Intro

Dit artikel behandelt het handmatig uitbuiten van een SQLi-kwetsbaarheid zonder SQLMap te gebruiken, het kraken van een gehasht wachtwoord van een gebruiker, het gebruik van SSH-tunnels om een verborgen service te onthullen en het verkrijgen van rootprivileges zonder Metasploit. Hier is een link naar de Tryhackme box.

Opsomming

Nmap scan

Ik vind het prettig om een omgevingsvariabele te definiëren voor het IP-adres van het doel, zodat ik het niet steeds hoef te onthouden of in te typen.

Slechts twee open TCP-poorten, je kunt niet veel doen met SSH zonder referenties, behalve bruteforcen. Laten we eens kijken naar de website die draait op poort 80.

Aangezien deze machine gebaseerd is op een SQLi-kwetsbaarheid, laten we beginnen met de basis van SQL-injectie.

SQL-injectie

SQL-injectie treedt op wanneer door de gebruiker gecontroleerde invoer wordt doorgegeven aan SQL-query’s; op deze manier kunnen we de uitkomst van dergelijke query’s manipuleren.

Een query ziet er als volgt uit: SELECT ? FROM ? WHERE ? LIKE ? wat betekent SELECT something FROM some table WHERE some column LIKE '% %'zet het commando standaard tussen enkele aanhalingstekens ' ' met % % erin, wat jokertekens zijn. Als we zoeken naar ookwat wordt '%ook%' waar we book in onze database, zullen we het kunnen vinden dankzij die jokertekens. We hebben alleen controle over de book woord, kunnen we de rest van de query niet wijzigen omdat deze hard gecodeerd is in de PHP-code van de backend.

Eerst moet je uitzoeken welk databasebeheersysteem er op de server draait. De foutmelding op de website laat ons weten welke software wordt gebruikt voor het beheren van de database.

Zet deze query in het aanmeldingsformulier:
john' or 0=0 #
die het volgende zal doen:

SELECT * FROM users WHERE username='john' or 0=0;#' and password='john'; toon/selecteer alle kolommen uit tabel gebruikers waar kolom gebruikersnaam john is or (voert de query uit als ten minste één voorwaarde waar is) 0=0 die altijd waar zal opleveren en de query zal worden uitgevoerd. Het hashsymbool # commentaar bij alles wat volgt, waardoor het volgende gedeelte wordt genegeerd ' and password='john'. Als de app kwetsbaar is, kun je alle kolommen en hun waarden weergeven. Maar in ons geval kunnen we het inlogscherm omzeilen.

Nu vinden we nog een SQL-injecteerbaar formulier als zoekveld:

Als we nu een enkele quote
'
als onze query, zal het een foutmelding produceren (inhoud kan ook verdwijnen), die ons meer vertelt over het databasebeheersysteem, dat hier MySQL is:

“U hebt een fout in uw SQL-syntax; controleer de handleiding die overeenkomt met uw MySQL-serverversie voor de juiste syntaxis om te gebruiken in de buurt van ‘%” op regel 1.”

Laten we onze eerste query gebruiken om te zien of we alle kolommen en hun waarden kunnen weergeven:

We zien slechts twee kolommen in de uitvoer, namelijk Titel en Beoordeling. Tijd om het aantal kolommen op te sommen in de tabel die standaard wordt opgevraagd. Om dat te doen, gebruiken we een eenvoudige truc: 'order by 1-- -.

Je moet dit getal met 1 verhogen totdat je een foutmelding krijgt, wat betekent dat het niet bestaat. Tot die tijd zie je geen uitvoer als het commando succesvol wordt uitgevoerd.

Ik kon tot 3 verhogen totdat ik een foutmelding kreeg. Ons doel heeft 3 kolommen.

We kunnen nu proberen informatie te injecteren met het
union
commando:

Laten we de databases in MySQL opzoeken met de tabel INFORMATION_SCHEMA, die informatie geeft over alle tabellen, in feite de metagegevens van de database of de systeemcatalogus:

voert alle tabellen en hun waarden uit. De tabellen ‘post’ en ‘users’ zien er interessant uit voor ons vanuit de database ‘db’.

Laten we nu nog steeds alles ophalen, want ik vind het prettig om meer informatie te hebben om na te zoeken:

De bovenstaande query geeft ons alle tabel- en kolomnamen. We zetten niets in de eerste rij omdat die verborgen is om de een of andere reden die ik niet ken. Als je het wel weet, kun je het me hieronder laten weten.

We kunnen specifieker zijn en de kolommen gebruikersnaam en pwd selecteren uit de tabel met gebruikers.

De hash kraken

Nu we de gegevens hebben, is het tijd om de hash te kraken. Ik gebruik de volgende
website
om het hashtype te identificeren en zal het samen met John kraken.

Om het correcte schrijven van alle hash-types te bekijken, gebruik je de volgende optie:
john --list=formats

Exploitatie

SSH

Als je het je herinnert, hadden we ook een open ssh poort, dus laten we verbinding maken met de referenties die we hebben opgehaald en een lijst maken van al onze boxverbindingen.

Poort 10000 kwam niet tevoorschijn in onze Nmap scan en de overige zijn vrij eenvoudig, dus niet echt interessant. Een firewallregel moet poort 10000 blokkeren. Laten we dit proberen te controleren:

Hoewel we de iptables niet kunnen bekijken, kunnen we met behulp van een SSH-tunnel de poort (lokaal) aan ons blootstellen!

SSH-tunnel

Vanaf onze lokale machine draaien we:
ssh -L 10000:localhost:10000 agent47@$IP om de poort te tunnelen naar onze localhost zodat we er lokaal toegang toe hebben.

Als je dat gedaan hebt, typ dan in je browser: localhost:10000en u krijgt toegang tot de nieuw blootgelegde webserver. Je kunt de eerder gevonden referenties gebruiken.

De blootgelegde CMS versie is 1.580. Hierdoor gaan we snel op zoek naar mogelijke kwetsbaarheden:

Het levert ons twee Metasploit-modules op en geen standalone exploit. Na het lezen van de code van de eerste Metasploit module, komen we erachter dat het toevoegen van /file/show.cgi aan de URL, stelt ons in staat om de directories als root te doorlopen.

Nog wat opsomming

Om je wat tijd te besparen, heb ik geprobeerd het volgende op te halen
etc/passwd
&
etc/shadow
& ze daarna te kraken met john, maar het kraken werkte niet.

Ik controleerde de etc/sudoers bestand, maar niets interessants. Zo is de etc/crontab bestand.

De vlag kan eenvoudig worden opgehaald door naar het gebruikelijke rootpad te gaan, maar ik wilde echt eerst rootprivileges krijgen.

Laten we zoeken naar de binaire bestanden met SUID-bit:

Ik heb ook een paar scripts geüpload om te controleren op zwakke punten, maar allemaal negatief.

Privilege-escalatie

Ik heb wat tijd besteed aan het uploaden van reverse shell scripts en ze in de /tmp map, maar het werkte niet. Uiteindelijk vond ik de volgende PHP one-liner web shell die werkte door hem een beetje anders uit te voeren: