Содержание статьи
Наша цель — захват рута на машине Clicker с площадки Hack The Box. Уровень ее сложности — средний.
warning
Подключаться к машинам с HTB рекомендуется только через VPN. Не делай этого с компьютеров, где есть важные для тебя данные, так как ты окажешься в общей сети с другими участниками.
Разведка
Сканирование портов
Добавляем IP-адрес машины в /
:
10.10.11.232 clicker.htb
И запускаем сканирование портов.
Справка: сканирование портов
Сканирование портов — стандартный первый шаг при любой атаке. Он позволяет атакующему узнать, какие службы на хосте принимают соединение. На основе этой информации выбирается следующий шаг к получению точки входа.
Наиболее известный инструмент для сканирования — это Nmap. Улучшить результаты его работы ты можешь при помощи следующего скрипта:
#!/bin/bashports=$(nmap -p- --min-rate=500 $1 | grep ^[0-9] | cut -d '/' -f 1 | tr '\n' ',' | sed s/,$//)nmap -p$ports -A $1
Он действует в два этапа. На первом производится обычное быстрое сканирование, на втором — более тщательное сканирование, с использованием имеющихся скриптов (опция -A
).
![Результат работы скрипта Результат работы скрипта](https://static.xakep.ru/images/e4440ba4c20c9677bd333d844c7cc87d/34450/02.png)
Сканер нашел несколько открытых портов, среди них отметим:
- 22 — служба OpenSSH 8.9p1;
- 80 — веб‑сервер Apache 2.4.52;
- 2049 — служба NFS.
Остальные порты не представляют интереса.
Точка входа
Первым делом подключимся к хранилищу NFS и посмотрим, что там.
showmount -e clicker.htb
![Доступные разделы NFS Доступные разделы NFS](https://static.xakep.ru/images/e4440ba4c20c9677bd333d844c7cc87d/34449/03.png)
Нам доступен раздел с бэкапами. Примонтируем его и посмотрим содержимое.
sudo mount -t nfs clicker.htb:/mnt/backups /mnt/
![Содержимое раздела Содержимое раздела](https://static.xakep.ru/images/e4440ba4c20c9677bd333d844c7cc87d/34448/04.png)
Там всего один архив, копируем его на нашу машину и демонтируем раздел.
sudo umount /mnt
![Содержимое архива Содержимое архива](https://static.xakep.ru/images/e4440ba4c20c9677bd333d844c7cc87d/34447/05.png)
Архив содержит исходные коды сайта, что облегчит поиск уязвимостей.
![Главная страница сайта Главная страница сайта](https://static.xakep.ru/images/e4440ba4c20c9677bd333d844c7cc87d/34446/06.png)
Точка опоры
Повышение привилегий на сайте
Сперва по порядку просматриваем все файлы и в каждом отмечаем интересные данные и потенциальные уязвимости. К примеру, в db_utils.
лежат функции для загрузки и сохранения профиля (строки 44–66). В обеих функциях используется запрос к базе данных, в первом случае для получения данных, во втором — для изменения существующей записи.
![Содержимое файла db_utils.php Содержимое файла db_utils.php](https://static.xakep.ru/images/e4440ba4c20c9677bd333d844c7cc87d/34445/09.png)
Продолжение доступно только участникам
Вариант 1. Присоединись к сообществу «Xakep.ru», чтобы читать все материалы на сайте
Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», позволит скачивать выпуски в PDF, отключит рекламу на сайте и увеличит личную накопительную скидку! Подробнее
Вариант 2. Открой один материал
Заинтересовала статья, но нет возможности стать членом клуба «Xakep.ru»? Тогда этот вариант для тебя! Обрати внимание: этот способ подходит только для статей, опубликованных более двух месяцев назад.
Я уже участник «Xakep.ru»