HTB Mailing. Эксплуатируем новый баг в почтовом клиенте Outlook

На­ша цель — получе­ние прав супер­поль­зовате­ля на машине Mailing с учеб­ной пло­щад­ки Hack The Box. Уро­вень задания — лег­кий.

Разведка

Сканирование портов

До­бав­ляем IP-адрес машины в /etc/hosts:

И запус­каем ска­ниро­вание пор­тов.

Ска­нер нашел мно­го откры­тых пор­тов, что нор­маль­но для сер­веров на Windows:

• 25 — hMailServer (поч­товый сер­вер SMTP);
• 80 (HTTP) — веб‑сер­вер Microsoft IIS/10.0;
• 110 — hMailServer (поч­товый сер­вер POP3);
• 135 — служ­ба уда­лен­ного вызова про­цедур (Microsoft RPC). Исполь­зует­ся для опе­раций вза­имо­дей­ствия кон­трол­лер — кон­трол­лер и кон­трол­лер — кли­ент;
• 139 — служ­ба сеан­сов NetBIOS, NetLogon;
• 143 — hMailServer (поч­товый сер­вер IMAP);
• 445 — SMB;
• 587 — hMailServer (поч­товый сер­вер SMTP SSL);
• 993 — hMailServer (поч­товый сер­вер POP3 SSL);
• 5985 — служ­ба уда­лен­ного управле­ния WinRM.

На SMB ничего инте­рес­ного нет, поч­товая служ­ба пока мало чем будет полез­на, поэто­му идем смот­реть веб‑сер­вер.

Сра­зу отме­чаем на глав­ной стра­нице ссыл­ку на какую‑то инс­трук­цию.

Точка входа

Инс­трук­ция очень боль­шая, но в ней никаких учет­ных дан­ных. Одна­ко из нее мы узна­ём поч­товый адрес maya@mailing.htb, а так­же то, что исполь­зует­ся поч­товый кли­ент Outlook.

Здесь явно пред­полага­ется век­тор фишин­га, но у нас пока что нет никаких учет­ных дан­ных, а зна­чит, поищем дру­гие пути для прод­вижения. Обра­тим вни­мание на спо­соб ска­чива­ния инс­трук­ции. Под­робнос­ти мож­но пос­мотреть в Burp History.

Имя фай­ла переда­ется в парамет­ре file, а это зна­чит, что тут может быть уяз­вимость LFI, поз­воля­ющая прос­матри­вать дру­гие фай­лы в сис­теме. Давай перебе­рем воз­можные пути через Burp Intruder. В качес­тве целево­го фай­ла будем исполь­зовать всег­да и всем дос­тупный для чте­ния /Windows/System32/drivers/etc/hosts.

Филь­тру­ем резуль­тат и видим в зап­росах содер­жимое фай­ла, а зна­чит, есть LFI.

Точка опоры

Что­бы про­верять какие‑то сис­темные фай­лы, нам может не хва­тать при­виле­гий, поэто­му работа­ем с тем, что есть, а имен­но с hMailServer, который мы видели, ска­нируя пор­ты. Пос­ле поис­ка информа­ции в интерне­те я нашел на «Дзе­не» рус­ско­языч­ную статью по адми­нис­три­рова­нию hMailServer. В статье при­веден путь к фай­лу с нас­трой­ками, а так­же его при­мер­ное содер­жимое. Меня очень заин­тересо­вали стро­ки с пароля­ми.

Про­чита­ем нас­трой­ки на уда­лен­ном сер­вере через Burp Repeater:

Стро­ка в парамет­ре AdministratorPassword — это навер­няка хеш пароля, а не сам пароль. Отда­дим его hashcat.