Содержание статьи
Наша цель — захват учетной записи суперпользователя на машине RegistryTwo с учебной площадки Hack The Box. Уровень ее сложности — «безумный».
Разведка
Сканирование портов
Добавляем IP-адрес машины в /:
10.10.11.223 registrytwo.htb
И запускаем сканирование портов.
Справка: сканирование портов
Сканирование портов — стандартный первый шаг при любой атаке. Он позволяет атакующему узнать, какие службы на хосте принимают соединение. На основе этой информации выбирается следующий шаг к получению точки входа.
Наиболее известный инструмент для сканирования — это Nmap. Улучшить результаты его работы ты можешь при помощи следующего скрипта:
#!/bin/bashports=$(nmap -p- --min-rate=500 $1 | grep ^[0-9] | cut -d '/' -f 1 | tr '\n' ',' | sed s/,$//)nmap -p$ports -A $1Он действует в два этапа. На первом производится обычное быстрое сканирование, на втором — более тщательное сканирование, с использованием имеющихся скриптов (опция -A).
Сканер нашел четыре открытых порта:
- 22 — служба OpenSSH 7.6p1;
- 443 — веб‑сервер Nginx 1.14.0;
- 5000 — сервис Docker Registry;
- 5001 — сервис аутентификации Docker Registry.
В SSL-сертификатах на веб‑сервере нашлось несколько имен DNS, которые мы тоже добавляем в файл /.
10.10.11.223 registrytwo.htb webhosting.htb www.webhosting.htb
Точка входа
Переходим к проверке Docker Registry и делаем запрос к API /.
curl -k -s https://webhosting.htb:5000/v2/_catalog | jq
Выходит, нам нужно аутентифицироваться на сервере. Поэтому обратимся к порту 5001 для получения токена.
curl -k -s https://webhosting.htb:5001/auth | jq
Проверяем полученный токен с помощью jwt_tool.
python3 jwt_tool.py eyJ0eXAiOiJKV1Q...
Нас интересует поле access, так как оно содержит текущие разрешения. В данном случае оно пустое. Снова выполним запрос к API, но просмотрим и HTTP-заголовки запроса и ответа.
curl -k -s https://webhosting.htb:5000/v2/_catalog -v | jq
В заголовке www-authenticate видим параметры, необходимые для запроса токена. Запросим новый токен, учтя полученные параметры.
curl -k -s 'https://webhosting.htb:5001/auth?service=Docker%20registry&scope=registry:catalog:*' | jq
python3 jwt_tool.py eyJ0eXAiOiJKV1Q....
В новом токене появились привилегии для доступа к каталогу. Теперь мы можем передать этот токен в запросе к API и получить список репозиториев.
curl -k -s https://webhosting.htb:5000/v2/_catalog -H 'Authorization: Bearer eyJ0eXAi...' | jq
Продолжение доступно только участникам
Вариант 1. Присоединись к сообществу «Xakep.ru», чтобы читать все материалы на сайте
Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», позволит скачивать выпуски в PDF, отключит рекламу на сайте и увеличит личную накопительную скидку! Подробнее
Вариант 2. Открой один материал
Заинтересовала статья, но нет возможности стать членом клуба «Xakep.ru»? Тогда этот вариант для тебя! Обрати внимание: этот способ подходит только для статей, опубликованных более двух месяцев назад.
Я уже участник «Xakep.ru»
