Intro

Skynet machine behandelt de volgende onderwerpen:

• Kwetsbare smb-server
• Squirrelmail brute-forcing met Burpsuite
• Lokaal/op afstand opnemen van bestanden
• Wildcards exploiteren op Linux

Opsomming

Nmap

Te beginnen met een Nmap scan:

We hebben interessante open poorten ontdekt: pop3 server op poort 110, IMAP mail server op poort 143, open http server op zijn standaard poort en een samba server die het SMB protocol ondersteunt. SMB heeft twee poorten, 445 en 139.

SMB werkte oorspronkelijk bovenop NetBIOS met poort 139, maar aangezien NetBIOS een oudere transportlaag is voor Windows-computers, kwam poort 445 daarvoor in de plaats na Windows 2000. Nu draait het bovenop een TCP-stack, waardoor SMB over het internet kan werken.

Gobuster

De http webserver bevat niets interessants, dus laten we het brute-force doen voor andere directories:

We hebben een login pagina ontdekt voor SquirrelMail, maar we hebben referenties nodig.

Samba

Laten we de samba-server opsommen met Nmap-scripts:

Anonieme toegang lijkt te zijn toegestaan; laten we ook de “milesdyson” gebruiker toevoegen in onze notities.

Een van de logs bevat interessante wachtwoorden. Laten we het bestand lokaal opslaan voor later gebruik.

Hierboven vonden we een smb share met de naam milesdyson; laten we met deze informatie de mailserver brute-forcen.

Exploitatie

Burpsuite

1. Capture verzoek in Burpsuite
2. Verzenden naar indringer (Ctrl+I)
3. Wachtwoordveld toevoegen in bereik/positie voor brute-forcing
4. Kies aanvalstype Sniper, laadt gevonden wachtwoordenbestand & start de aanval
5. Zoek naar HTTP-reactiecodes die zich onderscheiden van de rest

Nu we het wachtwoord hebben, kunnen we inloggen en kijken wat we nog meer kunnen vinden:

Daar staat het wachtwoord voor de share van onze gebruiker; we kunnen het gebruiken om toegang te krijgen tot zijn samba share:

Het openen van important.txt onthult een verborgen directory:

Laten we eens kijken naar het CMS in deze verborgen directory:

Niet veel te zien, maar het heeft waarschijnlijk een inlogpagina omdat het een Content Management Systeem (CMS) is; laten we brute-force voor andere directories.

We hebben de inlogpagina gevonden:

Uit de broncode blijkt niets over de CMS-versie. Nog gezocht in searchsploit naar iets interessants:

Het is een RFI/LFI kwetsbaarheid, wat betekent dat we met deze kwetsbaarheid lokale of remote PHP bestanden (meestal) kunnen opnemen of niet-PHP bestanden kunnen lezen. Bij LFI moet de aanvaller het kwaadaardige script uploaden naar de doelserver om het lokaal uit te voeren.

Laten we het nu gebruiken om een omgekeerde schil te krijgen. Eerst moeten we een listener starten, dan de lokale http-server en daarna het PHP-script van daaruit aanroepen:

Als u Kali Linux gebruikt, zou u een reverse PHP script lokaal beschikbaar moeten hebben in de volgende map:
/usr/share/webshells/php/php-reverse-shell.php. Kopieer het en verander het IP adres & poort nummer om terug te verbinden.

Nu we de gebruikersvlag hebben. Laten we privileges escaleren!

Privilege-escalatie

Wildcard exploiteren

Ik heb geen binaire bestanden met SUID-bit gevonden. Ik probeerde de etc/shadow bestand zonder succes. Na wat meer opsomming heb ik een ongebruikelijke cronjob ontdekt, die elke minuut draait:

Laten we het inspecteren:

/bin/bash krijgt een shell als root zoals te zien is in
etc/crontab
navigeert vervolgens naar de /var/www/html directory en maakt een backup/archief van alles in de directory met behulp van
tar
.

Aan het einde van het tar-commando staat de asterisk bekend als een wildcard, wat “alle” betekent. De asterisk kan voor verschillende doeleinden worden gebruikt, zoals ls *.py wat betekent dat alle bestanden met de .py uitbreiding. Alles wat we in /var/www/html zetten, wordt toegevoegd aan het gecomprimeerde bestand dat tar genereert.

Er zijn verschillende manieren om dit uit te buiten, laten we de makkelijkste nemen. We voegen onszelf toe aan de etc/sudoers bestand en zo kunnen we elk commando met sudo uitvoeren, zoals sudo bash om een root-shell te krijgen. In een eenvoudig commando is dit het volgende wat we proberen te bereiken:

Laten we de volgende twee commando’s die gebruikt worden voor privilege-escalatie beter begrijpen door de handleidingpagina van tar te bekijken:

Het jokerteken betekent dat we een eenvoudige argumentinjectie kunnen doen door de argumenten die we nodig hebben als bestandsnamen te schrijven en checkpointacties te gebruiken om commando’s uit te voeren.

Indien ingesloten in enkele aanhalingstekens ('), heeft geen enkel teken in het enkele aanhalingsteken een speciale betekenis. Terwijl dubbele aanhalingstekens (") laat de shell het dollarteken ($), backtick(`), backslash(\) en uitroepteken (!).