Loading feed…
0xdf hacks stuff0 Hot0 comments75 min read
HTB: Cobblestone
AI summary
Bài viết phân tích lỗ hổng trên hệ thống Cobblestone gồm nhiều trang PHP chủ đề Minecraft trên các subdomain. Tác giả khai thác SQL injection cấp hai để đọc source code ứng dụng, sau đó lợi dụng stored XSS chiếm quyền session admin. Từ đó, khai thác lỗ hổng Twig template injection để thực thi code dưới quyền web user, nhưng bị giới hạn bởi AppArmor. Cuối cùng, lấy credentials từ database, crack mật khẩu để SSH vào hệ thống, rồi khai thác Cobbler (chạy dưới quyền root) thông qua default credentials hoặc bypass xác thực để đạt được shell root. Phần "Beyond Root" giải thích lý do SQL injection khiến trang web bị crash.
Why read it: Lập trình viên nên đọc bài này để hiểu cách khai thác lỗ hổng SQL thứ hai, từ đó tìm hiểu kỹ về cơ chế bảo mật trong các ứng dụng PHP như Twig và AppArmor, cũng như các thủ thuật tấn công từ session hijacking đến SSH và root shell, giúp nâng cao kiến thức về bảo mật web và kỹ năng pentesting.
What do you remember?
Answer 3 short questions to earn reward points for this article. Only do it if you want the points.
up to +17 points
3 questions · under a minute · optional
Source: https://0xdf.gitlab.io/2026/08/15/htb-cobblestone.html. 8 Sync News only summarizes and links out; content copyright belongs to the authors and original sources.
