English  ·  Ελληνικά

Αναγνώριση

Nmap

Το αρχικό σάρωμα αποκαλύπτει ports HTTP, SMB, RPC πάνω σε host Windows. Ένα πλήρες σάρωμα port βρίσκει επιπλέον το port 6791 να τρέχει HTTP:

Προσθέτουμε το solarlab.htb στο /etc/hosts:

SMB Enumeration

Ελέγχουμε τα SMB shares ανώνυμα:

Το share Documents είναι προσβάσιμο. Περιέχει αρκετά ενδιαφέροντα αρχεία:

details-file.xlsx

Το αρχείο Excel περιέχει usernames, passwords, ερωτήσεις ασφαλείας, και email addresses. Οι πιο χρήσιμες εγγραφές:

Web Enumeration

Το port 80 σερβίρει SolarLab IM — μια σελίδα coming-soon με αντίστροφη μέτρηση, χωρίς χρήσιμο περιεχόμενο:

Subdomain brute-force

Το port 6791 κάνει επίσης redirect αυτόματα στο report.solarlab.htb. Το προσθέτουμε στο /etc/hosts:

ReportHub — Επίθεση σε Credentials

Το port 6791 σερβίρει μια σελίδα Login to ReportHub:

Δοκιμάζοντας τα credentials από το xlsx — τα μηνύματα σφάλματος είναι συγκεκριμένα. Το User not found έναντι User authentication error επιτρέπει username enumeration. Οι AlexanderK και ClaudiaS υπάρχουν αλλά οι κωδικοί είναι λάθος:

Burp Intruder — credential spray

Χρησιμοποιούμε το Burp Intruder με επίθεση cluster bomb για να συνδυάσουμε usernames και passwords:

Δεν βρέθηκαν έγκυρα credentials στο πρώτο spray. Κοιτώντας πιο προσεκτικά το pattern των usernames — AlexanderK, ClaudiaS — υποδηλώνει Μικρό όνομα + αρχικό επωνύμου. Το xlsx δείχνει blake.byte οπότε το username θα πρέπει να είναι BlakeB:

Foothold — CVE-2023-33733 (ReportLab RCE)

Μετά το login, το ReportHub εκθέτει τέσσερα features — Leave Request, Training Request, Home Office Request, και Travel Approval. Όλα δημιουργούν PDFs:

Ο generator PDF χρησιμοποιεί το ReportLab που είναι ευάλωτο στο CVE-2023-33733 — HTML injection στο πεδίο justification οδηγεί σε RCE μέσω της μηχανής rendering PDF:

Πυροδοτούμε ένα reverse shell μέσω ενός PowerShell download cradle ενσωματωμένου στο exploit:

Πλευρική κίνηση — blake → openfire

Ανακάλυψη credentials στη βάση δεδομένων της εφαρμογής

Μέσα στο C:\Users\blake\Documents\app\instance, υπάρχει ένα αρχείο SQLite users.db που περιέχει όλα τα credentials της εφαρμογής:

Openfire — port forwarding

Ελέγχοντας τις ενεργές συνδέσεις και τον φάκελο C:\Users αποκαλύπτεται ένας χρήστης openfire και το Openfire να ακούει στο 127.0.0.1:9090:

Το WinPEAS επιβεβαιώνει τα credentials στο utils.py και δεν αποκαλύπτει τίποτα επιπλέον:

Ο φάκελος Openfire είναι απρόσιτος ως blake — χρειαζόμαστε πρώτα τον χρήστη openfire. Κάνουμε forward το port 9090 με το chisel:

CVE-2023-32315 — Openfire Auth Bypass

Κάνουμε login με τον νεοδημιουργημένο χρήστη, μετά ανεβάζουμε το plugin openfire-management-tool-plugin.jar:

Εκτελούμε ένα reverse shell μέσω του management tool για να πάρουμε κανονικό shell ως openfire:

Privilege Escalation — openfire → Administrator

Openfire embedded-db

Ως openfire, μπορούμε τώρα να έχουμε πρόσβαση στον φάκελο Openfire. Ο φάκελος embedded-db περιέχει τα αρχεία της βάσης δεδομένων:

Το openfire.script περιέχει τον πίνακα OFUSER με τον κρυπτογραφημένο κωδικό του admin:

Εύρεση του κλειδιού blowfish

Ο πίνακας OFPROPERTY στο ίδιο script περιέχει το passwordKey που χρησιμοποιείται για κρυπτογράφηση blowfish:

Αποκρυπτογράφηση του κωδικού admin

Χρησιμοποιούμε το Java-based εργαλείο c0rdis/openfire_decrypt (η έκδοση PHP δεν δουλεύει):

Code execution ως SYSTEM

Επιβεβαιώνουμε τα credentials του administrator πάνω σε SMB και εκτελούμε μέσω impacket-smbexec:

Σύνοψη

Βασικές εντολές