HTB RegistryTwo. Эксплуатируем уязвимости Java RMI для полного захвата хоста

Содержание статьи

• Разведка
• Сканирование портов
• Точка входа
• Точка опоры
• Apache Tomcat — path traversal
• RCE через Java RMI
• Продвижение
• Локальное повышение привилегий

В этом рай­тапе я покажу экс­плу­ата­цию нес­коль­ких уяз­вимос­тей в Java RMI, но сна­чала про­ведем ата­ку на Docker Registry, которая поз­волит нам получить дос­туп к фай­лам сай­та.

На­ша цель — зах­ват учет­ной записи супер­поль­зовате­ля на машине RegistryTwo с учеб­ной пло­щад­ки Hack The Box. Уро­вень ее слож­ности — «безум­ный».

Разведка

Сканирование портов

До­бав­ляем IP-адрес машины в /etc/hosts:

10.10.11.223 registrytwo.htb

И запус­каем ска­ниро­вание пор­тов.

Справка: сканирование портов

Ска­ниро­вание пор­тов — стан­дар­тный пер­вый шаг при любой ата­ке. Он поз­воля­ет ата­кующе­му узнать, какие служ­бы на хос­те при­нима­ют соеди­нение. На осно­ве этой информа­ции выбира­ется сле­дующий шаг к получе­нию точ­ки вхо­да.

На­ибо­лее извес­тный инс­тру­мент для ска­ниро­вания — это Nmap. Улуч­шить резуль­таты его работы ты можешь при помощи сле­дующе­го скрип­та:

#!/bin/bashports=$(nmap -p- --min-rate=500 $1 | grep ^[0-9] | cut -d '/' -f 1 | tr 'n' ',' | sed s/,$//)nmap -p$ports -A $1

Он дей­ству­ет в два эта­па. На пер­вом про­изво­дит­ся обыч­ное быс­трое ска­ниро­вание, на вто­ром — более тща­тель­ное ска­ниро­вание, с исполь­зовани­ем име­ющих­ся скрип­тов (опция -A).

Ре­зуль­тат работы скрип­та

Ска­нер нашел четыре откры­тых пор­та:

• 22 — служ­ба OpenSSH 7.6p1;
• 443 — веб‑сер­вер Nginx 1.14.0;
• 5000 — сер­вис Docker Registry;
• 5001 — сер­вис аутен­тифика­ции Docker Registry.

В SSL-сер­тифика­тах на веб‑сер­вере наш­лось нес­коль­ко имен DNS, которые мы тоже добав­ляем в файл /etc/hosts.

10.10.11.223 registrytwo.htb webhosting.htb www.webhosting.htb

Глав­ная стра­ница сай­та www.webhosting.htb 

Точка входа

Пе­рехо­дим к про­вер­ке Docker Registry и дела­ем зап­рос к API /v2/_catalog.

curl -k -s https://webhosting.htb:5000/v2/_catalog | jq

Вы­ходит, нам нуж­но аутен­тифици­ровать­ся на сер­вере. Поэто­му обра­тим­ся к пор­ту 5001 для получе­ния токена.

curl -k -s https://webhosting.htb:5001/auth | jq

По­луче­ние токена дос­тупа

Про­веря­ем получен­ный токен с помощью jwt_tool.

python3 jwt_tool.py eyJ0eXAiOiJKV1Q...

Ин­форма­ция о токене

Нас инте­ресу­ет поле access, так как оно содер­жит текущие раз­решения. В дан­ном слу­чае оно пус­тое. Сно­ва выпол­ним зап­рос к API, но прос­мотрим и HTTP-заголов­ки зап­роса и отве­та.

curl -k -s https://webhosting.htb:5000/v2/_catalog -v | jq

В заголов­ке www-authenticate видим парамет­ры, необ­ходимые для зап­роса токена. Зап­росим новый токен, учтя получен­ные парамет­ры.

curl -k -s 'https://webhosting.htb:5001/auth?service=Docker%20registry&scope=registry:catalog:*' | jq

По­луче­ние токенаpython3 jwt_tool.py eyJ0eXAiOiJKV1Q....

Ин­форма­ция о токене

В новом токене появи­лись при­виле­гии для дос­тупа к катало­гу. Теперь мы можем передать этот токен в зап­росе к API и получить спи­сок репози­тори­ев.

curl -k -s https://webhosting.htb:5000/v2/_catalog -H 'Authorization: Bearer eyJ0eXAi...' | jq

Спи­сок репози­тори­ев