Write-up Trick [Easy] - Hack The Box (Informal)
Publicación del write-up de sujeto a las guías generales de Hack The Box.
Write-up Trick [Easy] - Hack The Box (Informal)
Mi perfil de Hack The Box: julianglez16
Se hace un ataque AXFR (lo cual aprovecha una vulnerabilidad de transferencia de zona DNS) con el comando ‘dig trick.htb axfr @10.10.11.166’, comando que transfiere los datos DNS de 10.10.11.166 a trick.htb. Tras realizar este comando se puede ver que se obtiene el dominio (campo CNAME) preprod-payroll.trick.htb (trick.htb es el dominio al que hemos hecho la copia de zona DNS). En /etc/hosts ponemos este dominio con su IP correspondiente (10.10.11.166) y se obtiene una página de login.php. Con una simple SQLi (username=admin, password=' or '1=1) se accede al panel de admin. Se puede cambiar la contraseña del usuario Administrator Name=Administrador,username=Enemigosss desde el menú “users” del panel, se le pone la contraseña “123”.
Con sqlmap se pueden leer ciertos ficheros de la máquina remota con el comando sqlmap -u 'http://preprod-payroll.trick.htb/ajax.php?action=login' --data "username=foo&password=foo" --file-read "/etc/hostname" --batch
No se puede hacer nada más con eso así que se hace un subdomain enumeration con gobuster con el prefijo preprod-… > se usa el comando sed para añadir preprod- antes de cada subdominio de un diccionario (en este caso SecLists/…/subdomains-top1million-5000.txt) y con gobuster se encuentra el subdominio preprod-marketing.trick.htb. Existe un punto de LFI en la URL de ?page= y se sabe gracias a que se obtiene el fichero PHP encargado de sanitizar la URL (/var/www/marketing/index.php). Se ve el fichero /etc/passwd, se ven los usuarios existentes y se coge la clave privada de michael ubicada en /home/michael/.ssh/id_rsa para poder conectarse mediante ssh a la máquina con el usuario michael.
Para el escalado de privilegios se usa los permisos de sudo de fail2ban: https://systemweakness.com/privilege-escalation-with-fail2ban-nopasswd-d3a6ee69db49 provocando el baneado de la IP con fuerza bruta usando hydra (hydra 10.10.11.166 ssh -l root -P /usr/share/wordlist/rockyu.txt).