HTB 퇴역 머신 Nibbles 라이트업. 첫 페이지 HTML 주석에서 시작해 Nibbleblog 4.0.3 My Image 플러그인 업로드 취약점으로 셸을 얻고, 퍼미션 777 sudo 스크립트로 root까지 간 과정과 실패한 시도 세 건을 정리했다.
Nibbles 머신 클리어 화면 — Machine State는 Retired, Pwn Date 2026년 9월 15일
Hack The Box의 퇴역 머신 Nibbles다. 난이도 Easy, Linux. 열린 포트는 22와 80 두 개뿐이고, 웹에는 Hello world! 한 줄만 떠 있다.
이 머신에서 오래 붙잡힌 지점은 취약점 자체가 아니었다. 공격 대상 애플리케이션이 어디 있는지 찾는 첫 단계였다. 답은 첫 페이지 HTML 주석에 처음부터 적혀 있었다.
전체 포트를 먼저 훑었다.
Starting Nmap 7.99 ( https://nmap.org ) at 2026-09-02 19:30 +0900
Nmap scan report for 10.129.15.216
Host is up (0.33s latency).
Not shown: 65533 closed tcp ports (reset)
PORT STATE SERVICE
22/tcp open ssh
80/tcp open http
Nmap done: 1 IP address (1 host up) scanned in 70.14 seconds
열린 두 포트에 서비스·스크립트 스캔을 붙였다.
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 7.2p2 Ubuntu 4ubuntu2.2 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey:
| 2048 c4:f8:ad:e8:f8:04:77:de:cf:15:0d:63:0a:18:7e:49 (RSA)
| 256 22:8f:b1:97:bf:0f:17:08:fc:7e:2c:8f:e9:77:3a:48 (ECDSA)
|_ 256 e6:ac:27:a3:b5:a9:f1:12:3c:34:a5:5d:5b:eb:3d:e9 (ED25519)
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel
SSH는 자격증명이 없으면 손댈 수 없다. 남는 건 80이다. 그런데 웹 루트에는 이것뿐이었다.
브라우저로 접속한 웹 루트 — Hello world! 한 줄만 표시된다
[막힌 곳 — 디렉터리 퍼징] Hello world 한 줄짜리 페이지라면 실제 애플리케이션은 다른 경로에 있다고 봤다. 그래서 디렉터리 퍼징을 먼저 생각했다.
결과는 빈손이었다. 나중에 답을 알고 나서야 이유가 보였다. 다음 단계에 필요한 경로 이름이 내가 쓴 워드리스트에 아예 없었다.
퍼징은 워드리스트에 있는 단어만 찾는다. 당연한 말인데, 못 찾았을 때 "여기엔 없다"로 결론 내리기 쉽다. 실제로는 "내 목록에 없다"가 맞다.
[막힌 곳 — Burp에 패킷이 안 잡힘] 포트 스캔에서 더 나올 게 없어 보여서 Burp Suite로 응답을 직접 보기로 했다.
그런데 아무리 새로고침해도 Burp에 요청이 안 잡혔다. 한참 헤매다 원인을 찾았다. 파이어폭스 프록시 설정을 안 해준 것이었다.
프록시를 잡고 나니 응답이 들어왔다. 다만 그때 화면에 떠 있던 건 응답의 윗부분이었다. 상태 줄과 헤더까지만 보이고, 스크롤을 내리지 않아 본문 아래쪽은 시야 밖이었다.
Burp에서 확인한 첫 응답 — 헤더와 Hello world! 본문까지만 보이고 그 아래 주석은 스크롤 밖에 있다
이 화면까지가 그때 내가 본 전부였다.
[막힌 곳 — 서버 버전 공개 취약점으로 오판] 그 화면에서 Server: Apache/2.4.18 (Ubuntu)를 확인했다. 버전이 노출됐으니 다음 단계는 이 버전의 공개 취약점을 찾는 문제라고 판단했다.
이게 방향 착오였다. 답은 같은 응답의 아래쪽에 있었다. 스크롤을 내리니 이런 주석이 있었다.
