HTB Noter. Ломаем веб-приложение на Flask

Содержание статьи

• Разведка
• Сканирование портов
• Точка входа
• JWT
• Точка опоры
• Продвижение
• Локальное повышение привилегий

В этом рай­тапе мы обой­дем авто­риза­цию в при­ложе­нии на Flask, затем изу­чим исходные коды при­ложе­ния, что­бы най­ти и про­экс­плу­ати­ровать уяз­вимость. Для повыше­ния при­виле­гий исполь­зуем уяз­вимость уста­нов­ки пла­гина в MySQL.

На­ша цель — про­хож­дение сред­ней по слож­ности машины Noter с пло­щад­ки Hack The Box.

warning

Под­клю­чать­ся к машинам с HTB рекомен­дует­ся толь­ко через VPN. Не делай это­го с компь­юте­ров, где есть важ­ные для тебя дан­ные, так как ты ока­жешь­ся в общей сети с дру­гими учас­тни­ками.

Разведка

Сканирование портов

До­бав­ляем IP-адрес машины в /etc/hosts:

10.10.11.160 noter.htb


И запус­каем ска­ниро­вание пор­тов.

Справка: сканирование портов

Ска­ниро­вание пор­тов — стан­дар­тный пер­вый шаг при любой ата­ке. Он поз­воля­ет ата­кующе­му узнать, какие служ­бы на хос­те при­нима­ют соеди­нение. На осно­ве этой информа­ции выбира­ется сле­дующий шаг к получе­нию точ­ки вхо­да.

На­ибо­лее извес­тный инс­тру­мент для ска­ниро­вания — это Nmap. Улуч­шить резуль­таты его работы ты можешь при помощи сле­дующе­го скрип­та.

#!/bin/bashports=$(nmap -p- --min-rate=500 $1 | grep ^[0-9] | cut -d '/' -f 1 | tr 'n' ',' | sed s/,$//)nmap -p$ports -A $1

Он дей­ству­ет в два эта­па. На пер­вом про­изво­дит­ся обыч­ное быс­трое ска­ниро­вание, на вто­ром — более тща­тель­ное ска­ниро­вание, с исполь­зовани­ем име­ющих­ся скрип­тов (опция -A).

Ре­зуль­тат работы скрип­та

Наш­лось три откры­тых пор­та:

• 21 — служ­ба vsftpd 3.0.3;
• 22 — служ­ба OpenSSH 8.2p1;
• 5000 — веб‑сер­вер Python Werkzeug 2.0.2.

Ано­ним­ный вход на FTP зак­рыт, с SSH мы ничего не сде­лаем, поэто­му идем смот­реть веб.

Глав­ная стра­ница сай­та http://noter.htb:5000/ 

Точка входа

На сай­те есть воз­можность регис­три­ровать­ся и авто­ризо­вать­ся, чем мы обя­затель­но дол­жны вос­поль­зовать­ся.

Глав­ная стра­ница зарегис­три­рован­ного поль­зовате­ля

Я всю работу выпол­няю через Burp, поэто­му в иден­тифика­торе сес­сии поль­зовате­ля сра­зу заметил токен JWT.

Зап­рос на сер­вер в Burp Pro 

JWT

JSON Web Token хра­нит необ­ходимую информа­цию о текущем сеан­се. В чис­ле про­чего в нем содер­жится HMAC — hash-based message authentication code, код авто­риза­ции на осно­ве хеша. Его‑то нам и пред­сто­ит под­делать.

Для работы с JWT будем исполь­зовать ути­литу Flask-Unsign.

sudo pip3 install Flask==2.1.0 flask_unsign
flask-unsign --decode --cookie 'eyJsb2dnZWRfaW4iOnRydWUsInVzZXJuYW1lIjoicmFsZiJ9.YvKLvw.fDwY2juxacH9LTQV7xx_RyGo8EM'

По­луче­ние информа­ции о сеан­се

Для соз­дания HMAC тре­бует­ся сек­ретный ключ. Если мы суме­ем вос­ста­новить или взло­мать сек­ретный ключ, то смо­жем вно­сить любые изме­нения в информа­цию о сеан­се. С помощью Flask-Unsign можем поп­робовать проб­рутить сек­рет.

flask-unsign --wordlist rockyou.txt --unsign --cookie 'eyJsb2dnZWRfaW4iOnRydWUsInVzZXJuYW1lIjoicmFsZiJ9.YvKLvw.fDwY2juxacH9LTQV7xx_RyGo8EM' --no-literal-eval

По­луче­ние сек­ретно­го клю­ча

Мы получи­ли сек­ретный ключ, а зна­чит, можем записать свои дан­ные в сеанс, в дан­ном слу­чае сме­нить поль­зовате­ля. Генери­руем сес­сию, уста­нав­лива­ем в бра­узе­ре и обновля­ем стра­ницу. Я поп­робовал поль­зовате­ля admin, но ничего не выш­ло.

flask-unsign --sign --cookie "{'logged_in': True, 'username': 'admin'}" --secret 'secret123' --legacy

Ге­нери­рова­ние нового токена

Ошиб­ка авто­риза­ции

Ско­рее все­го, такого поль­зовате­ля не сущес­тву­ет, поэто­му нуж­но най­ти спо­соб опре­делить реаль­ных поль­зовате­лей. Сайт работа­ет на Flask, к тому же пред­назна­чен для хра­нения заметок, поэто­му пер­вым делом я стал искать SSTI (вклю­чение шаб­лонов на сто­роне сер­вера) и XSS. Начал с соз­дания замет­ки.

Соз­дание замет­ки с наг­рузкой

За­тем я опре­делил все мес­та, где про­исхо­дит вывод это­го тек­ста, но, к моему сожале­нию, вез­де исполь­зует­ся экра­ниро­вание.

Глав­ная стра­ница сай­та

За­мет­ки поль­зовате­ля

Со­дер­жимое соз­данной замет­ки

Тест наг­рузкой для XSS так­же не увен­чался успе­хом. Тог­да я решил пос­мотреть на механизм авто­риза­ции, а имен­но на сооб­щения, которые сер­вер отдаст в раз­ных ситу­ациях. Иног­да в таких слу­чаях помога­ет опре­делять вре­мя, которое зат­рачива­ется на про­вер­ку пра­виль­ных и неп­равиль­ных учет­ных дан­ных. Но так далеко идти ока­залось не нуж­но: сооб­щения для сущес­тву­юще­го и несущес­тву­юще­го поль­зовате­ля ока­зались раз­ными.

От­вет сер­вера для несущес­тву­юще­го акка­унта

От­вет сер­вера для сущес­тву­юще­го акка­унта 

Точка опоры

Во­ору­жаем­ся Burp Intrueder и при­нима­емся за перебор.

Пе­реки­дыва­ем зап­рос в Burp (Ctrl-I, Ctrl-Shift-I) и отме­чаем для перебо­ра логин.

Burp Intruder — вклад­ка Position

Спи­сок имен поль­зовате­лей берем из набора SecLists.

Burp Intruder — вклад­ка Payloads

Ус­танав­лива­ем 256 потоков (мож­но и боль­ше).

Burp Intruder — вклад­ка Resource Pool

В резуль­тиру­ющую таб­лицу добавим еще один стол­бец, куда будет попадать сооб­щение об ошиб­ке.

Источник: xakep.ru