В этом райтапе я покажу сразу несколько видов атак на веб‑приложения: мы проэксплуатируем XSS и SSRF, затем проведем инъекцию NoSQL, а получив доступ к скрытому сайту, найдем уязвимость внедрения команд и обойдем фильтр, чтобы получить RCE. Закончим трейсингом пользовательского процесса в Linux для перехвата вводимого в KeePass пароля.
Упражняться в этом нам поможет тренировочная машина сложного уровня Mailroom с площадки Hack The Box.
Подключаться к машинам с HTB рекомендуется только через VPN. Не делай этого с компьютеров, где есть важные для тебя данные, так как ты окажешься в общей сети с другими участниками.
Добавляем IP-адрес машины в /etc/hosts:
10.10.11.209 mailroom.htb
И запускаем сканирование портов.
Сканирование портов — стандартный первый шаг при любой атаке. Он позволяет атакующему узнать, какие службы на хосте принимают соединение. На основе этой информации выбирается следующий шаг к получению точки входа.
Наиболее известный инструмент для сканирования — это Nmap. Улучшить результаты его работы ты можешь при помощи следующего скрипта:
#!/bin/bashports=$(nmap -p- —min-rate=500 $1 | grep ^[0-9] | cut -d ‘/‘ -f 1 | tr ‘n’ ‘,‘ | sed s/,$//)nmap -p$ports -A $1
Он действует в два этапа. На первом производится обычное быстрое сканирование, на втором — более тщательное сканирование, с использованием имеющихся скриптов (опция -A).
Результат работы скрипта
Сканер нашел всего два открытых порта: 22 — служба OpenSSH 8.2p1 и 80 — веб‑сервер Apache 2.4.54. Начинаем, как всегда, с веб‑сервера.
Главная страница сайта
На сайте есть форма связи с администратором. Проверяем, нет ли тут уязвимости XSS, и в ответ приходит ссылка на страницу с сообщением.
Форма связи с администраторомРезультат отправки сообщения
Переходим по этой ссылке и получаем отправленный нами alert.
Результат выполнения кода
Так мы подтвердили наличие XSS, теперь нужно расширить область тестирования. Для этого перейдем к сканированию каталогов и других поддоменов.
Сканирование каталогов ничего не дало, поэтому переходим к сканированию поддоменов. Новые сайты откроют новую область для тестирования, а следственно, и больше потенциальных точек входа.
Одно из первых действий при тестировании безопасности веб‑приложения — это сканирование методом перебора каталогов, чтобы найти скрытую информацию и недоступные обычным посетителям функции. Для этого можно использовать программы вроде dirsearch и DIRB.
Я предпочитаю легкий и очень быстрый ffuf. При запуске указываем следующие параметры:
Место перебора помечается словом FUZZ.
Запускаем перебор:
ffuf -u
Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», позволит скачивать выпуски в PDF, отключит рекламу на сайте и увеличит личную накопительную скидку! Подробнее
9990 рублей 4000 р.
[TD]
920 р.
[/TD]
Я уже участник «Xakep.ru»
Упражняться в этом нам поможет тренировочная машина сложного уровня Mailroom с площадки Hack The Box.
warning
Подключаться к машинам с HTB рекомендуется только через VPN. Не делай этого с компьютеров, где есть важные для тебя данные, так как ты окажешься в общей сети с другими участниками.
Разведка
Добавляем IP-адрес машины в /etc/hosts:
10.10.11.209 mailroom.htb
И запускаем сканирование портов.
Справка: сканирование портов
Сканирование портов — стандартный первый шаг при любой атаке. Он позволяет атакующему узнать, какие службы на хосте принимают соединение. На основе этой информации выбирается следующий шаг к получению точки входа.
Наиболее известный инструмент для сканирования — это Nmap. Улучшить результаты его работы ты можешь при помощи следующего скрипта:
#!/bin/bashports=$(nmap -p- —min-rate=500 $1 | grep ^[0-9] | cut -d ‘/‘ -f 1 | tr ‘n’ ‘,‘ | sed s/,$//)nmap -p$ports -A $1
Он действует в два этапа. На первом производится обычное быстрое сканирование, на втором — более тщательное сканирование, с использованием имеющихся скриптов (опция -A).
Результат работы скрипта
Сканер нашел всего два открытых порта: 22 — служба OpenSSH 8.2p1 и 80 — веб‑сервер Apache 2.4.54. Начинаем, как всегда, с веб‑сервера.
Главная страница сайта
Точка входа
На сайте есть форма связи с администратором. Проверяем, нет ли тут уязвимости XSS, и в ответ приходит ссылка на страницу с сообщением.
Форма связи с администраторомРезультат отправки сообщения
Переходим по этой ссылке и получаем отправленный нами alert.
Результат выполнения кода
Так мы подтвердили наличие XSS, теперь нужно расширить область тестирования. Для этого перейдем к сканированию каталогов и других поддоменов.
Сканирование каталогов ничего не дало, поэтому переходим к сканированию поддоменов. Новые сайты откроют новую область для тестирования, а следственно, и больше потенциальных точек входа.
Справка: сканирование веба c ffuf
Одно из первых действий при тестировании безопасности веб‑приложения — это сканирование методом перебора каталогов, чтобы найти скрытую информацию и недоступные обычным посетителям функции. Для этого можно использовать программы вроде dirsearch и DIRB.
Я предпочитаю легкий и очень быстрый ffuf. При запуске указываем следующие параметры:
- -w — словарь (я использую словари из набора SecLists);
- -t — количество потоков;
- -u — URL;
- -H — заголовок HTTP.
Место перебора помечается словом FUZZ.
Запускаем перебор:
ffuf -u
You do not have permission to view link please Вход or Регистрация
-w subdomains-top1million-110000.txt -t 256 -H ‘Host: FUZZ.mailroom.htb’Результат сканирования поддоменов с помощью ffufПрисоединяйся к сообществу «Xakep.ru»!
Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», позволит скачивать выпуски в PDF, отключит рекламу на сайте и увеличит личную накопительную скидку! Подробнее
| -60% |
1 year
9990 рублей 4000 р.
[TD]
1 month_r
920 р.
[/TD]
Я уже участник «Xakep.ru»
