> For the complete documentation index, see [llms.txt](https://brunosergio.gitbook.io/ctfs/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://brunosergio.gitbook.io/ctfs/readme.md).
# Writeups
***
{% updates format="full" %}
{% update date="2026-07-31" tags="sherlocks,dfir,hayabusa,windows-log" %}
## [LogJammer](/ctfs/writeups/sherlocks/logjammer.md)
Esta investigação analisa 5 Logs de Eventos do Windows de uma estação de trabalho Windows 10 (21H2) comprometida, `DESKTOP-887GK2L`, ao longo de um ataque multi-estágio que se estende de **2023-03-10 → 2023-03-27**. A intrusão entregou uma DLL Meterpreter via VMware Drag & Drop, desabilitou o Windows Defender, escalou privilégios para SYSTEM, limpou logs de eventos em três dias distintos (o comportamento "LogJammer"), e depois retornou para uma segunda sessão de reconhecimento, persistência e limpeza.
{% endupdate %}
{% update date="2026-07-27" tags="hackthebox,linux,pcap,capabilities" %}
## [Cap](/ctfs/writeups/hackthebox/cap.md)
O HTB **Cap** é uma máquina Linux rodando um **Security Dashboard** (Gunicorn) com uma funcionalidade de captura de pacotes. Um bug de ID sequencial no endpoint de download de PCAP permitiu acesso a uma captura mais antiga contendo credenciais de FTP em texto claro. Reutilizando essas credenciais, foi possível obter acesso SSH como `nathan`. O Python3.8 tinha a capability `cap_setuid` configurada, permitindo uma escalada de privilégio imediata para root.
{% endupdate %}
{% update date="2025-12-28" tags="challenges,osint" %}
## [The Puppet Master](/ctfs/writeups/challenges/the-puppet-master.md)
Os metadados do nome do arquivo revelaram a origem da NZDF, a pesquisa reversa de imagens identificou o veículo blindado Bushmaster, os documentos de aquisição do Ministério da Defesa confirmaram a variante do modelo e uma placa de veículo capturada em um vídeo da NZDF no YouTube levou a uma consulta no registro da NZTA, resultando no número de identificação do veículo (VIN) 6E9BMAR44MBZX6014.
{% endupdate %}
{% update date="2025-12-25" tags="hackthebox,linux,ipsec,sudo" %}
## [Expressway](/ctfs/writeups/hackthebox/expressway.md)
A scan revealed IKE VPN on UDP 500. IKEv1 Aggressive Mode exposed the PSK hash, cracked with rockyou.txt to get SSH credentials. Then CVE-2025-32463 on sudo 1.9.17 gave root.
{% endupdate %}
{% update date="2025-08-12" tags="hackthebox,tunneling,linux" %}
## [Editor](/ctfs/writeups/hackthebox/editor.md)
Vulnerabilidade de execução remota de código (RCE) sem autenticação no XWiki SolrSearch (CVE-2025-24893) para obter acesso inicial; credenciais em texto simples no arquivo `hibernate.cfg.xml` para movimentação lateral via SSH como usuário oliver; e sequestro do PATH do binário SUID do Netdata ndsudo (CVE-2024-32019) para obter privilégios de root.
{% endupdate %}
{% update date="2025-08-03" tags="hackthebox,webmail,roundcube,insecure-deserialization,container-breakout,sudo" %}
## [Outbound](/ctfs/writeups/hackthebox/outbound.md)
Instância do Roundcube Webmail 1.6.10 exposta foi comprometida através do CVE-2025-49113, uma vulnerabilidade de desserialização insegura que permitiu a execução remota de código, e finalmente um ataque de symlink explorando o CVE-2025-27591 na ferramenta de monitorização `below` para alcançar privilégios de root.
{% endupdate %}
{% update date="2023-01-15" tags="hackthebox,grafana,mysql,git,linux" %}
## [Ambassador](/ctfs/writeups/hackthebox/ambassador.md)
Vulnerabilidade de "path traversal" no Grafana 8.2.0 (CVE-2021-43798) levando à exfiltração de dados do `grafana.db`, pivô de credenciais do MySQL, acesso SSH como desenvolvedor e execução remota de código (RCE) na API do Consul por meio de um token exposto no histórico do Git.
{% endupdate %}
{% endupdates %}
***
