quelle più difficili anche giornate intere. In generale però è difficile dare tempistiche perché il tempo richiesto dipende anche dal tuo livello di abilità. Inizialmente ci mettevo giornate intere anche a fare le macchine più semplici. Sono attività che richiedono molto tempo. Su questo non c’è dubbio.
2. @aerialskyfury 2 gennaio 2022 1
  
  @esadecimale grazie della risposta, le tue basi su cosa si fondano te lo posso chiedere? Apprezzo i tuoi video e mi piace come imposti tutto. Ottimo lavoro.
3. @esadecimale Autore 3 gennaio 2022 1
  
  @aerialskyfury guarda principalmente università (informatica) ti direi, anche se nel frattempo ho fatto varie cose per conto mio, tra cui hack the box. Però ovviamente la storia è molto più complessa di così, e sono dell’idea che non c’è un modo prefissato per imparare le basi e in generale per imparare. Ciò che impariamo, e l’ordine e il modo in cui lo facciamo, dipende molto dalla nostra storia personale. Sicuramente sarebbe materiale di video più discorsivi/auto-biografici, che prima o poi vorrò fare per il canale.
@antoniopetrillo1984 31 maggio 2021 2

Molto interessante, purtroppo non ho ancora seguito reti quindi alcuni(quasi tutti 😅) passaggi mi sono un po' oscuri
3 risposte
1. @esadecimale Autore 31 maggio 2021 1
  
  Ovviamente seguire un corso di reti è abbastanza propedeutico per capire del tutto una cosa del genere, però mi hai dato un’idea: fare dei video (tra un po’ che tra poco ho gli esami ahahah) in cui spiego a grandi linee ciò che sta succedendo, per dare un background più teorico al tutto. Ci penserò 🤔
2. @antoniopetrillo1984 31 maggio 2021
  
  @esadecimale magari! apprezzerei molto un sforzo del genere
3. @LucaCanali 31 maggio 2021 1
  
  @esadecimale sarebbe molto interessante ... ma dopo i video su emacs 😜