HTB Skyfall. Добываем ключ SSH из HashiCorp Vault

На­ша цель — получе­ние прав супер­поль­зовате­ля на машине Skyfall с учеб­ной пло­щад­ки Hack The Box. Уро­вень ее слож­ности — «безум­ный».

Разведка

Сканирование портов

До­бав­ляем IP-адрес машины в /etc/hosts:

И запус­каем ска­ниро­вание пор­тов.

Ска­нер нашел все­го два откры­тых пор­та:

• 22 — служ­ба OpenSSH 8.9p1;
• 80 — веб‑сер­вер Nginx 1.18.0.

Сра­зу про­веря­ем, что нам покажет веб‑сер­вер, и видим глав­ную стра­ницу сай­та.

Точка входа

Изу­чая сайт, находим ссыл­ку на новый для нас под­домен.

Преж­де чем смот­реть этот сайт, сна­чала обно­вим запись в /etc/hosts:

На най­ден­ном сай­те нас встре­чает фор­ма авто­риза­ции.

Так как сайт работа­ет в демо‑режиме, в фор­ме отоб­ража­ются учет­ные дан­ные guest:guest.

Прос­матри­вая стра­ницы сай­та, доходим до раз­дела Minio Metrics, где нас встре­чает ошиб­ка 403, свя­зан­ная с огра­ниче­нием дос­тупа.

Обход 403

Пос­коль­ку исполь­зует­ся веб‑сер­вер Nginx, мож­но поп­робовать при­менить спе­циаль­ные пос­ледова­тель­нос­ти в пути стра­ницы, что­бы обой­ти кон­троль дос­тупа. Я переб­рал раз­ные наг­рузки с помощью Burp Intruder и опре­делил два пути, которые воз­вра­щают содер­жимое стра­ницы metrics.

В пред­став­ленной таб­лице видим minio_endpoint_url. Пос­коль­ку мы наш­ли еще один под­домен, добавим и его в /etc/hosts.

А теперь пос­мотрим, что там.

Точка опоры

Minio — это высокоп­роиз­водитель­ное орга­низо­ван­ное объ­ектное хра­нили­ще. Пос­ледний пуб­личный экс­пло­ит для Minio — CVE-2023–28432. Он поз­воля­ет неав­торизо­ван­ному поль­зовате­лю получить кон­фиг, содер­жащий учет­ные дан­ные. Экс­плу­ата­ция очень прос­тая, нуж­но все­го лишь выпол­нить POST-зап­рос на стра­ницу /minio/bootstrap/v1/verify.

Для работы с Minio пот­ребу­ется кон­соль­ная ути­лита mc, ска­чать которую мож­но на офи­циаль­ном сай­те.