В этом райтапе я покажу, как искать и эксплуатировать уязвимости use after free и path hijacking для повышения прав в системе. А для начала заюзаем SSRF для отправки фишинговой ссылки с вредоносным макросом, чтобы проникнуть на хост.
А поможет нам в этом тренировочная машина Gofer с площадки Hack The Box. Уровень ее — сложный.
Подключаться к машинам с HTB рекомендуется только через VPN. Не делай этого с компьютеров, где есть важные для тебя данные, так как ты окажешься в общей сети с другими участниками.
Добавляем IP-адрес машины в /etc/hosts:
10.10.11.225 gofer.htb
И запускаем сканирование портов.
Сканирование портов — стандартный первый шаг при любой атаке. Он позволяет атакующему узнать, какие службы на хосте принимают соединение. На основе этой информации выбирается следующий шаг к получению точки входа.
Наиболее известный инструмент для сканирования — это Nmap. Улучшить результаты его работы ты можешь при помощи следующего скрипта:
#!/bin/bashports=$(nmap -p- —min-rate=500 $1 | grep ^[0-9] | cut -d ‘/‘ -f 1 | tr ‘n’ ‘,‘ | sed s/,$//)nmap -p$ports -A $1
Он действует в два этапа. На первом производится обычное быстрое сканирование, на втором — более тщательное сканирование, с использованием имеющихся скриптов (опция -A).
Результат работы скрипта
Сканер нашел несколько открытых портов:
Также мы узнаём, что фильтруется подключение к порту 25, по которому работает служба SMTP.
Первым делом проверим SMB, в отличие от веба этот протокол не потребует много времени для анализа.
enum4linux -a gofer.htb Результат сканирования службы Samba
В выводе больше всего интересен список общих ресурсов SMB. К некоторым каталогам мы можем получить доступ без использования учетных данных.
Подключаемся к SMB-ресурсу, где мы находим каталог backup, а в нем сохраненное сообщение.
smbclient //gofer.htb/shares Содержимое общего ресурса
Скачиваем сообщение и читаем. Там говорится о пользователе, который переходит по всем фишинговым ссылкам, поэтому почта теперь работает только для внутренних пользователей. При этом теперь будут открываться только документы ODT.
Содержимое файла mail
Учтем это на будущее и перейдем к сайту.
Главная страница сайта
На самом сайте ничего интересного, кроме списка сотрудников. Поэтому приступаем к сканированию.
Одно из первых действий при тестировании безопасности веб‑приложения — это сканирование методом перебора каталогов, чтобы найти скрытую информацию и недоступные обычным посетителям функции. Для этого можно использовать программы вроде dirsearch, DIRB или ffuf. Я предпочитаю feroxbuster.
При запуске указываем следующие параметры:
Задаем нужные параметры и запускаем сканер:
feroxbuster -u
Новых файлов и каталогов не обнаружили, поэтому переходим к следующему шагу — сканированию поддоменов. Делать это будем с помощью ffuf. Параметры те же, что у feroxbuster, но добавятся еще два:
ffuf -u
Добавляем найденный поддомен в файл /etc/hosts и проверяем новый сайт. Там нас встречает HTTP-аутентификация.
10.10.11.225 gofer.htb proxy.gofer.htb Запрос учетных данных
Есть несколько способов обхода неправильно настроенной HTTP-аутентификации. Самый простой и быстрый — смена метода запроса с GET на POST (либо PUT).
GET-запрос в Burp Repeater
В Burp Repeater легко это сделать, достаточно выбрать нужный пункт в контекстном меню.
POST-запрос в Burp Repeater
И при POST-запросе получаем уже другой ответ.
В полученном ответе нам сообщают, что в URL не хватает параметра. Можно перебрать параметры по словарю и найти ответ сервера, который, возможно, будет отличаться от основной массы. Для перебора я использую Burp Intruder.
Burp Intruder — вкладка Positions
Чтобы в таблице результатов отображался ответ сервера, перейдем к вкладке Settings, выберем опцию Grep → Extract и укажем интересующую нас позицию.
Burp Intruder — вкладка SettingsBurp Intruder — результат атаки
Таким образом обнаруживаем параметр url.
Так как мы должны передать URL, можно предположить, что сервис выполнит запрос на него. Для теста запустим веб‑сервер:
python3 -m http.server 80
И укажем на сайте свой адрес. В логах веб‑сервера увидим подключение, а на сайте отобразится листинг каталога веб‑сервера.
Логи веб‑сервераРезультат выполнения запроса
Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», позволит скачивать выпуски в PDF, отключит рекламу на сайте и увеличит личную накопительную скидку! Подробнее
9990 рублей 4000 р.
[TD]
920 р.
[/TD]
Я уже участник «Xakep.ru»
А поможет нам в этом тренировочная машина Gofer с площадки Hack The Box. Уровень ее — сложный.
warning
Подключаться к машинам с HTB рекомендуется только через VPN. Не делай этого с компьютеров, где есть важные для тебя данные, так как ты окажешься в общей сети с другими участниками.
Разведка
Добавляем IP-адрес машины в /etc/hosts:
10.10.11.225 gofer.htb
И запускаем сканирование портов.
