Intro

De Kenobi box zal de volgende onderwerpen behandelen:

• Opsomming van samba-aandelen
• Manipulatie van een kwetsbare versie van proftpd
• Manipulatie van padvariabelen voor privilege-escalatie

Opsomming

Nmap

Eerste Nmap scan:

De apache server op poort 80, ProFTPD’s versie op poort 21 en Samba shares krijgen mijn onmiddellijke aandacht.

Niets waardevols op poort 80, ook niet na het scannen naar andere mappen/bestanden met gobuster.

Laten we de smb shares en gebruikers opsommen met Nmap scripts:

Het lijkt erop dat we lees/schrijftoegang hebben tot twee van de aandelen.

Laten we een van de aandelen bekijken:

log.txt bevat informatie over het genereren van een private ssh-sleutel die zich in de standaardmap bevindt. Het bevat ook informatie over de ProFTPD-dienst.

NFS

Voordat we met de exploitatiefase beginnen, moeten we nog wat opsommen. Laten we het netwerkbestandssysteem (nfs) opsommen dat eerder op poort 111 is gevonden:

Nu we weten dat het mogelijk is om de /var directory te mounten, laten we dit in gedachten houden en verder gaan met de exploitatiefase.

Exploitatie

Searchsploit

We hebben eerder de versie van proftpd gevonden, laten we kijken of er mogelijke exploits zijn:

De derde exploit, “36742.txt”, vertelt ons over het gebruik van de mod_copy module’s SITE CPFT/SITE CPTO commando’s. Het zou ons in staat moeten stellen deze commando’s ongeauthenticeerd te gebruiken voor het kopiëren van bestanden/directories van de ene plaats naar de andere op de server. Laten we verder gaan en ons verbinden met nc naar poort 21 (ftp).

We kunnen nu de directory lokaal mounten en de eerder gekopieerde sleutel downloaden.

We hebben nu een netwerk mount op ons doelwit, net als een fysiek aangesloten apparaat op onze pc! We kunnen naar /var/tmp gaan, de private sleutel halen, en dan inloggen op Kenobi’s account.

We moeten de private ssh-sleutels altijd lees-/schrijfrechten geven. Anders werkt het niet vanwege beveiligingsproblemen. Hier zijn de juiste rechten:
De .ssh-directory moet 700 rechten hebben (drwx——).
De openbare sleutel (.pub-bestand) moet 644 (-rw-r–r–) zijn.
De private sleutel (id_rsa) op de client host, en het authorized_keys bestand op de server, moeten 600 (-rw——-) zijn.

Privilege-escalatie

SUID

Laten we zoeken naar bestanden/programma’s met de SUID bit ingesteld:

SUID misbruik is een veel voorkomende privilege escalatie techniek die het mogelijk maakt om root toegang te krijgen door het uitvoeren van een root-eigen binary met SUID ingeschakeld. Een alternatief commando zou zijn:
find / -perm -u=s -type f 2>/dev/null


U kunt meestal GTFOBins controleren om te zien hoe u het bestand met de SUID bit ingesteld kunt misbruiken, maar /usr/bin/menu is een op maat gemaakt programma. Daarom kunnen we het daar niet vinden. Laten we het uitvoeren en kijken wat het doet:

Het voert enkele eenvoudige commando’s uit bij het kiezen. Laten we proberen te zien wat er in de backend gebeurt met het commando strings, dat zoekt naar voor mensen leesbare strings op een binary:

Dit laat zien dat de binaries worden uitgevoerd zonder hun volledige pad, zoals het niet gebruiken van /usr/bin/curl, /usr/bin/uname of /usr/sbin/ifconfig.

Het bestand zelf draait met rootprivileges, waardoor de uitgevoerde commando’s op dezelfde manier draaien.

Eerst navigeren we naar het tmp pad, dan echo /bin/sh naar een nieuw bestand genaamd ifconfig. Stel daarna de juiste rechten in op onze nieuw aangemaakte ifconfig. Dan stellen we de PATH-variabele in op het huidige pad (tmp), dus /usr/bin/menu zal onze PATH variabele gebruiken om de ifconfig binary te vinden.

Ik hoop dat alles duidelijk is. Zo niet, laat het me weten in de commentaren hieronder.