Се­год­ня про­экс­плу­ати­руем уяз­вимость IDOR, что­бы получить дос­туп к чужим фай­лам, а пос­ле изу­чения исходни­ков вос­поль­зуем­ся фун­кци­ей сме­ны пароля, что­бы ском­про­мети­ровать учет­ную запись адми­нис­тра­тора сай­та и добить­ся RCE. При­виле­гии повысим через уяз­вимость в монито­ре анти­виру­са.

На­ша цель — получе­ние прав супер­поль­зовате­ля на машине Era с учеб­ной пло­щад­ки Hack The Box. Уро­вень слож­ности задания — сред­ний.

warning

Под­клю­чать­ся к машинам HTB луч­ше через средс­тва ано­ними­зации и вир­туали­зации. Не делай это­го с компь­юте­ров, на которых хра­нишь важ­ные дан­ные: ты ока­жешь­ся в общей сети с дру­гими учас­тни­ками.

 

Разведка

 

Сканирование портов

До­бав­ляем IP-адрес машины в /etc/hosts:

10.10.11.79 era.htb

И запус­каем ска­ниро­вание пор­тов.

Справка: сканирование портов

Ска­ниро­вание пор­тов — стан­дар­тный пер­вый шаг при любой ата­ке. Он поз­воля­ет ата­кующе­му узнать, какие служ­бы на хос­те при­нима­ют соеди­нение. На осно­ве этой информа­ции выбира­ется сле­дующий шаг к получе­нию точ­ки вхо­да.

На­ибо­лее извес­тный инс­тру­мент для ска­ниро­вания — это Nmap. Улуч­шить резуль­таты его работы ты можешь при помощи сле­дующе­го скрип­та:

#!/bin/bash
ports=$(nmap -p- --min-rate=500 $1 | grep ^[0-9] | cut -d '/' -f 1 | tr '
' ',' | sed s/,$//)
nmap -p$ports -A $1

Он дей­ству­ет в два эта­па. На пер­вом про­изво­дит­ся обыч­ное быс­трое ска­ниро­вание, на вто­ром — более тща­тель­ное ска­ниро­вание, с исполь­зовани­ем име­ющих­ся скрип­тов (опция -A).

Результат работы скрипта
Ре­зуль­тат работы скрип­та

Ска­нер нашел два откры­тых пор­та:

  • 21 — служ­ба FTP;
  • 80 — веб‑сер­вер Nginx 1.18.0.

FTP-сер­вер не раз­реша­ет ано­ним­ную аутен­тифика­цию, поэто­му про­верим, что нам дос­тупно на веб‑сер­вере.

Главная страница сайта
Глав­ная стра­ница сай­та
 

Точка входа

Сайт — это прос­то лен­динг. Ска­ниро­вание катало­гов и фай­лов ничего нового не дает, поэто­му пос­каниру­ем под­домены в поис­ках дру­гих сай­тов. Для это­го исполь­зуем ffuf.

Справка: сканирование веба c ffuf

Од­но из пер­вых дей­ствий при тес­тирова­нии безопас­ности веб‑при­ложе­ния — это ска­ниро­вание методом перебо­ра катало­гов, что­бы най­ти скры­тую информа­цию и недос­тупные обыч­ным посети­телям фун­кции. Для это­го мож­но исполь­зовать прог­раммы вро­де dirsearch и DIRB.

Я пред­почитаю лег­кий и очень быс­трый ffuf. При запус­ке ука­зыва­ем сле­дующие парамет­ры:

  • -u — URL;
  • -H — HTTP-заголо­вок;
  • -w — сло­варь (я исполь­зую сло­вари из набора SecLists);
  • -t — количес­тво потоков.

Мес­то перебо­ра помеча­ется сло­вом FUZZ.

За­пус­каем ска­нер, перечис­лив все парамет­ры:

ffuf -u "http://era.htb/" -H 'Host: FUZZ.era.htb' -w subdomains-bitquark-top100000.txt -t 128
Результат сканирования поддоменов
Ре­зуль­тат ска­ниро­вания под­доменов

В вывод ути­литы попада­ют все вари­анты из спис­ка, поэто­му сто­ит нас­тро­ить филь­тр, нап­ример по раз­меру отве­та (параметр -fs).

ffuf -u "http://era.htb/" -H 'Host: FUZZ.era.htb' -w subdomains-bitquark-top100000.txt -t 128 -fs 154
Результат сканирования поддоменов
Ре­зуль­тат ска­ниро­вания под­доменов

По­луча­ем новый под­домен, обновля­ем запись в /etc/hosts и откры­ваем сайт в бра­узе­ре.

10.10.11.79 era.htb file.era.htb
Главная страница сайта
Глав­ная стра­ница сай­та

На сай­те есть фор­мы авто­риза­ции и по учет­ным дан­ным, и по кон­троль­ным воп­росам.

Форма авторизации
Фор­ма авто­риза­ции

На сай­те ничего инте­рес­ного най­ти не уда­лось, поэто­му перей­дем к поис­ку потен­циаль­но полез­ных PHP‑фай­лов. Я для это­го исполь­зую feroxbuster.

Для ска­ниро­вания зада­ем парамет­ры:

  • -u — URL;
  • -d — глу­бина ска­ниро­вания;
  • -t — количес­тво потоков;
  • -w — сло­варь (сно­ва из набора SecLists).
]
feroxbuster -u http://file.era.htb/ -d 1 -t 128 -w php_files_common_5476.txt -C 404
Результат сканирования файлов с помощью feroxbuster
Ре­зуль­тат ска­ниро­вания фай­лов с помощью feroxbuster

На­ходим эндпо­инт регис­тра­ции. Авто­ризо­ван­ному поль­зовате­лю дос­тупно боль­ше воз­можнос­тей, в том чис­ле управле­ние заг­ружен­ными фай­лами.

Содержимое страницы manage.php
Со­дер­жимое стра­ницы manage.php

Пос­ле заг­рузки фай­ла мы получа­ем ссыл­ку на него. В ней нет никаких отли­читель­ных парамет­ров, кро­ме целочис­ленно­го иден­тифика­тора фай­ла.

Результат загрузки файла
Ре­зуль­тат заг­рузки фай­ла

При перехо­де по ссыл­ке появ­ляет­ся кноп­ка для ска­чива­ния фай­ла.

Страница скачивания файла
Стра­ница ска­чива­ния фай­ла
 

Точка опоры

 

IDOR

Про­верим, есть ли здесь уяз­вимость IDOR. Для это­го перебе­рем целочис­ленные иден­тифика­торы с помощью Burp Intruder.

Burp Intruder — вкладка Positions
Burp Intruder — вклад­ка Positions
Burp Intruder — вкладка Payloads
Burp Intruder — вклад­ка Payloads

Продолжение доступно только участникам

Материалы из последних выпусков становятся доступны по отдельности только через два месяца после публикации. Чтобы продолжить чтение, необходимо стать участником сообщества «Xakep.ru».

Присоединяйся к сообществу «Xakep.ru»!

Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», позволит скачивать выпуски в PDF, отключит рекламу на сайте и увеличит личную накопительную скидку! Подробнее

  • Подпишись на наc в Telegram!

    Только важные новости и лучшие статьи

    Подписаться

    • Открыть комментарии
    Подписаться
    Уведомить о
    0 комментариев
    Старые
    Новые Популярные
    Межтекстовые Отзывы
    Посмотреть все комментарии