Наша цель — получение прав суперпользователя на машине Runner с учебной площадки Hack The Box. Уровень сложности задания — средний.
warning
Подключаться к машинам с HTB рекомендуется только через VPN. Не делай этого с компьютеров, где есть важные для тебя данные, так как ты окажешься в общей сети с другими участниками.
Разведка
Добавляем IP-адрес машины в /
:
10.10.11.13 runner.htb
И запускаем сканирование портов.
Справка: сканирование портов
Сканирование портов — стандартный первый шаг при любой атаке. Он позволяет атакующему узнать, какие службы на хосте принимают соединение. На основе этой информации выбирается следующий шаг к получению точки входа.
Наиболее известный инструмент для сканирования — это Nmap. Улучшить результаты его работы ты можешь при помощи следующего скрипта:
#!/bin/bashports=$(nmap -p- --min-rate=500 $1 | grep ^[0-9] | cut -d '/' -f 1 | tr '\n' ',' | sed s/,$//)nmap -p$ports -A $1
Он действует в два этапа. На первом производится обычное быстрое сканирование, на втором — более тщательное сканирование, с использованием имеющихся скриптов (опция -A
).
![Результат работы скрипта Результат работы скрипта](https://static.xakep.ru/images/582bef75fc917e92054c664716a1abb9/37674/02.png)
По результатам сканирования имеем три открытых порта:
- порт 22 — служба OpenSSH 8.9p1;
- порт 80 — веб‑сервер Nginx 1.18.0;
- порт 8000 — веб‑сервер Nagios NSCA.
C SSH ничего не поделать, поэтому переходим к вебу. На порте 8000 необходим какой‑то эндпоинт, так как получаем ответ 404, а на порте 80 нас встречает сайт‑визитка.
![Ответ сервера 10.10.11.13:8000 Ответ сервера 10.10.11.13:8000](https://static.xakep.ru/images/582bef75fc917e92054c664716a1abb9/37673/03.png)
![Главная страница сайта runner.htb Главная страница сайта runner.htb](https://static.xakep.ru/images/582bef75fc917e92054c664716a1abb9/37672/04.png)
Точка входа
На сайте ничего интересного найти не удалось, поэтому приступим к сканированию.
Справка: сканирование веба c ffuf
Одно из первых действий при тестировании безопасности веб‑приложения — это сканирование методом перебора каталогов, чтобы найти скрытую информацию и недоступные обычным посетителям функции. Для этого можно использовать программы вроде dirsearch и DIRB.
Я предпочитаю легкий и очень быстрый ffuf. При запуске указываем следующие параметры:
-
-w
— словарь (я использую словари из набора SecLists); -
-t
— количество потоков; -
-u
— URL; -
-H
— HTTP-заголовок.
Место перебора помечается словом FUZZ.
Задаем все параметры и запускаем сканирование:
ffuf -u http://runner.htb/ -H 'Host: FUZZ.runner.htb' -w subdomains-bitquark-top100000.txt -t 256
![Результат сканирования Результат сканирования](https://static.xakep.ru/images/582bef75fc917e92054c664716a1abb9/37671/05.png)
Однако утилита выводит все варианты из словаря, поэтому добавим фильтр по размеру страницы (параметр -fs
).
ffuf -u http://runner.htb/ -H 'Host: FUZZ.runner.htb' -w subdomains-bitquark-top100000.txt -t 256 -fs 154
![Результат сканирования Результат сканирования](https://static.xakep.ru/images/582bef75fc917e92054c664716a1abb9/37670/06.png)
В итоге находим один поддомен, поэтому обновляем запись в файле /
:
10.10.11.13 runner.htb teamcity.runner.htb
![Главная страница teamcity.runner.htb Главная страница teamcity.runner.htb](https://static.xakep.ru/images/582bef75fc917e92054c664716a1abb9/37669/07.png)
Перед нами TeamCity 2023.05.3. В этой версии есть известная уязвимость CVE-2023-42793, которая позволяет атакующему обойти авторизацию, создав своего администратора в сервисе. Используем первый найденный в Google эксплоит и получаем логин и пароль добавленного в систему администратора.
python3 exploit.py -u http://teamcity.runner.htb -t token.txt
![Эксплуатация уязвимости Эксплуатация уязвимости](https://static.xakep.ru/images/582bef75fc917e92054c664716a1abb9/37668/08.png)
Теперь можно авторизоваться в TeamCity и осмотреться в сервисе.
![Главная страница сайта Главная страница сайта](https://static.xakep.ru/images/582bef75fc917e92054c664716a1abb9/37667/09.png)
Точка опоры
Первым делом просмотрим зарегистрированных пользователей и настройки бэкапов.
![Пользователи TeamCity Пользователи TeamCity](https://static.xakep.ru/images/582bef75fc917e92054c664716a1abb9/37666/10.png)
![Параметры бэкапа Параметры бэкапа](https://static.xakep.ru/images/582bef75fc917e92054c664716a1abb9/37665/11.png)
Продолжение доступно только участникам
Материалы из последних выпусков становятся доступны по отдельности только через два месяца после публикации. Чтобы продолжить чтение, необходимо стать участником сообщества «Xakep.ru».
Присоединяйся к сообществу «Xakep.ru»!
Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», позволит скачивать выпуски в PDF, отключит рекламу на сайте и увеличит личную накопительную скидку! Подробнее