<!-- /nibbleblog/ directory. Nothing interesting here! -->
Burp Repeater 화면 — 응답을 아래로 내리면 헤더 다음에 /nibbleblog 경로를 알려주는 HTML 주석이 나온다
view-source로 확인한 응답 원문 — 16번 줄에 /nibbleblog 경로를 알려주는 HTML 주석이 있다
깨달은 건 두 가지다. 하나는 Burp까지 켤 필요도 없었다는 것이다. 브라우저 개발자도구나 view-source만 봤어도 5초면 끝났다. 다른 하나는 배너에 버전이 보이면 반사적으로 CVE를 찾으러 가는 습관이 정작 눈앞의 응답 본문을 안 읽게 만들었다는 것이다.
여기서 이틀을 보냈다. 실제로는 첫 요청의 응답 안에 답이 들어 있었다.
/nibbleblog/ 경로로 들어가니 블로그가 나왔다.
/nibbleblog/ 경로의 Nibbles Yum yum 블로그 메인 — 우측에 MY IMAGE 플러그인 영역이 보인다
Nibbleblog의 관리 페이지 경로가 admin.php라는 걸 확인하고 접속하니 로그인 화면이 떴다.
nibbleblog/admin.php 접속 시 나오는 Sign in to Nibbleblog admin area 로그인 화면
자격증명이 없으니 여기서 또 막힐 차례였는데, 이 머신은 기본 자격증명을 그대로 두고 있었다. 검색으로 찾은 Nibbleblog 기본 계정이 그대로 통했다. 사용자명은 admin, 비밀번호는 머신 이름과 같은 nibbles였다.
로그인에 성공한 nibbleblog 대시보드 — Publish, Comments, Manage, Settings, Themes, Plugins 메뉴가 보인다
대시보드에서 설치된 버전이 4.0.3임을 확인했다. 이 버전 번호가 다음 단계의 열쇠였다.
Nibbleblog 4.0.3에는 이 있다. My Image 플러그인의 파일 업로드에 확장자 제한이 없어서, 인증된 관리자가 실행 가능한 확장자의 파일을 올린 뒤 그 파일을 직접 요청하면 서버에서 코드가 실행된다. 4.0.5에서 수정됐다.
CVE-2015-6967 GitHub Advisory 화면 — My Image 플러그인의 unrestricted file upload로 설명돼 있다
여기서 조건이 맞아떨어진다. 이 취약점은 관리자 인증을 전제로 한다. 보통은 그 전제가 장벽인데, 이 머신은 기본 자격증명이 살아 있어 장벽이 없었다. 기본 계정 방치와 구버전 플러그인이 겹치면서 인증 필요 취약점이 사실상 무인증 원격 코드 실행이 된 셈이다.
공개된 PoC(dix0nym/)를 그대로 사용했다. 관리자 자격증명으로 로그인해 My Image 플러그인에 PHP 파일을 업로드하고 해당 경로를 호출하는 순서다. 업로드한 PHP는 내 VPN 주소의 리스너로 셸을 연결하는 짧은 파일이다.
[+] Login Successful.
[+] Upload likely successfull.
리스너에 셸이 붙었다.
listening on [any] 4444 ...
connect to [10.10.14.18] from (UNKNOWN) [10.129.18.48] 58344
bash: cannot set terminal process group (1360): Inappropriate ioctl for device
bash: no job control in this shell
nibbler@Nibbles:/var/www/html/nibbleblog/content/private/plugins/my_image$ id
uid=1001(nibbler) gid=1001(nibbler) groups=1001(nibbler)
좌측 터미널에 리버스셸로 붙은 nibbler 계정, 우측 터미널에 PoC 실행 결과가 보인다
셸이 떨어진 위치가 플러그인 디렉터리 안이라는 점이 업로드 경로를 그대로 보여준다. 홈 디렉터리로 이동해 플래그를 확인했다.
nibbler@Nibbles:/home/nibbler$ ls
personal
personal.zip
user.txt
nibbler@Nibbles:/home/nibbler$ cat user.txt
fdb20232************************
권한 상승은 sudo 설정부터 봤다.
