Writeup (2025)
Тэги:
CVE-2019-9053 (SQL Injection: CMS Made Simple)
Bruteforce MD5 with salt
Writable PATH abuses
Разведка
При сканировании портов было обнаружено 2 открытых tcp-порта - 22 и 80:
На 80-ом порту располагается следующая страница:
В robots.txt можно обнаружить каталог /writeup/:
В нём содержатся страницы с инструкциями прохождения машин HackTheBox:
В исходном коде HTML было обнаружено, что используется CMS Made Simple:
Получение первоначального доступа - jkr (SQL Injection: CVE-2019-9053)
На exploit-db можно найти эксплоит для этой CMS 2019 года:
Код довольно старый, поэтому нужно использовать python2:
Перед запуском следует установить несколько зависимостей. Чтобы это сделать в python2 нужно скачать get-pip.py и затем запустить скрипт:
После установки модуля pip2 можно скачать зависимости:
И запустить эксплоит:
Поскольку хеш с солью, то нужно использовать специальный формат режим для Hashcat (статья):
Запуск брутфорса:
Подключение по SSH, как jkr:
Повышение привилегий - root (Writable Path Abuses)
В выводе LinPeas было обнаружено, что пользователь jkr может создавать файлы в /usr/local/bin и /usr/local/games:
А в выводе pspy64 при втором подключении по SSH выполняются следующие команды от лица суперпользователя:
Поскольку у пользователя jkr есть права на запись в /usr/local/bin, то можно создать файл run-parts с полезной нагрузкой, выдать права на запуск и ещё раз подключиться по SSH из другого терминала и тем самым повысить свои привилегии:
Вторая сессия SSH:
С помощью полезной нагрузки был установлен SUID бит на /bin/bash. Теперь исполняемый файл оболочки можно запустить с опцией -p, чтобы повысить свои привилегии:
Last updated