[HTB] Outbound (Easy_Linux)

Posted Nov 2, 2025

By 호롱고양이 9 min read

🔐 보호된 게시글

이 게시글을 보려면 비밀번호를 입력해주세요

Congratulations OilLampCat, best of luck in capturing flags ahead!

시작에 앞서

이번엔 다시 돌아온 linux 머신(그것도 easy)인데,

어라? 리눅스에서 계정 정보를 주는 것은 처음이다.

계정 : tyler / LhKL1o9Nm3X2

일단 시작해보자구.

정찰 및 정보 수집 (Reconnaissance & Enumeration)

보아하니 SSH와 http 포트가 열려있는데 mail.outbound.htb라는 도메인으로 리다이렉트가 되는 것을 확인했다.

그렇다면 우리의 타겟은 저 메일이겠지?

/etc/hosts 파일에 매핑해주자.

아하 이래서 계정을 주었나보다.

로그인을 해보면.. 메일이 없다?

다 찾아봐도 다른 특별한 내용은 없었고 대신 무엇으로 만들어 졌는지, 거기에 쓰인 플러그인들의 버전이 무엇인지 등의 내용들을 찾을 수 있었다. 그럼 이제 이걸 토대로 침투하러 가보자!

초기 침투 (Initial Foothold / Exploitation)

아니 검색 하자마자 바로 이 버전 웹메일의 취약점이 나온다. 그것도 RCE라니.

따끈따끈한 metasploit 모듈이다.

hakaioffsec/CVE-2025-49113-exploit 혹은 다른 POC를 이용하면 될듯 한데 난 가능하면 msf를 쓰지 않고 진행해보겠다.

리버스 쉘을 얻는데 성공했다.

하지만 내가 접근할 수 있는 권한이 없다는거..

물론 계정도 있으니 바로 로그인하면 그만이다.

아쉽게도 파이썬이 없어서 이상한 쉘로 볼 수밖에 없다.

어.. 근데 내가 뭘 할수 있지? send 파일도 비어있고..

일단 칭찬은 고맙고 보아하니 roundcubemail에서는 config.inc.php라는 파일이 중요하다고 한다.

일단 찾았고 한번 파일을 열어보자.

  
<?php

/*
 +-----------------------------------------------------------------------+
 | Local configuration for the Roundcube Webmail installation.           |
 |                                                                       |
 | This is a sample configuration file only containing the minimum       |
 | setup required for a functional installation. Copy more options       |
 | from defaults.inc.php to this file to override the defaults.          |
 |                                                                       |
 | This file is part of the Roundcube Webmail client                     |
 | Copyright (C) The Roundcube Dev Team                                  |
 |                                                                       |
 | Licensed under the GNU General Public License version 3 or            |
 | any later version with exceptions for skins & plugins.                |
 | See the README file for a full license statement.                     |
 +-----------------------------------------------------------------------+
*/

$config = [];

// Database connection string (DSN) for read+write operations
// Format (compatible with PEAR MDB2): db_provider://user:password@host/database
// Currently supported db_providers: mysql, pgsql, sqlite, mssql, sqlsrv, oracle
// For examples see http://pear.php.net/manual/en/package.database.mdb2.intro-dsn.php
// NOTE: for SQLite use absolute path (Linux): 'sqlite:////full/path/to/sqlite.db?mode=0646'
//       or (Windows): 'sqlite:///C:/full/path/to/sqlite.db'
$config['db_dsnw'] = 'mysql://roundcube:RCDBPass2025@localhost/roundcube';

// IMAP host chosen to perform the log-in.
// See defaults.inc.php for the option description.
$config['imap_host'] = 'localhost:143';

// SMTP server host (for sending mails).
// See defaults.inc.php for the option description.
$config['smtp_host'] = 'localhost:587';

// SMTP username (if required) if you use %u as the username Roundcube
// will use the current username for login
$config['smtp_user'] = '%u';

// SMTP password (if required) if you use %p as the password Roundcube
// will use the current user's password for login
$config['smtp_pass'] = '%p';

// provide an URL where a user can get support for this Roundcube installation
// PLEASE DO NOT LINK TO THE ROUNDCUBE.NET WEBSITE HERE!
$config['support_url'] = '';

// Name your service. This is displayed on the login screen and in the window title
$config['product_name'] = 'Roundcube Webmail';

// This key is used to encrypt the users imap password which is stored
// in the session record. For the default cipher method it must be
// exactly 24 characters long.
// YOUR KEY MUST BE DIFFERENT THAN THE SAMPLE VALUE FOR SECURITY REASONS
$config['des_key'] = 'rcmail-!24ByteDESkey*Str';

// List of active plugins (in plugins/ directory)
$config['plugins'] = [
    'archive',
    'zipdownload',
];

// skin name: folder from skins/
$config['skin'] = 'elastic';
$config['default_host'] = 'localhost';
$config['smtp_server'] = 'localhost';