HTB Resource. Разбираемся с SSH-авторизацией по сертификату

На­ша цель — получе­ние прав супер­поль­зовате­ля на машине Resource с учеб­ной пло­щад­ки Hack The Box. Уро­вень ее слож­ности — «сред­няя».

Разведка

Сканирование портов

До­бав­ляем IP-адрес машины в /etc/hosts:

И запус­каем ска­ниро­вание пор­тов.

Ска­нер нашел три откры­тых пор­та:

• 22 — служ­ба OpenSSH 9.2p1;
• 80 — веб‑сер­вер Nginx 1.18.0;
• 2222 — служ­ба OpenSSH 8.9p1.

На пор­те 80 выпол­няет­ся редирект на адрес http://itrc.ssg.htb, поэто­му обно­вим запись в фай­ле /etc/hosts, а затем прос­мотрим сайт через бра­узер.

Точка входа

На сай­те есть воз­можность регис­тра­ции и авто­риза­ции. Сде­лаем это, так как авто­ризо­ван­ному поль­зовате­лю обыч­но дос­тупно боль­ше фун­кций, а зна­чит и точек для ата­ки будет боль­ше.

На стра­нице dashboard есть воз­можность заводить тикеты и заг­ружать ZIP-архи­вы. Так как на сай­те индекс файл пред­став­лен в фор­мате PHP, поп­робу­ем най­ти дру­гие PHP-фай­лы. Для это­го будем исполь­зовать ути­литу feroxbuster.

За­даем все парамет­ры и запус­каем ска­ниро­вание:

На­ходим мно­го новых инте­рес­ных фай­лов. Что при­меча­тель­но, сре­ди них при­сутс­тву­ет dashboard.php, а мы получа­ли дос­туп к стра­нице через index.php?page=dashboard. Видимо, к парамет­ру page авто­мати­чес­ки добав­ляет­ся рас­ширение php. Поп­робу­ем таким же обра­зом прос­мотреть стра­ницу admin.php.

По­луча­ем содер­жимое стра­ницы и про­буем тем же спо­собом прос­мотреть и дру­гие. При обра­щении к /api/login.php видим ошиб­ку, рас­кры­вающую путь к фай­лам на сер­вере.

Точка опоры

Пе­рей­дем к соз­данию тикета. Во вло­жении заг­рузим ран­домный ZIP-архив.

Ти­кет появит­ся в общем спис­ке. По кноп­ке Open прос­мотрим его содер­жимое.

Нам дос­тупен для ска­чива­ния заг­ружен­ный тес­товый архив. По ссыл­ке вид­но, что он хра­нит­ся в катало­ге uploads с изме­нен­ным име­нем.

Это зна­чит, что у нас есть воз­можность экс­плу­ати­ровать LFI, но работа­ет она толь­ко для фай­лов PHP, а так­же мы зна­ем куда сох­раня­ются ZIP-архи­вы. Можем поп­робовать реали­зовать сле­дующий сце­нарий: на сер­вер заг­рузим архив с шел­лом на PHP, а затем обра­тим­ся через LFI к фай­лу внут­ри архи­ва через путь phar://.

За­архи­виру­ем файл shell.php, заг­рузим архив на сер­вер и получим путь к нему на сер­вере.

Ос­талось обра­тить­ся к шел­лу и в качес­тве тес­та выпол­нить коман­ду id.

Ко­ман­да выпол­нена, а зна­чит, у нас есть RCE. Запус­каем лис­тенер pwncat-cs -lp 4321 и выпол­няем реверс‑шелл.

Побег из Docker

Пользователь msainristil

На хос­те раз­верну­то веб‑при­ложе­ние, и оно навер­няка исполь­зует базу дан­ных. В таких слу­чаях в базе мож­но най­ти учет­ные дан­ные для сай­та, которые могут при­годить­ся для даль­нейше­го про­ник­новения. Дан­ные для под­клю­чения к самой базе обыч­но находят­ся в коде или нас­трой­ках веб‑при­ложе­ния.

В дан­ном слу­чае учет­ку для базы находим в фай­ле db.php.

Ис­поль­зовать этот пароль ниг­де не получи­лось, поэто­му осмотрим­ся на сер­вере. Помимо заг­ружен­ных нами архи­вов в катало­ге uploads мож­но най­ти и вло­жения к тикетам дру­гих поль­зовате­лей. Ска­чива­ем их на свою машину для ана­лиза.

Два архи­ва содер­жат пуб­личные клю­чи SSH, а в оставшем­ся находим файл HAR.

В фай­лах HAR фик­сиру­ются раз­ные неполад­ки бра­узе­ра, такие как неудач­ные вхо­ды и проб­лемы с отоб­ражени­ем веб‑стра­ниц. Сра­зу же ищем в фай­ле встро­ки вро­де user, pass, token и тому подоб­ные. И находим учет­ные дан­ные, сох­ранен­ные в откры­том виде.

С получен­ными учет­ными под­клю­чаем­ся по SSH от име­ни поль­зовате­ля msainristill.

Пользователь root

В домаш­нем катало­ге поль­зовате­ля root есть каталог decommission_old_ca с клю­чами цен­тра сер­тифика­ции.

Зак­рытый ключ цен­тра сер­тифика­ции ca-itrc исполь­зуют­ся для под­писи сер­тифика­тов. Пуб­личный ключ ca-itrc.pub исполь­зует­ся для про­вер­ки под­писи сер­тифика­тов. Мы можем исполь­зовать зак­рытый ключ цен­тра сер­тифика­ции для соз­дания и под­писи SSH-сер­тифика­та для любого логина. С помощью соз­данно­го сер­тифика­та мож­но будет получить дос­туп по SSH от име­ни поль­зовате­ля с ука­зан­ным в сер­тифика­те логином.

Пер­вым делом сге­нери­руем пару SSH клю­чей.

Те­перь с помощью клю­чей цен­тра сер­тифика­ции на осно­ве пуб­лично­го SSH клю­ча ralf.pub сде­лаем сер­тификат SSH для логина root. Сра­зу мож­но про­верить новый сер­тификат ralf-cert.pub.

Со сге­нери­рован­ным сер­тифика­том SSH сер­тификат и зак­рытым клю­чом поль­зовате­ля получа­ем дос­туп от име­ни root.

Пользователь support

В домаш­нем катало­ге поль­зовате­ля zzinter есть скрипт sign_key_api.sh.

Про­ана­лизи­руем его. Скрипт при­нима­ет в качес­тве парамет­ров пуб­личный ключ, имя поль­зовате­ля и прин­ципал, воз­можные зна­чения которо­го мож­но уви­деть в справ­ке (help).