В сегодняшнем райтапе я покажу способы эксплуатации уязвимостей LFI и Neo4j Injection. Затем мы найдем и заюзаем баг внедрения произвольных команд, а после сделаем вредоносный пакет Python, содержащий бэкдор, который поможет нам повысить привилегии в системе.
Наша цель — захват прав суперпользователя на тренировочной машине OnlyForYou с площадки Hack The Box. Уровень ее сложности — средний.
Подключаться к машинам с HTB рекомендуется только через VPN. Не делай этого с компьютеров, где есть важные для тебя данные, так как ты окажешься в общей сети с другими участниками.
Добавляем IP-адрес машины в /etc/hosts:
10.10.11.210 onlyforyou.htb
И запускаем сканирование портов.
Сканирование портов — стандартный первый шаг при любой атаке. Он позволяет атакующему узнать, какие службы на хосте принимают соединение. На основе этой информации выбирается следующий шаг к получению точки входа.
Наиболее известный инструмент для сканирования — это Nmap. Улучшить результаты его работы ты можешь при помощи следующего скрипта:
#!/bin/bashports=$(nmap -p- —min-rate=500 $1 | grep ^[0-9] | cut -d ‘/‘ -f 1 | tr ‘n’ ‘,‘ | sed s/,$//)nmap -p$ports -A $1
Он действует в два этапа. На первом производится обычное быстрое сканирование, на втором — более тщательное сканирование, с использованием имеющихся скриптов (опция -A).
Результат работы скрипта
Сканер нашел два открытых порта: 22 — служба OpenSSH 8.2p1, 80 — веб‑сервер Nginx 1.18.0.
Заголовок http-title показывает нам редирект на новый домен only4you.htb, который тоже добавляем в /etc/hosts.
10.10.11.210 onlyforyou.htb only4you.htb
Теперь можем переходить к веб‑серверу и смотреть сайт.
Главная страница сайта
На сайте ничего интересного найти не удалось, поэтому приступим к поиску скрытых страниц.
Одно из первых действий при тестировании безопасности веб‑приложения — это сканирование методом перебора каталогов, чтобы найти скрытую информацию и недоступные обычным посетителям функции. Для этого можно использовать программы вроде dirsearch, DIRB или ffuf. Я предпочитаю feroxbuster.
При запуске указываем следующие параметры:
feroxbuster -u
Ничего нового не находим. Давай тогда переберем поддомены, вдруг наткнемся на что‑то интересное. Для этого я использую другой сканер — ffuf. Параметры у него похожие, добавится только -H, HTTP-заголовок.
ffuf -u
В вывод попадают все перебираемые варианты, поэтому установим фильтр (параметр -fs), убирающий из вывода все страницы размером 178 байт.
ffuf -u
Находим еще один поддомен с говорящим названием beta, который тоже добавляем в /etc/hosts.
10.10.11.210 onlyforyou.htb only4you.htb beta.only4you.htb Главная страница сайта beta.only4you.htb
На сайте можем скачать исходный код веб‑приложения. Конечно же, делаем это и сразу переходим к анализу исходников. Так, при обращении к странице /download мы можем получить содержимое указанного файла. Не нужно даже обходить фильтрацию запросов (строка 86).
Блок исходного кода app.py
Выполним POST-запрос, где в параметре image укажем файл /etc/passwd.
curl -s -X POST
Содержимое файла получено, а значит, есть уязвимость включения локальных файлов (LFI).
Перепишем запрос в Burp Repeater, чтобы впоследствии можно было использовать Burp Intruder для проверки файлов по списку.
Запрос в Burp Repeater
Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», позволит скачивать выпуски в PDF, отключит рекламу на сайте и увеличит личную накопительную скидку! Подробнее
9990 рублей 4000 р.
[TD]
920 р.
[/TD]
Я уже участник «Xakep.ru»
Наша цель — захват прав суперпользователя на тренировочной машине OnlyForYou с площадки Hack The Box. Уровень ее сложности — средний.
warning
Подключаться к машинам с HTB рекомендуется только через VPN. Не делай этого с компьютеров, где есть важные для тебя данные, так как ты окажешься в общей сети с другими участниками.
Разведка
Добавляем IP-адрес машины в /etc/hosts:
10.10.11.210 onlyforyou.htb
И запускаем сканирование портов.
Справка: сканирование портов
Сканирование портов — стандартный первый шаг при любой атаке. Он позволяет атакующему узнать, какие службы на хосте принимают соединение. На основе этой информации выбирается следующий шаг к получению точки входа.
Наиболее известный инструмент для сканирования — это Nmap. Улучшить результаты его работы ты можешь при помощи следующего скрипта:
#!/bin/bashports=$(nmap -p- —min-rate=500 $1 | grep ^[0-9] | cut -d ‘/‘ -f 1 | tr ‘n’ ‘,‘ | sed s/,$//)nmap -p$ports -A $1
Он действует в два этапа. На первом производится обычное быстрое сканирование, на втором — более тщательное сканирование, с использованием имеющихся скриптов (опция -A).
Результат работы скрипта
Сканер нашел два открытых порта: 22 — служба OpenSSH 8.2p1, 80 — веб‑сервер Nginx 1.18.0.
Заголовок http-title показывает нам редирект на новый домен only4you.htb, который тоже добавляем в /etc/hosts.
10.10.11.210 onlyforyou.htb only4you.htb
Теперь можем переходить к веб‑серверу и смотреть сайт.
Главная страница сайта
Точка входа
На сайте ничего интересного найти не удалось, поэтому приступим к поиску скрытых страниц.
Справка: сканирование веба c feroxbuster
Одно из первых действий при тестировании безопасности веб‑приложения — это сканирование методом перебора каталогов, чтобы найти скрытую информацию и недоступные обычным посетителям функции. Для этого можно использовать программы вроде dirsearch, DIRB или ffuf. Я предпочитаю feroxbuster.
При запуске указываем следующие параметры:
- -u — URL;
- -w — словарь (я использую словари из набора SecLists);
- -t — количество потоков;
- -d — глубина сканирования.
feroxbuster -u
You do not have permission to view link please Вход or Регистрация
-d 1 -w directory_2.3_medium_lowercase.txt -t 254 Результат сканирования каталогов с помощью feroxbusterНичего нового не находим. Давай тогда переберем поддомены, вдруг наткнемся на что‑то интересное. Для этого я использую другой сканер — ffuf. Параметры у него похожие, добавится только -H, HTTP-заголовок.
ffuf -u
You do not have permission to view link please Вход or Регистрация
-w subdomains-top1million-110000.txt -t 256 -H ‘Host: FUZZ.only4you.htb’Результат сканирования поддоменов с помощью ffufВ вывод попадают все перебираемые варианты, поэтому установим фильтр (параметр -fs), убирающий из вывода все страницы размером 178 байт.
ffuf -u
You do not have permission to view link please Вход or Регистрация
-w subdomains-top1million-110000.txt -t 256 -H ‘Host: FUZZ.only4you.htb’ -fs 178 Результат сканирования поддоменов с помощью ffufНаходим еще один поддомен с говорящим названием beta, который тоже добавляем в /etc/hosts.
10.10.11.210 onlyforyou.htb only4you.htb beta.only4you.htb Главная страница сайта beta.only4you.htb
На сайте можем скачать исходный код веб‑приложения. Конечно же, делаем это и сразу переходим к анализу исходников. Так, при обращении к странице /download мы можем получить содержимое указанного файла. Не нужно даже обходить фильтрацию запросов (строка 86).
Блок исходного кода app.py
Выполним POST-запрос, где в параметре image укажем файл /etc/passwd.
curl -s -X POST
You do not have permission to view link please Вход or Регистрация
-d «image=/etc/passwd»Получение файла /etc/passwdСодержимое файла получено, а значит, есть уязвимость включения локальных файлов (LFI).
Точка опоры
Перепишем запрос в Burp Repeater, чтобы впоследствии можно было использовать Burp Intruder для проверки файлов по списку.
Запрос в Burp Repeater
Присоединяйся к сообществу «Xakep.ru»!
Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», позволит скачивать выпуски в PDF, отключит рекламу на сайте и увеличит личную накопительную скидку! Подробнее
| -60% |
1 year
9990 рублей 4000 р.
[TD]
1 month_r
920 р.
[/TD]
Я уже участник «Xakep.ru»
