BoardLight
BoardLight es una máquina Linux de dificultad fácil que cuenta con una instancia Dolibarr vulnerable a CVE-2023-30253. Esta vulnerabilidad se aprovecha para obtener acceso como www-data. Después de enumerar y volcar el contenido del archivo de configuración web, las credenciales de texto sin formato conducen al acceso SSH a la máquina. Al enumerar el sistema, se identifica un binario SUID relacionado con enlightenment que es vulnerable a la escalada de privilegios a través de CVE-2022-37706 y se puede abusar de él para aprovechar un shell raíz.
Reconnaissance
Realizaremos un reconocimiento con nmap para ver los puertos que están expuestos en la máquina BoardLigth. Este resultado lo almacenaremos en un archivo llamado allPorts.
A través de la herramienta de extractPorts, la utilizaremos para extraer los puertos del archivo que nos generó el primer escaneo a través de Nmap. Esta herramienta nos copiará en la clipboard los puertos encontrados.
Lanzaremos scripts de reconocimiento sobre los puertos encontrados y lo exportaremos en formato oN y oX para posteriormente trabajar con ellos. En el resultado, comprobamos que se encuentra expuesta una página web de Apache y el servicio SSH.
Transformaremos el archivo generado targetedXML para transformar el XML en un archivo HTML para posteriormente montar un servidor web y visualizarlo.
Accederemos a http://localhost y verificaremos el resultado en un formato más cómodo para su análisis.
Añadiremos en nuestro archivo /etc/hosts la siguiente entrada.
Web Enumeration
Realizaremos una enumeración básica de las tecnologías que utiliza el sitio web a través de la herramienta de whatweb.
Al acceder a http://board.htb, verificamos que se trata de una página en la cual a simple vista no logramos ver más páginas ni ningún tipo de información relevante.
Realizaremos una enumeración de directorios y páginas, no logramos visualizar algún contenido que nos pueda servir de utilidad.
Subdomain Enumeration
Tratando de realizar una enumeración de subdominios de la página web, nos encontramos con el subdominio crm.
Añadiremos esta nueva entrada en nuestro archivo /etc/hosts.
Al tratar de acceder a http://crm.board.htb nos encontramos con un panel de inicio de sesión de Dolibarr 17.0.0.
Initial Foothold
Accessing Dolibarr with default admin credentials
Revisamos por Internet las credenciales que utiliza Dolibarr por defecto, nos encontramos que utiliza las credenciales admin/admin.
Al tratar de acceder, verificamos que hemos logrado acceder como usuario admin.
Dolibarr 17.0.0 Exploitation - Remote Code Execution [RCE] (CVE-2023-30253)
Revisando por Internet sobre posibles vulnerabilidades de esta versión de Dolibarr, nos encontramos con el siguiente CVE-2023-30253.
En la versiones anteriores a Dolibarr v17.0.1 se permite la ejecución remota de código por un usuario autenticado a través de una manipulación de mayúsculas, por ejemplo: "
Por otro lado, también nos encontramos con el siguiente repositorio de GitHub con el exploit para abusar de la vulnerabilidad. Nos descargaremos este repositorio en nuestro equipo.
En el propio repositorio de GitHub, se nos muestra un PoC de cómo aprovecharnos de este exploit.
En una terminal, nos pondremos en escucha para recibir la Reverse Shell.
Ejecutaremos el exploit.py indicándole la URL donde se encuentra Dolibarr, las credenciales de acceso que en este caso eran las de por defecto y, nuestra dirección IP y puerto donde nos encontramos en escucha.
Verificamos que ganamos acceso al equipo con el usuario www-data.
Initial Access
Information Leakage
Nos encontramos actualmente con un usuario con privilegios limitados, la idea sería convertirnos en root o lograr pivotar a otro usuario que quizás tenga más permisos. Revisando el /etc/passwd verificamos que solamente los usuarios root y larissa disponen de bash.
Revisando los directorios en los que nos encontrábamos, logramos visualizar archivos de configuración.
En el archivo conf.php logramos visualizar las credenciales de acceso al MySQL.
Probamos de autenticarnos con estas credenciales y el usuariolarissa para validar si se reutilizan, y lograos acceder y comprobar la flag de user.txt.
Privilege Escalation
Enlightenment SUID Binary Exploitation
Revisando permisos de SUID nos encontramos que el binario de enlightment disponía de SUID.
Revisando posibles vulnerabilidades de utilizar ese SUID para escalar privilegios, nos encontramos con el siguiente repositorio de GitHub.
Ejecutamos el exploit.sh, verificamos que nos encontramos como usuario root y logramos visualizar la flag de root.txt.
Última actualización
¿Te fue útil?