HTB SolarLab

На­ша цель — получе­ние прав супер­поль­зовате­ля на машине SolarLab с учеб­ной пло­щад­ки Hack The Box. Уро­вень слож­ности задания — сред­ний.

Разведка

Сканирование портов

До­бав­ляем IP-адрес машины в /etc/hosts:

И запус­каем ска­ниро­вание пор­тов.

По резуль­татам ска­ниро­вания име­ем нес­коль­ко откры­тых пор­тов, типич­ных для сис­тем Windows:

• 80 и 6791 (HTTP) — веб‑сер­вер Nginx 1.24.0;
• 135 — служ­ба уда­лен­ного вызова про­цедур (Microsoft RPC). Исполь­зует­ся для опе­раций вза­имо­дей­ствия кон­трол­лер — кон­трол­лер и кон­трол­лер — кли­ент;
• 139 — служ­ба сеан­сов NetBIOS, NetLogon;
• 445 — SMB.

По логу вид­но, что с пор­та 6791 выпол­няет­ся редирект на домен report.solarlab.htb. Сра­зу добавим запись в файл /etc/hosts.

Точка входа

Пер­вым делом про­веря­ем, раз­решен ли вход от име­ни гос­тевой учет­ной записи по SMB.

Так как аутен­тифика­ция прош­ла успешно, мы можем прос­мотреть общие катало­ги SMB. Чаще все­го аутен­тифика­ция для ано­нима вклю­чает­ся имен­но для дос­тупа к каким‑то общим ресур­сам.

Так­же мы можем проб­рутить RID объ­ектов, таких как поль­зовате­ли и груп­пы.

Те­перь вер­немся к общим катало­гам. Нам дос­тупен для чте­ния каталог Documents, в котором могут быть важ­ные дан­ные.

Из Documents забира­ем докумен­ты XLSX и DOCX. Еще два докумен­та забира­ем из вло­жен­ного катало­га concepts.

В докумен­тах полез­ной информа­ции най­ти не уда­лось, а вот в таб­лице есть спис­ки учет­ных дан­ных для раз­ных ресур­сов.

К SMB эти учет­ные дан­ные не подош­ли, поэто­му наконец перехо­дим к вебу. Сайт на 80-м пор­те боль­ше напоми­нает визит­ку. Зато на нем мы находим спи­сок поль­зовате­лей, которые были в таб­лице.

На пор­те 6791 нас встре­чает фор­ма авто­риза­ции.

Точка опоры

В таб­лице пред­став­лено нес­коль­ко вари­антов име­ни поль­зовате­ля, поэто­му для рас­кры­тых юзе­ров сос­тавля­ем спи­сок с логина­ми и поч­тами и отдель­но выписы­ваем из таб­лицы пароли. А затем проб­рутим их в фор­ме авто­риза­ции на ReportHub с исполь­зовани­ем Burp Intruder.

В ито­ге находим одну валид­ную пару из логина и пароля, с которой авто­ризу­емся на сай­те.

Сайт пред­лага­ет четыре фун­кции. Все они свя­заны с генера­цией отче­та в фор­мате PDF.

В подоб­ных генера­торах неред­ко встре­чают­ся уяз­вимос­ти, поэто­му сто­ит узнать об исполь­зуемой для генера­ции биб­лиоте­ке. Эту запись обыч­но мож­но получить из метадан­ных фай­ла.

Та­ким обра­зом, мы выяс­нили, что на сер­вере исполь­зует­ся биб­лиоте­ка ReportLab PDF.

CVE-2023-33733

Сто­ит про­верить, есть ли для этой биб­лиоте­ки готовые экс­пло­иты. Пер­вым делом идем в Google.

И по пер­вой же ссыл­ке дос­тупен экс­пло­ит для уяз­вимос­ти CVE-2023-33733.

Ког­да при­ложе­ние обра­баты­вает HTML-содер­жимое с помощью уяз­вимой биб­лиоте­ки, вызовы вло­жен­ных фун­кций могут при­вес­ти к тому, что rl_safe_eval поз­волит выпол­нить про­изволь­ный код. В ито­ге это при­водит к запус­ку опре­делен­ной коман­ды опе­раци­онной сис­темы, и ата­кующий может получить RCE.

Для экс­плу­ата­ции уяз­вимос­ти нуж­но передать в генера­тор HTML-код с наг­рузкой в атри­буте color. В фун­кции system нуж­но ука­зать коман­ду, которая будет выпол­нена через cmd, нап­ример реверс‑шелл на PowerShell.

В Burp History находим зап­рос, в котором переда­ются дан­ные для отче­та. Этот зап­рос переп­равим в Burp Repeater.

За­пус­каем лис­тенер для реверс‑шел­ла:

А теперь вста­вим в зап­рос наг­рузку из репози­тория и отпра­вим ее на сер­вер.

Сра­зу же в окне лис­тенера получа­ем сес­сию поль­зовате­ля blake и чита­ем пер­вый флаг.

Продвижение

Мы уже видели в сис­теме поль­зовате­ля openfire. Ско­рее все­го, на сер­вере уста­нов­лена одно­имен­ная сис­тема — OpenFire. Про­верим прос­лушива­емые пор­ты, так как по умол­чанию OpenFire занима­ет порт 9090.

Этот порт прос­лушива­ется для адре­са 127.0.0.1, поэто­му нуж­но сде­лать тун­нель. Для это­го орга­низу­ем проб­рос пор­тов 9000 и 9001 с помощью chisel. Нам пот­ребу­ется и вер­сия для Windows, и вер­сия для Linux. Запус­тим на локаль­ном хос­те сер­вер, ука­зав порт для под­клю­чения (опция -p).

За­тем заг­рузим на уда­лен­ный хост вер­сию для Windows и выпол­ним под­клю­чение, ука­зав нас­трой­ки тун­неля: [LPORT]:[ADDR]:[RPORT]. В логах сер­вера уви­дим сооб­щение о под­клю­чении кли­ент­ской час­ти.

Те­перь весь тра­фик с локаль­ных пор­тов 9000 и 9001 будет перенап­равлять­ся на пор­ты 9000 и 9001 уда­лен­ной машины. На сер­вере работа­ет OpenFire вер­сии 7.4.7.

Сно­ва поищем готовые экс­пло­иты для най­ден­ного нами при­ложе­ния.

И сно­ва по пер­вой же ссыл­ке в Google по­луча­ем экс­пло­ит для уяз­вимос­ти CVE-2023-32315. Эта уяз­вимость в кон­соли адми­нис­три­рова­ния поз­воля­ет ата­кующе­му соз­дать сво­его поль­зовате­ля с ролью адми­нис­тра­тора OpenFire.

С соз­данным поль­зовате­лем успешно авто­ризу­емся в сер­висе.

Имея пра­ва адми­нис­тра­тора в OpenFire, мы можем уста­новить в сер­висе свой модуль с шел­лом. Для это­го перехо­дим в раз­дел Plugins и заг­ружа­ем модуль из того же репози­тория.

За­тем перехо­дим к кон­соли уста­нов­ленно­го пла­гина через меню Server → Server Settings → Management Tool и ука­зыва­ем пароль 123.

Откры­ваем лис­тенер и в кон­соли OpenFire выпол­няем реверс‑шелл.

Локальное повышение привилегий

У нас есть сес­сия в кон­тек­сте OpenFire, про­верим кон­фиги и логи в катало­ге embedded-db.

В фай­ле openfire.script находим зашиф­рован­ные дан­ные поль­зовате­ля Administrator, а чуть даль­ше по логам — и ключ шиф­рования passwordKey.

Бег­лый поиск в Google вывел меня на скрипт для рас­шифров­ки дан­ных OpenFire. Сна­чала ком­пилиру­ем файл .java, затем запус­каем соб­ранную ути­литу и переда­ем ей зашиф­рован­ную стро­ку и ключ.

По­луча­ем пароль адми­нис­тра­тора и валиди­руем его для адми­нис­тра­тив­ной учет­ной записи.

Та­ким обра­зом, у нас есть учет­ные дан­ные адми­нис­тра­тора. Получа­ем сес­сию через psexec и чита­ем флаг рута.

Ма­шина зах­вачена!