HTB Mist. Используем технику ESC13 для захвата домена Active Directory

На­ша цель — получе­ние прав супер­поль­зовате­ля на машине Mist с учеб­ной пло­щад­ки Hack The Box. Уро­вень слож­ности задания — «безум­ный».

Разведка

Сканирование портов

До­бав­ляем IP-адрес машины в /etc/hosts:

И запус­каем ска­ниро­вание пор­тов.

Ска­нер обна­ружил все­го один откры­тый порт: 80 — веб‑сер­вер Apache 2.4.52. На сай­те нас ожи­дает сис­тема Pluck 4.7.18.

Точка входа

При попыт­ке перей­ти к управле­нию в сис­теме нас встре­тит фор­ма аутен­тифика­ции.

Пер­вым делом сто­ит про­верить, есть ли для обна­ружен­ной CMS готовые экс­пло­иты. Идем за ними пря­миком в Google.

Об­наружи­ваем, что в этой вер­сии Pluck есть воз­можность раз­местить веб‑шелл через заг­рузку модуля и тем самым получить RCE. Но проб­лема в том, что спер­ва нуж­но получить дос­туп к управле­нию веб‑при­ложе­нием.

Так как вер­сия при­ложе­ния не самая новая, перехо­дим к поис­ку дру­гих экс­пло­итов. В модуле albums в фун­кции получе­ния изоб­ражений есть уяз­вимость обхо­да катало­га, что поз­волит нам получить содер­жимое любого фай­ла.

Но при­мер из PoC не сра­ботал, зап­рос был заб­локиро­ван.

Пос­мотрим, какие еще есть инте­рес­ные модули и фай­лы. Для это­го прос­каниру­ем катало­ги с помощью feroxbuster. При запус­ке исполь­зуем сле­дующие парамет­ры:

• -u — URL;
• -d — глу­бина ска­ниро­вания.

Прой­дем­ся по най­ден­ным катало­гам и заметим, что дирек­тория /data/settings/modules/albums не индекси­рует­ся и мы можем получить дос­туп ко всем фай­лам внут­ри нее.

Те­перь исполь­зуем най­ден­ную ранее уяз­вимость LFI для чте­ния содер­жимого фай­ла admin_backup.php.

В фай­ле есть какой‑то хеш, поп­робу­ем его подоб­рать.

Точка опоры

Бру­тить хеш будем с помощью hashcat. У него есть воз­можность авто­мати­чес­кого опре­деле­ния типа хеша, поэто­му переда­ем ему толь­ко хеш и сло­варь для перебо­ра. Но под этот фор­мат под­ходит нес­коль­ко алго­рит­мов, о чем ути­лита нам и сооб­щит.

Из пред­став­ленных алго­рит­мов наибо­лее популя­рен SHA2-512. При пов­торном запус­ке hashcat добавим номер алго­рит­ма в парамет­ре -m.

С этим паролем мож­но авто­ризо­вать­ся в сис­теме Pluck и поп­робовать получить RCE через заг­рузку собс­твен­ного модуля.