HTB Runner

На­ша цель — получе­ние прав супер­поль­зовате­ля на машине Runner с учеб­ной пло­щад­ки Hack The Box. Уро­вень слож­ности задания — сред­ний.

Разведка

До­бав­ляем IP-адрес машины в /etc/hosts:

И запус­каем ска­ниро­вание пор­тов.

По резуль­татам ска­ниро­вания име­ем три откры­тых пор­та:

• порт 22 — служ­ба OpenSSH 8.9p1;
• порт 80 — веб‑сер­вер Nginx 1.18.0;
• порт 8000 — веб‑сер­вер Nagios NSCA.

C SSH ничего не поделать, поэто­му перехо­дим к вебу. На пор­те 8000 необ­ходим какой‑то эндпо­инт, так как получа­ем ответ 404, а на пор­те 80 нас встре­чает сайт‑визит­ка.

Точка входа

На сай­те ничего инте­рес­ного най­ти не уда­лось, поэто­му прис­тупим к ска­ниро­ванию.

За­даем все парамет­ры и запус­каем ска­ниро­вание:

Од­нако ути­лита выводит все вари­анты из сло­варя, поэто­му добавим филь­тр по раз­меру стра­ницы (параметр -fs).

В ито­ге находим один под­домен, поэто­му обновля­ем запись в фай­ле /etc/hosts:

Пе­ред нами TeamCity 2023.05.3. В этой вер­сии есть извес­тная уяз­вимость CVE-2023-42793, которая поз­воля­ет ата­кующе­му обой­ти авто­риза­цию, соз­дав сво­его адми­нис­тра­тора в сер­висе. Исполь­зуем пер­вый най­ден­ный в Google экс­пло­ит и получа­ем логин и пароль добав­ленно­го в сис­тему адми­нис­тра­тора.

Те­перь мож­но авто­ризо­вать­ся в TeamCity и осмотреть­ся в сер­висе.

Точка опоры

Пер­вым делом прос­мотрим зарегис­три­рован­ных поль­зовате­лей и нас­трой­ки бэкапов.

Те­перь выпол­ним бэкап и ска­чаем архив для ана­лиза локаль­но на сво­ей машине.

Прос­матри­вая фай­лы в архи­ве, находим базу поль­зовате­лей, в которой есть хеши паролей, а так­же какой‑то при­ват­ный ключ SSH.

Пос­ле перебо­ра имен поль­зовате­лей TeamCity успешно логиним­ся по SSH с при­ват­ным клю­чом поль­зовате­ля john.

Продвижение

Те­перь нам необ­ходимо соб­рать информа­цию. Я буду исполь­зовать для это­го скрип­ты PEASS.

Заг­рузим на хост скрипт для Linux, дадим пра­во на выпол­нение и запус­тим ска­ниро­вание. В выводе мно­го все­го, давай прой­дем­ся по важ­ным момен­там.

Есть нес­коль­ко пор­тов, которые прос­лушива­ются толь­ко для localhost.

В катало­ге /opt есть две инте­рес­ные дирек­тории: containerd и portainer.

Portainer — это плат­форма для управле­ния дос­тавкой кон­тей­нер­ных при­ложе­ний, которая может исполь­зовать­ся в сочета­нии со сре­дами вро­де Docker и Kubernetes.

Эта плат­форма дос­тупна как раз на пор­тах 9000 и 9443, которые прос­лушива­ются на локаль­ном хос­те. Что­бы получить дос­туп к Portainer, нам нуж­но будет про­кинуть порт 9000 на свой хост с помощью SSH.

Те­перь весь тра­фик, который мы пош­лем на локаль­ный порт 9000, будет тун­нелиро­ван на порт 9080 ука­зан­ного хос­та (в дан­ном слу­чае 127.0.0.1) через хост SSH.

У нас нет никаких учет­ных дан­ных для вхо­да, поэто­му я решил вер­нуть­ся к най­ден­ной в бэкапах базе и переб­рать сох­ранен­ные в ней хеши. Прос­то запуск hashcat при­ведет к тому, что ути­лита не смо­жет самос­тоятель­но опре­делить алго­ритм хеширо­вания и пред­ложит нес­коль­ко вари­антов.

Вы­бира­ем самый популяр­ный — режим 3200 — и пов­торя­ем брут.

Спус­тя минуту hashcat находит пароль поль­зовате­ля matthew, от име­ни которо­го получа­ется авто­ризо­вать­ся в Portainer.

Локальное повышение привилегий

Пе­рехо­дим в окру­жение Primary и на стра­нице Dashboard смот­рим, что нам дос­тупно.

Пер­вая идея, которая меня посети­ла, — про­верить, нет ли уяз­вимос­ти CVE-2024-21626 в runС млад­ше вер­сии 1.1.11. Этот баг поз­воля­ет вый­ти из кон­тей­нера.

RunC — это сре­да выпол­нения, которая при­меня­ется для соз­дания и запус­ка кон­тей­неров с раз­ными парамет­рами изо­ляции, такими как прос­транс­тва имен, кон­троль­ные груп­пы, Linux Capabilities и так далее. Один из этих методов — исполь­зование отдель­ной фай­ловой сис­темы в качес­тве кор­невой ФС кон­тей­нера (это дос­тига­ется через chroot).

Рас­смат­рива­емая уяз­вимость зак­люча­ется в утеч­ке фай­лового дес­крип­тора, который может быть исполь­зован новым кон­тей­нером, что­бы соз­дать рабочий каталог в прос­транс­тве имен хос­товой фай­ловой сис­темы и тем самым обой­ти chroot. В дан­ном слу­чае утеч­ка дес­крип­тора про­исхо­дит через /proc/self/fd/, который содер­жит фай­ловые дес­крип­торы текуще­го про­цес­са, а runC, в свою оче­редь, соз­дает дес­крип­тор /sys/fs/cgroup, дос­тупный через /proc/self/fd/ по номерам 7, 8 или 9.

Та­ким обра­зом, если при соз­дании кон­тей­нера в качес­тве рабоче­го катало­га ука­зать дес­крип­тор /proc/self/fd/8, то реаль­ным рабочим катало­гом кон­тей­нера ста­нет хос­товый путь /sys/fs/cgroup. А это поможет дотянуть­ся до любого фай­ла хос­товой фай­ловой сис­темы через вот такой обход путей:

В Portainer уже есть два готовых обра­за, будем исполь­зовать один из них. На стра­нице Images выбира­ем образ и на стра­нице Image details копиру­ем ID обра­за.

За­тем перехо­дим на стра­ницу Containers и соз­даем кон­тей­нер. В поле Image ука­зыва­ем ID обра­за, а в рас­ширен­ных нас­трой­ках кон­тей­нера — рабочий каталог /proc/self/fd/8.

Пос­ле стар­та кон­тей­нера под­клю­чаем­ся к нему и про­буем читать файл /etc/hostname на хос­товой сис­теме.

По име­ни хос­та вид­но, что мы выш­ли из кон­тей­нера и дотяну­лись до фай­ла с хос­та. Оста­лось получить пос­ледний флаг.

И машина зах­вачена!