HTB Corporate. Эксплуатируем Self-XSS, брутим PIN от Bitwarden и подделываем JWT

На­ша цель — получе­ние прав супер­поль­зовате­ля на машине Corporate с учеб­ной пло­щад­ки Hack The Box. Уро­вень слож­ности — «безум­ный».

Разведка

Сканирование портов

До­бав­ляем IP-адрес машины в /etc/hosts:

И запус­каем ска­ниро­вание пор­тов.

Ска­нер нашел все­го один откры­тый порт — 80. На нем отве­чает веб‑сер­вер OpenResty 1.21.4.3. На глав­ной стра­нице нас встре­чает сайт, а так­же мы узна­ём реаль­ный домен.

Точка входа

Ни­же на стра­нице мож­но най­ти ссыл­ку на дру­гой ресурс, рас­положен­ный на под­домене.

Что­бы получить дос­туп к ресур­су, добавим соот­ветс­тву­ющую запись в файл /etc/hosts, а затем пов­торим обра­щение к support.corporate.htb.

Мы наш­ли один под­домен, а зна­чит, могут быть и дру­гие. Про­верить это лег­ко с помощью ска­нера ffuf.

Ко­ман­да получа­ется сле­дующая:

Так мы откры­ваем три новых под­домена, для которых нуж­но сде­лать запись в /etc/hosts. Затем можем пос­мотреть соот­ветс­тву­ющие сай­ты.

К git дос­туп получить нель­зя, people тре­бует авто­риза­ции, а SSO обес­печива­ет еди­ный механизм аутен­тифика­ции для всех ресур­сов. Воз­вра­щаем­ся к чату тех­поддер­жки и про­веря­ем встав­ку тегов HTML.

Наг­рузка со сло­вом bolt, обер­нутым в тег <b> сра­бота­ла — сло­во отоб­ражено жир­ным шриф­том. Это зна­чит, что мож­но попытать уда­чу с инъ­екци­ей XSS.

Точка опоры

XSS bypass CSP

Най­ти здесь XSS никак не получи­лось, а все из‑за полити­ки CSP, о которой мож­но узнать из отве­та веб‑сер­вера.

Content Security Policy — это механизм обес­печения безопас­ности, с помощью которо­го мож­но защищать­ся от XSS-атак. CSP опи­сыва­ет доверен­ные источни­ки для заг­рузки ресур­сов и уста­нав­лива­ет пра­вила исполь­зования встро­енных скрип­тов. Заг­рузка с ресур­сов, не вхо­дящих в белый спи­сок, бло­киру­ется. Таким обра­зом, для экс­плу­ата­ции XSS нуж­но най­ти воз­можность раз­местить код на одном из ресур­сов corporate.htb.

В это вре­мя Burp Scanner опре­делил воз­можность манипу­ляции содер­жимым JS-скрип­та /assets/js/analytics.min.js через параметр v.

Так­же наш­лась воз­можность менять содер­жимое стра­ницы 404 глав­ного сай­та, что поз­воля­ет вста­вить теги <script> и перей­ти к уяз­вимос­ти Self-XSS.

Та­ким обра­зом, в файл /assets/js/analytics.min.js мож­но вста­вить свой JavaScript-код, который будет отправ­лять на наш сер­вер cookie поль­зовате­ля.

За­тем этот скрипт мож­но заг­ружать в теге <script> через стра­ницу 404 глав­ного сай­та и при­водить наг­рузку в дей­ствие.

Что­бы поль­зователь авто­мати­чес­ки перехо­дил по этой ссыл­ке, исполь­зуем HTML-инъ­екцию тега <meta> с парамет­ром http-equiv="refresh".

За­пус­каем веб‑сер­вер:

И отправ­ляем наг­рузку в чат. Как толь­ко поль­зователь прос­мотрит сооб­щение, он авто­мати­чес­ки будет перенап­равлен на http://corporate.htb/, где через Self-XSS заг­рузит­ся скрипт /vendor/analytics.min.js со встро­енной JS-наг­рузкой для кра­жи печенек.

Так как каж­дый новый чат будет со слу­чай­ным сот­рудни­ком тех­поддер­жки, мож­но получать cookie раз­ных поль­зовате­лей.

IDOR + Broken Access Control

Что­бы получен­ные cookie авто­мати­чес­ки при­меня­лись на всех сай­тах, заг­ружа­емых через Burp Proxy, нуж­но открыть нас­трой­ки прок­си и ука­зать их в раз­деле Match and replace rules.