Справка: сканирование портов
Сканирование портов — стандартный первый шаг при любой атаке. Он позволяет атакующему узнать, какие службы на хосте принимают соединение. На основе этой информации выбирается следующий шаг к получению точки входа.
Наиболее известный инструмент для сканирования — это Nmap. Улучшить результаты его работы ты можешь при помощи следующего скрипта:
#!/bin/bashports=$(nmap -p- —min-rate=500 $1 | grep ^[0-9] | cut -d ‘/‘ -f 1 | tr ‘n’ ‘,‘ | sed s/,$//)nmap -p$ports -A $1
Он действует в два этапа. На первом производится обычное быстрое сканирование, на втором — более тщательное сканирование, с использованием имеющихся скриптов (опция -A).
Результат работы скрипта
Сканер нашел несколько открытых портов:
- 22 — служба OpenSSH 8.4p1;
- 80 — веб‑сервер Apache 2.4.56;
- 139 и 445 — служба Samba 4.6.2.
Также мы узнаём, что фильтруется подключение к порту 25, по которому работает служба SMTP.
Первым делом проверим SMB, в отличие от веба этот протокол не потребует много времени для анализа.
enum4linux -a gofer.htb Результат сканирования службы Samba
В выводе больше всего интересен список общих ресурсов SMB. К некоторым каталогам мы можем получить доступ без использования учетных данных.
Точка входа
Подключаемся к SMB-ресурсу, где мы находим каталог backup, а в нем сохраненное сообщение.
smbclient //gofer.htb/shares Содержимое общего ресурса
Скачиваем сообщение и читаем. Там говорится о пользователе, который переходит по всем фишинговым ссылкам, поэтому почта теперь работает только для внутренних пользователей. При этом теперь будут открываться только документы ODT.
Содержимое файла mail
Учтем это на будущее и перейдем к сайту.
Главная страница сайта
На самом сайте ничего интересного, кроме списка сотрудников. Поэтому приступаем к сканированию.
Справка: сканирование веба c feroxbuster
Одно из первых действий при тестировании безопасности веб‑приложения — это сканирование методом перебора каталогов, чтобы найти скрытую информацию и недоступные обычным посетителям функции. Для этого можно использовать программы вроде dirsearch, DIRB или ffuf. Я предпочитаю feroxbuster.
При запуске указываем следующие параметры:
- -u — URL;
- -w — словарь (я использую словари из набора SecLists);
- -t — количество потоков;
- -d — глубина сканирования.
Задаем нужные параметры и запускаем сканер:
feroxbuster -u
You do not have permission to view link please Вход or Регистрация
-t 256 -d 1 -w directory_2.3_medium_lowercase.txt Результат сканирования каталогов с помощью feroxbusterНовых файлов и каталогов не обнаружили, поэтому переходим к следующему шагу — сканированию поддоменов. Делать это будем с помощью ffuf. Параметры те же, что у feroxbuster, но добавятся еще два:
- -H — HTTP-заголовок;
- -fc — фильтр по коду ответа.
ffuf -u
You do not have permission to view link please Вход or Регистрация
-H ‘Host:FUZZ.gofer.htb’ -w subdomains-bitquark-top100000.txt -fc 400,301 Результат сканирования поддоменовДобавляем найденный поддомен в файл /etc/hosts и проверяем новый сайт. Там нас встречает HTTP-аутентификация.
10.10.11.225 gofer.htb proxy.gofer.htb Запрос учетных данных
Есть несколько способов обхода неправильно настроенной HTTP-аутентификации. Самый простой и быстрый — смена метода запроса с GET на POST (либо PUT).
GET-запрос в Burp Repeater
В Burp Repeater легко это сделать, достаточно выбрать нужный пункт в контекстном меню.
POST-запрос в Burp Repeater
И при POST-запросе получаем уже другой ответ.
Точка опоры
В полученном ответе нам сообщают, что в URL не хватает параметра. Можно перебрать параметры по словарю и найти ответ сервера, который, возможно, будет отличаться от основной массы. Для перебора я использую Burp Intruder.
Burp Intruder — вкладка Positions
Чтобы в таблице результатов отображался ответ сервера, перейдем к вкладке Settings, выберем опцию Grep → Extract и укажем интересующую нас позицию.
Burp Intruder — вкладка SettingsBurp Intruder — результат атаки
Таким образом обнаруживаем параметр url.
Так как мы должны передать URL, можно предположить, что сервис выполнит запрос на него. Для теста запустим веб‑сервер:
python3 -m http.server 80
И укажем на сайте свой адрес. В логах веб‑сервера увидим подключение, а на сайте отобразится листинг каталога веб‑сервера.
Логи веб‑сервераРезультат выполнения запроса
Присоединяйся к сообществу «Xakep.ru»!
Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», позволит скачивать выпуски в PDF, отключит рекламу на сайте и увеличит личную накопительную скидку! Подробнее
| -60% |
1 год
9990 рублей 4000 р.
[TD]
1 месяц
920 р.
[/TD]
Я уже участник «Xakep.ru»
