Наша цель — получение прав суперпользователя на машине Runner с учебной площадки Hack The Box. Уровень сложности задания — средний.
warning
Подключаться к машинам с HTB рекомендуется только через VPN. Не делай этого с компьютеров, где есть важные для тебя данные, так как ты окажешься в общей сети с другими участниками.
Разведка
Добавляем IP-адрес машины в /:
10.10.11.13 runner.htb
И запускаем сканирование портов.
Справка: сканирование портов
Сканирование портов — стандартный первый шаг при любой атаке. Он позволяет атакующему узнать, какие службы на хосте принимают соединение. На основе этой информации выбирается следующий шаг к получению точки входа.
Наиболее известный инструмент для сканирования — это Nmap. Улучшить результаты его работы ты можешь при помощи следующего скрипта:
#!/bin/bashports=$(nmap -p- --min-rate=500 $1 | grep ^[0-9] | cut -d '/' -f 1 | tr '\n' ',' | sed s/,$//)nmap -p$ports -A $1Он действует в два этапа. На первом производится обычное быстрое сканирование, на втором — более тщательное сканирование, с использованием имеющихся скриптов (опция -A).
По результатам сканирования имеем три открытых порта:
- порт 22 — служба OpenSSH 8.9p1;
- порт 80 — веб‑сервер Nginx 1.18.0;
- порт 8000 — веб‑сервер Nagios NSCA.
C SSH ничего не поделать, поэтому переходим к вебу. На порте 8000 необходим какой‑то эндпоинт, так как получаем ответ 404, а на порте 80 нас встречает сайт‑визитка.
Точка входа
На сайте ничего интересного найти не удалось, поэтому приступим к сканированию.
Справка: сканирование веба c ffuf
Одно из первых действий при тестировании безопасности веб‑приложения — это сканирование методом перебора каталогов, чтобы найти скрытую информацию и недоступные обычным посетителям функции. Для этого можно использовать программы вроде dirsearch и DIRB.
Я предпочитаю легкий и очень быстрый ffuf. При запуске указываем следующие параметры:
-
-w— словарь (я использую словари из набора SecLists); -
-t— количество потоков; -
-u— URL; -
-H— HTTP-заголовок.
Место перебора помечается словом FUZZ.
Задаем все параметры и запускаем сканирование:
ffuf -u http://runner.htb/ -H 'Host: FUZZ.runner.htb' -w subdomains-bitquark-top100000.txt -t 256
Однако утилита выводит все варианты из словаря, поэтому добавим фильтр по размеру страницы (параметр -fs).
ffuf -u http://runner.htb/ -H 'Host: FUZZ.runner.htb' -w subdomains-bitquark-top100000.txt -t 256 -fs 154
В итоге находим один поддомен, поэтому обновляем запись в файле /:
10.10.11.13 runner.htb teamcity.runner.htb
Перед нами TeamCity 2023.05.3. В этой версии есть известная уязвимость CVE-2023-42793, которая позволяет атакующему обойти авторизацию, создав своего администратора в сервисе. Используем первый найденный в Google эксплоит и получаем логин и пароль добавленного в систему администратора.
python3 exploit.py -u http://teamcity.runner.htb -t token.txt
Теперь можно авторизоваться в TeamCity и осмотреться в сервисе.
Точка опоры
Первым делом просмотрим зарегистрированных пользователей и настройки бэкапов.
Продолжение доступно только участникам
Вариант 1. Присоединись к сообществу «Xakep.ru», чтобы читать все материалы на сайте
Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», позволит скачивать выпуски в PDF, отключит рекламу на сайте и увеличит личную накопительную скидку! Подробнее
Вариант 2. Открой один материал
Заинтересовала статья, но нет возможности стать членом клуба «Xakep.ru»? Тогда этот вариант для тебя! Обрати внимание: этот способ подходит только для статей, опубликованных более двух месяцев назад.
Я уже участник «Xakep.ru»