На стра­нице Sharing мож­но най­ти нес­коль­ко фай­лов, в том чис­ле кон­фиг OpenVPN. Офис­ные докумен­ты ничего инте­рес­ного не содер­жат.

Так как обра­щение к фай­лу про­исхо­дит через его иден­тифика­тор, сто­ит переб­рать дру­гие зна­чения ID: дос­туп к фай­лам может не кон­тро­лиро­вать­ся. Одна­ко в этот раз ничего не получи­лось. В допол­нение к обна­ружен­ному мож­но отме­тить фун­кцию, которая поз­воля­ет поделить­ся фай­лом с дру­гим поль­зовате­лем.

На стра­нице Chat есть толь­ко окно чата для внут­ренних поль­зовате­лей. При кли­ке на поль­зовате­ля мож­но прос­мотреть его про­филь.

Боль­ше на сай­те ничего инте­рес­ного най­ти не уда­лось, поэто­му вер­немся и пос­мотрим, какие воз­можнос­ти дает заг­рузка и шеринг фай­ла. Что­бы вой­ти от име­ни любого дру­гого поль­зовате­ля, мож­но украсть ран­домные cookie через XSS и при­менить в Burp Proxy.

Че­рез фор­му заг­рузки ничего инте­рес­ного сде­лать не получи­лось. А вот что­бы поделить­ся фай­лом, сер­веру нуж­но ука­зать ID фай­ла и поч­товый адрес поль­зовате­ля, которо­му будет открыт дос­туп.

Хо­тя сер­вер про­веря­ет, мож­но ли тому или ино­му поль­зовате­лю получить дос­туп к опре­делен­ному фай­лу, при шерин­ге это раз­решение может и не дей­ство­вать. Что­бы поп­робовать поделить­ся все­ми фай­лами, мож­но через Burp Intruder переб­рать их ID в зап­росе на шеринг.

Ког­да все зап­росы в Burp Intruder выпол­нены, сно­ва про­веря­ем фай­лы поль­зовате­ля и находим там боль­шой спи­сок докумен­тов.

Сре­ди бес­полез­ных фай­лов DOCX есть один инте­рес­ный файл в фор­мате PDF.

Сбор информации

В PDF есть шаб­лон уста­нав­лива­емых для поль­зовате­лей паролей. Пароли сос­тавля­ются по прос­той схе­ме: стро­ка CorporateStarter и дата рож­дения поль­зовате­ля.

Да­ту рож­дения поль­зовате­ля лег­ко най­ти в его про­филе. Можем через Burp Intruder переб­рать про­фили всех поль­зовате­лей и выб­рать на стра­ницах их име­на и даты рож­дения.

Для выбора име­ни поль­зовате­ля и даты рож­дения сле­дует исполь­зовать опцию Grep-Extract.

По­луча­ем таб­лицу с дан­ными, и теперь нуж­но выб­рать резуль­таты для всех поль­зовате­лей. Сох­раня­ем и в появив­шемся окне выбира­ем толь­ко стол­бцы с име­нами и датами рож­дения. В качес­тве раз­делите­ля выбира­ем запятую.

Те­перь нуж­но най­ти сер­висы, в которые мож­но попытать­ся залоги­нить­ся. Под­клю­чаем­ся к VPN, исполь­зуя ска­чан­ный кон­фиг, и прос­матри­ваем добав­ленные мар­шру­ты. Это нуж­но для опре­деле­ния новых сетей, к которым откры­вает­ся дос­туп.

Нам дос­тупны сети 10.8.0.0/24 и 10.9.0.0/24. Сна­чала прос­каниру­ем их и най­дем живые хос­ты. Nmap с опци­ей -sn выпол­нит перебор всех хос­тов в сети.

Те­перь нуж­но прос­каниро­вать пор­ты на най­ден­ных хос­тах. Для это­го исполь­зуем уже зна­комый скрипт, который я при­водил в начале статьи.

Ад­реса 10.8.0.1 и 10.9.0.1 при­над­лежат одно­му хос­ту, поэто­му далее работать будем толь­ко с одним из них.

Шаблонные пароли

На хос­те 10.9.0.4 работа­ют служ­бы SSH (порт 22) и NFS (порт 111). Пер­вым делом нуж­но переб­рать учет­ные дан­ные на SSH. Но спер­ва надо соб­рать спис­ки логинов и паролей.