Práctica guiada · Hack The Box · Linux · Easy
Conversor
XSLT, tareas programadas y entorno Python
Completada el 17/05/2026 · User + system verificados en HTB.
01. Del documento al código
La aplicación convierte XML a HTML mediante hojas XSLT aportadas por el usuario. El código descargable permite entender que su procesamiento no restringe correctamente las operaciones disponibles.
02. Ejecución y credenciales
La inyección XSLT permite escribir un script Python en una ubicación ejecutada periódicamente por cron. Desde ese acceso se recupera una base SQLite y un hash MD5 cuya contraseña sirve para SSH.
03. Escalada y defensa
La ruta oficial aprovecha una regla sudo sobre needrestart y CVE-2024-48990 mediante un PYTHONPATH controlado. El aprendizaje defensivo es limitar los transformadores de documentos, proteger directorios de tareas programadas y revisar el entorno heredado por procesos privilegiados.
Fuente y alcance
Ficha oficial de Conversor en Hack The Box ↗. Consulta su walkthrough para el procedimiento completo. La ficha consultada muestra write-ups disponibles.
Las medidas defensivas son comentarios de estudio y requieren validación en cada entorno. No se publican flags, contraseñas ni el documento original de HTB.