Práctica guiada · Hack The Box · Linux · Easy
TwoMillion
Autorización de API y generación de VPN
Completada el 01/02/2026 · User + system verificados en HTB.
01. Registro y API
La máquina reproduce una versión antigua de HTB. El flujo de invitación permite registrar una cuenta y explorar endpoints; un fallo de autorización permite convertirla en administrativa.
02. Ejecución y cuenta del sistema
El endpoint administrativo que genera una VPN permite inyectar comandos. Una contraseña de base de datos localizada en la configuración está reutilizada por una cuenta del sistema.
03. Escalada y defensa
El kernel desactualizado permite aprovechar CVE-2023-0386. La cadena reúne autorización por endpoint, construcción segura de comandos, separación de secretos y mantenimiento del sistema. Obtener una cuenta web no debería otorgar funciones administrativas por modificar una petición.
Fuente y alcance
Ficha oficial de TwoMillion en Hack The Box ↗. Consulta su walkthrough para el procedimiento completo. La ficha consultada muestra write-ups disponibles.
Las medidas defensivas son comentarios de estudio y requieren validación en cada entorno. No se publican flags, contraseñas ni el documento original de HTB.