HTB Noter. Ломаем веб-приложение на Flask

На­ша цель — про­хож­дение сред­ней по слож­ности машины Noter с пло­щад­ки Hack The Box.

Разведка

Сканирование портов

До­бав­ляем IP-адрес машины в /etc/hosts:

И запус­каем ска­ниро­вание пор­тов.

Наш­лось три откры­тых пор­та:

• 21 — служ­ба vsftpd 3.0.3;
• 22 — служ­ба OpenSSH 8.2p1;
• 5000 — веб‑сер­вер Python Werkzeug 2.0.2.

Ано­ним­ный вход на FTP зак­рыт, с SSH мы ничего не сде­лаем, поэто­му идем смот­реть веб.

Точка входа

На сай­те есть воз­можность регис­три­ровать­ся и авто­ризо­вать­ся, чем мы обя­затель­но дол­жны вос­поль­зовать­ся.

Я всю работу выпол­няю через Burp, поэто­му в иден­тифика­торе сес­сии поль­зовате­ля сра­зу заметил токен JWT.

JWT

JSON Web Token хра­нит необ­ходимую информа­цию о текущем сеан­се. В чис­ле про­чего в нем содер­жится HMAC — hash-based message authentication code, код авто­риза­ции на осно­ве хеша. Его‑то нам и пред­сто­ит под­делать.

Для работы с JWT будем исполь­зовать ути­литу Flask-Unsign.

Для соз­дания HMAC тре­бует­ся сек­ретный ключ. Если мы суме­ем вос­ста­новить или взло­мать сек­ретный ключ, то смо­жем вно­сить любые изме­нения в информа­цию о сеан­се. С помощью Flask-Unsign можем поп­робовать проб­рутить сек­рет.

Мы получи­ли сек­ретный ключ, а зна­чит, можем записать свои дан­ные в сеанс, в дан­ном слу­чае сме­нить поль­зовате­ля. Генери­руем сес­сию, уста­нав­лива­ем в бра­узе­ре и обновля­ем стра­ницу. Я поп­робовал поль­зовате­ля admin, но ничего не выш­ло.

Ско­рее все­го, такого поль­зовате­ля не сущес­тву­ет, поэто­му нуж­но най­ти спо­соб опре­делить реаль­ных поль­зовате­лей. Сайт работа­ет на Flask, к тому же пред­назна­чен для хра­нения заметок, поэто­му пер­вым делом я стал искать SSTI (вклю­чение шаб­лонов на сто­роне сер­вера) и XSS. Начал с соз­дания замет­ки.

За­тем я опре­делил все мес­та, где про­исхо­дит вывод это­го тек­ста, но, к моему сожале­нию, вез­де исполь­зует­ся экра­ниро­вание.

Тест наг­рузкой для XSS так­же не увен­чался успе­хом. Тог­да я решил пос­мотреть на механизм авто­риза­ции, а имен­но на сооб­щения, которые сер­вер отдаст в раз­ных ситу­ациях. Иног­да в таких слу­чаях помога­ет опре­делять вре­мя, которое зат­рачива­ется на про­вер­ку пра­виль­ных и неп­равиль­ных учет­ных дан­ных. Но так далеко идти ока­залось не нуж­но: сооб­щения для сущес­тву­юще­го и несущес­тву­юще­го поль­зовате­ля ока­зались раз­ными.

Точка опоры

Во­ору­жаем­ся Burp Intrueder и при­нима­емся за перебор.

Пе­реки­дыва­ем зап­рос в Burp (Ctrl-I, Ctrl-Shift-I) и отме­чаем для перебо­ра логин.

Спи­сок имен поль­зовате­лей берем из набора SecLists.

Ус­танав­лива­ем 256 потоков (мож­но и боль­ше).

В резуль­тиру­ющую таб­лицу добавим еще один стол­бец, куда будет попадать сооб­щение об ошиб­ке.