nibbler@Nibbles:/home/nibbler$ sudo -l
User nibbler may run the following commands on Nibbles:
(root) NOPASSWD: /home/nibbler/personal/stuff/monitor.sh
비밀번호 없이 root로 실행할 수 있는 스크립트가 지정돼 있다. 그런데 그 경로가 당장은 존재하지 않았다. 홈에 있던 것은 personal.zip이었다.
nibbler@Nibbles:/home/nibbler$ unzip personal.zip
Archive: personal.zip
creating: personal/
creating: personal/stuff/
inflating: personal/stuff/monitor.sh
압축을 푸니 sudo 규칙이 가리키던 경로가 그대로 만들어졌다. 퍼미션을 확인한 순간 끝이 보였다.
nibbler@Nibbles:/home/nibbler$ ls -al personal/stuff/monitor.sh
-rwxrwxrwx 1 nibbler nibbler 4015 May 8 2015 personal/stuff/monitor.sh
-rwxrwxrwx, 즉 777이다. root 권한으로 실행되는 스크립트를 일반 사용자가 수정할 수 있다. sudo 규칙 자체는 특정 파일 하나로 좁게 잡혀 있지만, 그 파일의 내용을 바꿀 수 있으면 범위 제한은 의미가 없어진다.
스크립트 내용은 Tecmint의 서버 헬스 모니터링 스크립트였다. 2015년 파일이고, 인터넷 연결·OS 버전·메모리·디스크 사용량 따위를 출력한다. 실제 동작은 중요하지 않다. 중요한 건 이 파일이 root로 실행되고 내가 쓸 수 있다는 사실뿐이다.
[막힌 곳 — nano가 안 열림] 내용을 바꾸려고 nano를 열었더니 이렇게 나왔다.
nibbler@Nibbles:/home/nibbler$ nano personal/stuff/monitor.sh
Error opening terminal: unknown.
리버스셸은 제대로 된 TTY가 아니라서 터미널 타입이 잡히지 않는다. nano처럼 화면 전체를 제어하는 에디터는 이 상태에서 뜨지 않는다. vim으로 우회해 파일을 덮어썼다.
monitor.sh의 내용을 두 번째 리스너로 연결되는 리버스셸 한 줄로 교체하고 sudo로 실행했다.
$ nc -lvp 4445
listening on [any] 4445 ...
connect to [10.10.14.18] from (UNKNOWN) [10.129.20.52] 46022
root@Nibbles:/home/nibbler/personal/stuff# id
uid=0(root) gid=0(root) groups=0(root)
root@Nibbles:~# cat root.txt
f9cf6bec************************
이 머신에서 시간을 먹은 구간과 실제 난이도는 어긋나 있었다. 취약점 자체는 공개 PoC가 있는 2015년 CVE이고, 권한 상승도 sudo -l 한 번과 퍼미션 확인으로 끝난다. 이틀 중 대부분은 첫 페이지의 주석 한 줄을 못 본 데서 나왔다.
되짚어 보면 실패한 세 시도에 같은 패턴이 있다. 퍼징은 도구가 주는 답을 전부로 여겼고, Burp는 도구가 안 잡히는 이유를 도구 밖에서 찾지 않았고, 버전 배너는 익숙한 다음 수순으로 자동 연결됐다. 세 번 다 눈앞의 응답 본문을 끝까지 읽는 쪽이 더 빨랐다.
AI 활용 안내
이 글은 AI(Claude)의 도움을 받아 작성되었습니다.
본문의 명령·출력·화면은 직접 수행한 결과이며, AI는 노트 정리와 글 구성을 도왔습니다.
면책 조항
본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다.
언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라
처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.
승인된 연습 환경 안내
본 라이트업은 Hack The Box의 퇴역(Retired)·승인된 연습 환경에서 직접 수행한 기록입니다.
서술된 명령·기법은 이 승인된 환경에 한정되며, 소유하지 않은 실제 시스템에 시도하는 행위는 위법입니다.