#CodeTwo is a #Linux box hosting a developer sandbox where users can execute #JavaScript code
https://0xdf.gitlab.io/2026/01/31/htb-codetwo.html
HTB: CodeTwo

CodeTwo is a Linux box hosting a developer sandbox where users can execute JavaScript code. The site uses js2py, which I’ll exploit via CVE-2024-28397 to escape the sandbox and get remote code execution. From there, I’ll find MD5 password hashes in the SQLite database and crack one to pivot to marco. Marco can run npbackup-cli with sudo, and I’ll abuse this to read files from root’s backup, including the SSH private key, which I’ll use to get a shell as root.

0xdf hacks stuff
#CodeTwo is a #Linux box hosting a developer sandbox where users can execute #JavaScript code
https://0xdf.gitlab.io/2026/01/31/htb-codetwo.html
HTB: CodeTwo

CodeTwo is a Linux box hosting a developer sandbox where users can execute JavaScript code. The site uses js2py, which I’ll exploit via CVE-2024-28397 to escape the sandbox and get remote code execution. From there, I’ll find MD5 password hashes in the SQLite database and crack one to pivot to marco. Marco can run npbackup-cli with sudo, and I’ll abuse this to read files from root’s backup, including the SSH private key, which I’ll use to get a shell as root.

0xdf hacks stuff
#CodeTwo is a #Linux box hosting a developer sandbox where users can execute #JavaScript code
https://0xdf.gitlab.io/2026/01/31/htb-codetwo.html
HTB: CodeTwo

CodeTwo is a Linux box hosting a developer sandbox where users can execute JavaScript code. The site uses js2py, which I’ll exploit via CVE-2024-28397 to escape the sandbox and get remote code execution. From there, I’ll find MD5 password hashes in the SQLite database and crack one to pivot to marco. Marco can run npbackup-cli with sudo, and I’ll abuse this to read files from root’s backup, including the SSH private key, which I’ll use to get a shell as root.

0xdf hacks stuff
#CodeTwo is a #Linux box hosting a developer sandbox where users can execute #JavaScript code
https://0xdf.gitlab.io/2026/01/31/htb-codetwo.html
HTB: CodeTwo

CodeTwo is a Linux box hosting a developer sandbox where users can execute JavaScript code. The site uses js2py, which I’ll exploit via CVE-2024-28397 to escape the sandbox and get remote code execution. From there, I’ll find MD5 password hashes in the SQLite database and crack one to pivot to marco. Marco can run npbackup-cli with sudo, and I’ll abuse this to read files from root’s backup, including the SSH private key, which I’ll use to get a shell as root.

0xdf hacks stuff

Chcesz być uczciwy, a zostajesz „słupem”. Szymon Szczęśniak z CodeTwo ostrzega przed nowym, perfidnym przekrętem na BLIKA

W internecie znamy go jako „JSON-a” z kanału HRejterzy, gdzie w kabaretowy sposób punktuje absurdy świata IT. Ale Szymon Szczęśniak to nie tylko komik. Na co dzień odpowiada za wizję rozwoju w CodeTwo – polskiej firmie, z której oprogramowania korzystają tacy giganci jak Lockheed Martin, Shell czy Straż Przybrzeżna USA. Kiedy więc ktoś taki ostrzega przed dziurawym systemem, warto nadstawić ucha.

„Pomyłka” za czynsz

W swoim najnowszym materiale (opublikowanym 27 stycznia) Szymon rozkłada na czynniki pierwsze schemat, który jest genialny w swojej prostocie i żeruje na naszej naiwności. Siedzisz w domu i nagle dostajesz powiadomienie z banku: „Otrzymałeś przelew BLIK na telefon”. Chwilę później dzwoni telefon. Roztrzęsiony głos po drugiej stronie tłumaczy, że się pomylił, wpisał błędną cyfrę w numerze i wysłał pieniądze tobie, zamiast opłacić czynsz/prąd/jedzenie.

Oszust prosi o zwrot środków, ale – i tu jest haczyk – na inny numer telefonu lub numer konta, bo „tamten był zły” albo „to pilne”. Wywierana jest presja czasu i litości. Jako uczciwy człowiek myślisz: „Ok, nie moja kasa, oddam”. Robisz przelew i myślisz, że sprawa załatwiona.

Jesteś ogniwem w łańcuchu

Błąd. Właśnie stałeś się tzw. mułem finansowym (słupem). Pieniądze, które do ciebie trafiły, nie pochodzą od dzwoniącego. Przelali je nieświadomi ludzie, którzy kupili w internecie nieistniejący towar. Oszust podał im twój numer telefonu do płatności. Gdy odsyłasz pieniądze oszustowi (na inne konto), zacierasz jego ślad.

Dla ofiary (kupującego) i dla policji, to TY jesteś osobą, która przyjęła skradzione środki. To twoje dane widnieją w systemie bankowym jako odbiorcy wyłudzonych pieniędzy.

Jak nie dać się wrobić?

Rada jest jedna: zimna krew i procedura bankowa. Jeśli ktoś przelał ci pieniądze przez pomyłkę:

  • Nie odsyłaj ich samodzielnie na żaden podany przez telefon numer/konto.
  • Poinformuj dzwoniącego, że zgłosisz sprawę do swojego banku.
  • Złóż w banku dyspozycję zwrotu środków do nadawcy. Tylko wtedy pieniądze wrócą dokładnie tą samą drogą, którą przyszły (tzw. chargeback / zwrot techniczny), a ty będziesz „czysty” w papierach.

Zobaczcie krótki materiał HRejterów, by zrozumieć, jak łatwo wpaść w tę pułapkę:

BLIK znowu rośnie. Prawie 20 milionów Polaków i 744 miliony transakcji w kwartał

#CodeTwo #cyberbezpieczeństwo #JSONHRejterzy #news #oszustwoNaBLIK #praniePieniędzySłup #przekrętNaPomyłkę #SzymonSzczęśniak
Looks like #Microsoft is messing around with #Outlook add-ins: https://status.codetwo.com/incidents/988w7914l855 I can confirm that not only #CodeTwo is affected
[Germany] Outlook add-in might not add signatures in Outlook for Windows

CodeTwo's Status Page - [Germany] Outlook add-in might not add signatures in Outlook for Windows.