HTB Intuition. Эксплуатируем баг в раннере Ansible для повышения привилегий

На­ша цель — получе­ние прав супер­поль­зовате­ля на машине Intuition с учеб­ной пло­щад­ки Hack The Box. Уро­вень задания — слож­ный.

Разведка

Сканирование портов

До­бав­ляем IP-адрес машины в /etc/hosts:

И запус­каем ска­ниро­вание пор­тов.

Ска­нер нашел два откры­тых пор­та:

• 22 — служ­ба OpenSSH 8.9p1;
• 80 — веб‑сер­вер Nginx 1.18.0.

Так­же отме­чаем, что веб‑сер­вер на 80-м пор­те редирек­тит на домен comprezzor.htb, поэто­му добавим его в файл /etc/hosts.

Пе­рехо­дим к сай­ту на веб‑сер­вере и сра­зу получа­ем фор­му для заг­рузки фай­лов.

Точка входа

Ни­же на стра­нице есть ссыл­ка на фор­му, куда мож­но отправ­лять информа­цию о най­ден­ных багах.

Ссыл­ка ведет на сайт report.comprezzor.htb, поэто­му, преж­де чем идти смот­реть на него, сно­ва добавим запись в файл /etc/hosts.

Так как мы уже наш­ли сайт на под­домене report, есть смысл проб­рутить под­домены по спис­ку: так мы смо­жем най­ти еще боль­ше сай­тов, а соот­ветс­твен­но, и боль­ше точек вхо­да. Под­бирать под­домены будем с помощью ути­литы ffuf.

За­даем все нуж­ные парамет­ры:

В вывод прог­раммы попада­ют абсо­лют­но все сло­ва из спис­ка, поэто­му необ­ходимо добавить филь­тр, нап­ример по раз­меру стра­ницы (параметр -fs).

На­ходим еще два под­домена. Обновля­ем запись в фай­ле /etc/hosts и наконец идем смот­реть сай­ты.

На auth.comprezzor.htb нас встре­чает фор­ма авто­риза­ции, а dashboard.comprezzor.htb недос­тупен даже пос­ле регис­тра­ции и авто­риза­ции.

Ку­да инте­рес­нее фор­ма отправ­ки отче­тов, так как ее мож­но потес­тировать на раз­ные уяз­вимос­ти.

По логике, если отчет кто‑то прос­матри­вает, мы можем поп­робовать про­экс­плу­ати­ровать уяз­вимость XSS. Для это­го запус­тим локаль­ный веб‑сер­вер:

И отпра­вим наг­рузку, которая дол­жна будет выпол­нить зап­рос на этот веб‑сер­вер.

На веб‑сер­вер при­шел зап­рос, а зна­чит, на сай­те есть XSS. Недол­го думая, поп­робу­ем ста­щить куки поль­зовате­ля.

В логах появ­ляет­ся длин­ная стро­ка. Заг­ружа­ем куки в бра­узер, пометив, что они пред­назна­чены для сай­та dashboard, и перехо­дим на этот сайт.

Точка опоры

Повышение привилегий

На стра­нице мы можем смот­реть сами отче­ты, перехо­дя по ссыл­кам в Report ID. При этом на стра­нице самого отче­та мож­но повысить его при­ори­тет.

При повыше­нии при­ори­тета отче­та, веро­ятно, его будет изу­чать уже адми­нис­тра­тор. А зна­чит, мы смо­жем пов­торить трюк с XSS и получить cookie. Откро­ем отчет и повысим его при­ори­тет, и, ког­да адми­нис­тра­тор перей­дет к нему, мы получим его куки.

При­меня­ем куки в хра­нили­ще бра­узе­ра Chrome и обновля­ем стра­ницу. Теперь нам дос­тупен дру­гой даш­борд, а так­же нес­коль­ко новых фун­кций.

Од­на из инте­рес­ных воз­можнос­тей — это сос­тавле­ние отче­та в PDF по пре­дос­тавлен­ному URL.

Пер­вой моей иде­ей было про­верить, нет ли тут SSRF, и поп­робовать ста­щить локаль­ные фай­лы через схе­му file:///. Прав­да, это резуль­татов не дало.

Поп­робу­ем прис­лать тес­товый зап­рос на свой лис­тенер. Запус­тим его:

Об­рати вни­мание на исполь­зуемую на сер­вере биб­лиоте­ку — Python-urllib/3.11. Ее мож­но уви­деть в HTTP-заголов­ке User-Agent.

В этой биб­лиоте­ке в прош­лом году наш­ли уяз­вимость CVE-2023-24329.

Я поис­кал экс­пло­иты в Google и лег­ко отыс­кал под­ходящий. Если URL будет начинать­ся с про­бела, то мы смо­жем читать локаль­ные фай­лы через « file:///».

LFI

Так как мы работа­ем с при­ложе­нием на Python, хорошо бы взгля­нуть на исходный код. А для это­го нуж­но знать, где в фай­ловой сис­теме находит­ся при­ложе­ние. Давай гля­нем файл /proc/self/cmdline — там содер­жится коман­дная стро­ка для текуще­го про­цес­са.