👨🏻‍🏫 👼 📙 बॉक्स को हैक करें। JSON वॉकथ्रू। Json.Net और LPE के माध्यम से SeImpersonatePrivilege में कमजोरता 😸 👨‍👦‍👦 🚸

मैं HackTheBox साइट से आगे की प्रक्रिया के लिए भेजे गए समाधान प्रकाशित करना जारी रखता हूं । मुझे उम्मीद है कि इससे कम से कम किसी को सूचना सुरक्षा के क्षेत्र में विकसित करने में मदद मिलेगी। इस लेख में, हम Json.Net में एक भेद्यता का फायदा उठाते हैं और देखते हैं कि अगर हम SeImpersonatePrivilege विशेषाधिकार रखते हैं, तो अपने विशेषाधिकारों को सिस्टम में कैसे बढ़ाएं।

प्रयोगशाला का कनेक्शन वीपीएन के माध्यम से है। यह सलाह दी जाती है कि किसी कार्य कंप्यूटर या किसी होस्ट से कनेक्ट न करें जहां आपके लिए महत्वपूर्ण डेटा उपलब्ध है, क्योंकि आप एक निजी नेटवर्क पर ऐसे लोगों के साथ रहते हैं जो सूचना सुरक्षा के क्षेत्र में कुछ जानते हैं :)

संगठनात्मक जानकारी

, - , :

PWN;
(Crypto);
c (Network);
(Reverse Engineering);
(Stegano);
WEB-.

, , , .

, , Telegram . , , .

. , - , .

खुफिया सेवा

इस मशीन का आईपी एड्रेस 10.10.10.158 है, जिसे मैं / etc / मेजबानों में जोड़ता हूँ।

10.10.10.158    json.htb

सबसे पहले, हम खुले बंदरगाहों को स्कैन करते हैं। चूंकि नैम्प के साथ सभी बंदरगाहों को स्कैन करने में लंबा समय लगता है, इसलिए मैं इसे पहले मैसकैन के साथ करूंगा। हम प्रति सेकंड 500 पैकेट की गति से tun0 इंटरफ़ेस से सभी टीसीपी और यूडीपी पोर्ट को स्कैन करते हैं।

masscan -e tun0 -p1-65535,U:1-65535 10.10.10.158 --rate=500

अगला, आपको ज्ञात बंदरगाहों के बारे में अधिक जानकारी एकत्र करने की आवश्यकता है। ऐसा करने के लिए, ए-विकल्प के साथ नैम्प का उपयोग करें।

nmap json.htb -p49156,49154,49152,47001,80,137,49153,139,49155,135,445,49158,5985,6666,21

अब, बंदरगाहों पर काम करने वाली सेवाओं के बारे में अधिक विस्तृत जानकारी के लिए, हम -ए विकल्प के साथ एक स्कैन चलाएंगे।

nmap -A json.htb -p80,139,135,445,5985,6666,21

आइए देखें कि वेब पर क्या है। परिणामस्वरूप, पृष्ठ लोड होता है, और केवल तब यह हमें प्राधिकरण पृष्ठ पर फेंक देता है।

हम इसे प्राप्त कर सकते हैं, लेकिन व्यवस्थापक: व्यवस्थापक हमें लॉग इन करने की अनुमति देता है।

साइट पर कुछ भी दिलचस्प नहीं है, और कम से कम कुछ खोजने के प्रयासों में, हम कुकीज़ से चिपके हुए हैं।

डिकोड बेस 64।

echo "eyJJZCI6MSwiVXNlck5hbWUiOiJhZG1pbiIsIlBhc3N3b3JkIjoiMjEyMzJmMjk3YTU3YTVhNzQzODk0YTBlNGE4MDFmYzMiLCJOYW1lIjoiVXNlciBBZG1pbiBIVEIiLCJSb2wiOiJBZG1pbmlzdHJhdG9yIn0=" | base64 -d ; echo

अर्थात्, पासवर्ड पासवर्ड व्यवस्थापक पासवर्ड से MD5 है।

इसके अलावा, दिलचस्प कुछ भी नहीं। बर्प खोलकर और अनुरोध को रोककर, आप एक दिलचस्प HTTP शीर्ष लेख पा सकते हैं।

और इस स्तर पर, मैं तब तक लटका रहा जब तक मुझे "अर्थ को तोड़ने" के लिए नहीं कहा गया। जाहिर है, ऐसे मामलों में, आपको गलतियाँ करने और तीन राज्यों में एपीआई की प्रतिक्रिया देखने की ज़रूरत है: सच्ची, झूठी और त्रुटि। लेकिन किसी कारण से मैं इससे चूक गया।

प्रवेश बिंदु

और फिर यह पता चला कि यदि टूटे हुए डेटा को एक अजीब HTTP हेडर (कुछ वर्णों को हटाएं) में प्रेषित किया जाता है, तो सर्वर त्रुटियां देता है। नीचे वह डेटा है जिसे सर्वर सामान्य हेडर मान के साथ और एक से चार वर्णों के साथ हटाता है।

