Pandora htb
En el presente desafio de hack the box ,abordaremos la maquina ," pandora" . En este escenario aprovecharemos una vulnerabilidad en el servicio snmp ,que servirá para ganar acceso a ssh y poder ganar
Resumen
En el presente desafio de hack the box ,abordaremos la maquina ," pandora" . En este escenario aprovecharemos una vulnerabilidad en el servicio snmp ,que servirá para ganar acceso a ssh y poder ganar root dentro de la maquina por medio del por forwanding.
Escaneo de puertos
Primero que todo, como toda buena metodología, debemos hacer un escaneo de puertos con nmap con los siguientes parámetros:
-p-: Escanear todos los 65353 puertos que existen
-Pn : Sirve para decirle a Nmap que el host destino si está arriba
–min-rate 5000: : Lo que hace este parámetro de nmap es controlar el número mínimo de paquetes por segundo que se enviara durante el escaneo
cómo podemos ver este nos dan dos puertos abiertos, después de esto intentamos hacer el mismo escaneo, pero para el protocolo UDP, este se realiza con la herramienta nmap ,donde utilizaremos los siguientes parámetros:
-p-: Escanear todos los 65353 puertos que existen
-sU : Este parametro hace que nmap haga el escaneo por el protocolo udp
-Pn : Sirve para decirle a Nmap que el host destino si está arriba
–min-rate 5000: Lo que hace este parámetro de nmap es controlar el número mínimo de paquetes por segundo que se enviara durante el escaneo
Después de esto intentamos hacer un escaneo agresivo con nmap , este se realiza con el parámetro -A
Después de revisar el resultado del escaneo agresivo con nmap ,se logra percatar que dentro de snmp-processes (Procesos ejecutados en el servicio de transferencia de información snmp ).
se logra ver que estas credenciales sirven para entablar una conexión ssh con la victima
Escalada de privilegios
al revisar notamos que existen dos usuarios daniel y matt.
ahora ejecutamos, el binario que nos devolvía en el escaneo de nmap
al revisar el output nos dice que lo guardo en un archivo llamado .host_check
al revisar el output de este notamos que nos devuelve esta información
al revisar, nos damos cuenta de que está corriendo un Pandora FMS server en el puerto 80, pero lo curioso es que desde nuestra maquina no tenemos acceso desde este, entonces ¿cómo avanzamos?
Para hacer esto necesitamos hacer un port forwanding con la maquina victima
con el siguiente comando
Ahora al ingresar al puerto 80 de nuestra máquina, vemos que está ejecutándose un FMS en esta versión v7.0NG.742_FIX_PERL2020.
Bueno al buscar un exploit para esta versión de la web notamos que tiene estas dos vulnerabilidades
primero vamos al sql injection , en la página nos dice que este se encuentra en el siguiente link http://localhost:8000/pandora_console/include/chart_generator.php?session_id ,por ende lo que haremos es utilizar sqlmap para poder vulnerar este link
al ver el output de este nos damos cuenta de que existe una tabla llamada tsessions_php , donde se guardan las sesiones del aplicativo.
ahora para validar cual de este si es una sesión activa lo que haremos es hacer una fuerza bruta, hasta encontrar cual, si está habilitada, para esto lo que haremos es obtener todos los id_session.
Estos sessions id los guardamos en un archivo llamado bruteforce donde después con la herramienta wfuzz validamos cual session si deja ingresar al administrador.
donde la sesión valida es
ya con esta sesión se puede utilizar la siguiente vulnerabilidad para ganar acceso a la máquina.
ROOT
Ahora para ganar persistencia dentro del server con el usuario root lo que haremos es generar una key ssh
ahora nos dirigimos a la ruta .ssh y obtenemos el id_ed(number).pub, ya despues de eso, nos debe dar un texto, en la maquina victima nos dirigimos a la raiz del usuario matt y entramos a la carpeta .ssh
Ahora dentro de esta carpeta agregamos con un echo la key anteriormente copiada
ahora nos intentamos conectar como matt al servidor y nos debería deja.
Bueno después de ganar acceso al usuario matt lo que hacemos es hacer una búsqueda de binarios donde tengamos el permiso 400 de ejecución.
vemos que tenemos el binario usr/bin/pandora_backup , donde al revisar vemos que este se ejecuta como root.
Al hacer la ejecución del código se logra percatar que este ejecuta el comando tar para comprimir datos.
por ende, lo que haremos es jugar con el $PATH de linux, debemos tener en cuenta que el $PATH es el orden que tiene linux para ejecutar un binario, como así ? , si ejecutamos el comando tar y el path es /usr/bin;/data/bin ,linux primero buscará el comando tar en /usr/bin y si no lo encuentra lo buscara en el otro.
Así lo que haremos es irnos a la capeta /tmp y creamos un archivo tar donde tendrá la acción de ejecutar /bin/bash.
Después de esto le daremos permiso de ejecución y lo que haremos es cambiar el $PATH del sistema paraque tome el antiguo que tenía, pero agregue la carpeta /tmp.
por ende, al ejecutar de nuevo el binario tendremos acceso a root.
y yap , ¡¡ maquina solucionada!!!
Última actualización
¿Te fue útil?