Symfonos 1
Sobre esta maquina: VulnHub
Sistema Operativo: Linux
Skills Usados:
SMB Enumeration
Information Leakage, WordPress Enumeratio
Abusing WordPress Plugin - Mail Masta 1.0
Metodologia:
En este caso, desconocemos la IP de la máquina. Lo primero que vamos a hacer es recoger los host visibles desde mi equipo cacheados en la tabla ARP. Una alternativa sería utilizar ArpScan.
cat /proc/net/arp
# IP address HW type Flags HW address Mask Device
# 192.168.1.140 0x1 0x2 08:00:27:5a:60:b1 * enp0s3
# 192.168.1.137 0x1 0x0 00:00:00:00:00:00 * enp0s3
La IP 192.168.1.140 es nuestro objetivo ahora.
Con un ping, obtenemos el TTL para saber si se refiere a una máquina Linux o una Windows.
⚠️TTL~64 - Linux
Reconocimiento
Mediante nmap escaneamos los puertos abiertos.
Afinamos la búsqueda una vez conocidos los puertos abiertos.
Y vemos el archivo targeted para mirar un poco el resultado.
He omitido el output para quedarme con lo interesante. Servicios de ssh, smtp, http y smb expuestos.
Mediante smbmap, intentamos obtener acceso a los recursos compartidos a ver si está todo bien configurado.
Si cateamos el archivo de texto obtenemos lo siguiente.
Cosas interesantes hasta aquí, de atrás adelante.
Las contraseñas 'epidioko', 'qwerty' y 'baseball' son contraseñas que debería tener en cuenta para continuar con el reto.
Por otro lado, hay un recurso compartido llamado 'helios' - 'Helios personal', que me puede hacer pensar que hay un usuario llamado helios. Vamos a intentar loguearnos a smb con el usuario 'helios' y cualquiera de esas 3 contraseñas.
Tirando del hilo como anteriormente, he encontrado dos archivos. Un research.txt y un todo.txt. El texto de todo.txt es el siguiente.
El tercer punto parece un directorio o una ruta. Si accedo por Firefox a la web expuesta y pongo esa ruta, vemos un servidor Wordpress. Coloco la siguiente entrada en /etc/hosts para que los archivos estáticos se descarguen correctamente y poderlo visualizar correctamente.
A partir de aquí podríamos utilizar WpScan, pero vamos a intentar enumerar posibles plugins que pueda tener instalados y buscar vulnerabilidades en ellos.
Con la salida de curl, concatenando varios greps y algunos delimitadores, obtenemos la siguiente entrada:
Hay un plugin de mails y otro bastante común para la edición del sitio. Recordamos que la máquina tiene expuesto el puerto de 25 SMTP. Vamos a ir por ese camino.
Buscamos vulnerabilidades en searchsploit.
El plugin Mail Masta tiene una vulnerabilidad de tipo LFI. Mirando el script, vemos que la vulnerabilidad se encuentra en una URL. Vamos a probarlo manualmente con curl.
Podemos desarrollar un script para hacer más sencillas las consultas como [[lfi_read_file.sh]]
Un directorio interesante continuando con el tema de smtp, es /var/mail/.
Con ayuda del script, vemos dicho archivo.
Log Poisoning de SMTP
El directorio /var/mail/helios está expuesto. Si fuésemos capaces de enviar un mail y colar código PHP en él, podríamos mediante el LFI transformarlo en un RCE fácilmente.
Vamos a conectarnos por telnet al puerto del mail y tratar de enviar algo.
De este modo, vamos a entablarnos una reverse shell.
Ya con Symfonos 1 comprometido verificaremos si tiene una red interna y de alli intentaremos hacer un pivoting hacia Symfonos 2/
Last updated