Содержание статьи
Наша цель — захват учебной машины Awkward с площадки Hack The Box. Уровень сложности — средний.
warning
Подключаться к машинам с HTB рекомендуется только через VPN. Не делай этого с компьютеров, где есть важные для тебя данные, так как ты окажешься в общей сети с другими участниками.
Разведка
Сканирование портов
Первым делом добавляем IP-адрес машины в /:
10.10.11.185 awkward.htb
И запускаем сканирование портов.
Справка: сканирование портов
Сканирование портов — стандартный первый шаг при любой атаке. Он позволяет атакующему узнать, какие службы на хосте принимают соединение. На основе этой информации выбирается следующий шаг к получению точки входа.
Наиболее известный инструмент для сканирования — это Nmap. Улучшить результаты его работы ты можешь при помощи следующего скрипта:
#!/bin/bashports=$(nmap -p- --min-rate=500 $1 | grep ^[0-9] | cut -d '/' -f 1 | tr '\n' ',' | sed s/,$//)nmap -p$ports -A $1Он действует в два этапа. На первом производится обычное быстрое сканирование, на втором — более тщательное сканирование, с использованием имеющихся скриптов (опция -A).
По результатам сканирования видим всего два открытых порта: 22 — служба OpenSSH 8.9p1 и 80 — веб‑сервер Nginx 1.18.0. На SSH нам пока делать нечего, поэтому посмотрим, что нам покажет веб‑сервер.
Главная страница недоступна, так как сайт выполняет редирект на новый домен. Добавляем этот адрес в файл / и повторяем запрос.
10.10.11.185 awkward.htb hat-valley.htb
Точка входа
Чтобы увеличить область тестирования, лучше всего построить карту сайта. Это можно сделать прямо в Burp Proxy, выбрав в контекстном меню Engagement tools → Discover content.
На самом сайте ничего найти не удалось, и никакие дополнительные сканирования не помогли. Тогда я стал искать новые точки входа и нашел несколько новых страниц в файле app..
Переходим на любую из них, нас встретит форма авторизации.
Перебор простых логинов и паролей ни к чему не привел, и я вернулся к Burp History. В одном из запросов обратим внимание на передаваемые куки token=guest.
Попробуем использовать вместо guest пользователя admin в надежде на неправильную проверку значения. Для удобства можно просто создать правило замены в Burp Proxy.
И теперь нам доступна страница /.
Точка опоры
Просматривая Burp History, находим новый запрос к неизвестному API.
На самой странице просто выводится ошибка JWT.
Продолжение доступно только участникам
Вариант 1. Присоединись к сообществу «Xakep.ru», чтобы читать все материалы на сайте
Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», позволит скачивать выпуски в PDF, отключит рекламу на сайте и увеличит личную накопительную скидку! Подробнее
Вариант 2. Открой один материал
Заинтересовала статья, но нет возможности стать членом клуба «Xakep.ru»? Тогда этот вариант для тебя! Обрати внимание: этот способ подходит только для статей, опубликованных более двух месяцев назад.
Я уже участник «Xakep.ru»
