HTB Appsanity. Используем DLL Hijacking для повышения привилегий

На­ша цель — получе­ние прав супер­поль­зовате­ля на машине Appsanity с учеб­ной пло­щад­ки Hack The Box. Уро­вень машины заяв­лен слож­ный.

Разведка

Сканирование портов

До­бав­ляем IP-адрес машины в /etc/hosts:

И запус­каем ска­ниро­вание пор­тов.

Ска­нер нашел три откры­тых пор­та:

• 80 и 443 — веб‑сер­вер Microsoft IIS 10.0;
• 5985 — служ­ба уда­лен­ного управле­ния WinRM.

На сер­вере все­го одна точ­ка вхо­да — это веб‑сер­вер. При этом, как отоб­ражено в выводе Nmap, про­исхо­дит редирект на сайт http://meddigi.htb. Добав­ляем этот домен в /etc/hosts и идем смот­реть сайт.

Сра­зу же запус­каем ска­нер под­доменов.

За­пус­каем ска­ниро­вание:

Спус­тя пару минут получа­ем еще один под­домен, который тоже добав­ляем в /etc/hosts.

Те­перь перей­дем к ана­лизу самих сай­тов.

Точка входа

Повышение привилегий на сайте

На пер­вом сай­те, в отли­чие от вто­рого, есть воз­можность регис­тра­ции.

Ав­торизо­вав­шись на сай­те, получа­ем стра­ницу про­филя, где есть нес­коль­ко полей вво­да и даже воз­можность отпра­вить сооб­щение кому‑то.

Но ничего инте­рес­ного най­ти не уда­лось, поэто­му вер­немся в самое начало и прос­мотрим все зап­росы в Burp History. В гла­за бро­сил­ся параметр Acctype в зап­росе на авто­риза­цию.

Вый­дем из сво­его про­филя на сай­те, акти­виру­ем перех­ват зап­роса в Burp Proxy и сно­ва прой­дем авто­риза­цию. Но в этот раз в перех­вачен­ном зап­росе изме­ним зна­чение парамет­ра Acctype на 2.

На этот раз мы авто­ризо­вались как док­тор, и стра­ница про­филя содер­жит новые эле­мен­ты.

Обход авторизации

Но сно­ва ничего инте­рес­ного най­ти не уда­лось. Одна­ко здесь исполь­зует­ся сес­сия AspNet, а зна­чит, мож­но про­верить токен дос­тупа на дру­гом сай­те. Вдруг исполь­зует­ся общий механизм авто­риза­ции. Для это­го копиру­ем cookie с сай­та, где мы уже авто­ризо­вались, и исполь­зуем их на portal.meddigi.htb.

И получа­ем дос­туп к дру­гому сай­ту от име­ни авто­ризо­ван­ного поль­зовате­ля. Но так как куки встав­лялись через Burp, мы не смо­жем гулять по все­му сай­ту. Давай откро­ем бра­узер и закинем токен дос­тупа в хра­нили­ще Cookies.

Те­перь у нас есть пол­ноцен­ный дос­туп ко всем механиз­мам веб‑при­ложе­ния. На одной из стра­ниц раз­реша­ют сох­ранять документ по ссыл­ке, что может при­вес­ти к SSRF. На дру­гой стра­нице мож­но заг­ружать фай­лы, а это потен­циаль­но ведет к воз­можнос­ти залить шелл.

Точка опоры

SSRF

На­чина­ем с фор­мы сох­ранения докумен­тов по ссыл­ке. Для про­вер­ки запус­каем на локаль­ной машине веб‑сер­вер:

А затем ука­зыва­ем тес­товую ссыл­ку на этот сер­вер в поле вво­да.