हमें बाद के मामले में एक दिलचस्प त्रुटि मिलती है। चूंकि JSON ऑब्जेक्ट डी-ऑपरेटिंग है, इसलिए हम ysoserial का उपयोग करके इसका फायदा उठा सकते हैं । हम Json.Net के लिए ObjectDataProvider गैजेट का उपयोग करेंगे और भेद्यता धारणा को सत्यापित करने के लिए पिंग कमांड निष्पादित करेंगे।

अब पिंग को पकड़ने के लिए ICMP प्रोटोकॉल फिल्टर के साथ tcpdump को सक्षम करें।

एक अनुरोध को रोकते समय, हम हेडर को बदलते हैं।

और हमें वह पिंग मिलता है जो ऑर्डर किया गया था।

उपयोगकर्ता

अब आपको लोड मीटर के साथ ऐसा करने की आवश्यकता है। सबसे पहले, हम एक भार उत्पन्न करते हैं और एक श्रोता को खोलते हैं।

अब स्थानीय SMB सर्वर खोलें जिसमें से लोड शुरू होगा।

अब फिर से हम आवश्यक डेटा को क्रमबद्ध करते हैं, एक कमांड के रूप में हम अपने सर्वर से अपना लोड लॉन्च करते हैं।

हम SMB सर्वर के लिए एक सफल कनेक्शन और एक सफलतापूर्वक लोड किए गए Metpreter सत्र को देखते हैं।

और यूजर फाइल को पढ़े।

जड़

सबसे पहले, हम उस उपयोगकर्ता के बारे में जानकारी देखते हैं जिसके तहत हम काम करते हैं।

उपयोगकर्ता के पास SeImpersonatePrivilege विशेषाधिकार सक्षम है ("प्रमाणीकरण के बाद क्लाइंट को अधिकार दें")। जैसा कि Microsoft कहता है :

एक उपयोगकर्ता को सही "प्रमाणीकरण के बाद एक ग्राहक को प्रतिरूपित करना" असाइन करना, इस उपयोगकर्ता की ओर से लॉन्च किए गए कार्यक्रमों को क्लाइंट को प्रतिरूपित करने की अनुमति देता है। इस पैरामीटर का उपयोग अनधिकृत सर्वरों को आरपीसी प्रक्रियाओं या नामित पाइपों का उपयोग करके इन सर्वरों से जुड़ने वाले ग्राहकों को लगाने से रोकता है।

तथ्य यह है कि हम अपने अधिकारों को सिस्टम में बढ़ा सकते हैं। एक पूरा अध्ययन यहां पाया जा सकता है । इस भेद्यता से निम्नलिखित विशेषाधिकार प्रभावित होते हैं:

SeImpersonatePrivilege
SeAssignPrimaryPrivilege
Setcbprivilege
SeBackupPrivilege
SeRestorePrivilege
SeCreateTokenPrivilege
SeLoadDriverPrivilege
SeTakeOwnershipPrivilege
SeDebugPrivilege

चलो एक और लोड उत्पन्न करते हैं और इसके लिए एक श्रोता चलाते हैं।

ऑपरेशन के लिए हम रसदार आलू का उपयोग करेंगे । लेकिन एक पैरामीटर के रूप में आपको लक्ष्य प्रणाली के लिए खाते के सीएलएसआईडी को निर्दिष्ट करने की आवश्यकता है, हम इसे रिपॉजिटरी से भी लेंगे । लेकिन पहले, आइए देखें कि किस प्रकार की प्रणाली है।

और अब हम CLSID को देखते हैं।

फ़ाइलों को लक्ष्य होस्ट पर अपलोड करें।

अब Juicy Potato चलाएं और इसके साथ संकेत करें कि क्या प्रक्रिया बनाई जाएगी (CreateProcessWithTokenW या CreateProcessAsUser, पैरामीटर -t), प्रोसेस फाइल (-p), लिसनिंग पोर्ट (-l), और CLOSID (-c)।

प्रक्रिया सफलतापूर्वक बनाई गई है, और हम निर्मित मेट्टरपॉटर सत्र देखते हैं।

और हमें सिस्टम अकाउंट मिलता है।

आप हमसे टेलीग्राम पर जुड़ सकते हैं। आइए एक समुदाय को एक साथ रखें जिसमें ऐसे लोग होंगे जो आईटी के कई क्षेत्रों में पारंगत हैं, फिर हम हमेशा किसी भी आईटी और सूचना सुरक्षा मुद्दों पर एक दूसरे की मदद कर सकते हैं।

बॉक्स को हैक करें। JSON वॉकथ्रू। Json.Net और LPE के माध्यम से SeImpersonatePrivilege में कमजोरता

खुफिया सेवा

प्रवेश बिंदु

उपयोगकर्ता

जड़

More articles: