Shocker
Shocker, aunque bastante simple en general, demuestra la gravedad del famoso exploit Shellshock, que afectó a millones de servidores públicos.
Reconnaissance
Realizaremos un reconocimiento con nmap para ver los puertos que están expuestos en la máquina Shocker. Este resultado lo almacenaremos en un archivo llamado allPorts.
A través de la herramienta de extractPorts, la utilizaremos para extraer los puertos del archivo que nos generó el primer escaneo a través de Nmap. Esta herramienta nos copiará en la clipboard los puertos encontrados.
Lanzaremos scripts de reconocimiento sobre los puertos encontrados y lo exportaremos en formato oN y oX para posteriormente trabajar con ellos. En el resultado, comprobamos que se encuentran abierta una página web de Apache y un servicio SSH.
Transformaremos el archivo generado targetedXML para transformar el XML en un archivo HTML para posteriormente montar un servidor web y visualizarlo.
Accederemos a http://localhost y verificaremos el resultado en un formato más cómodo para su análisis.
Web Enumeration
Realizaremos una comprobación de las tecnologías que utiliza el sitio web.
Al acceder a http://10.10.10.56 nos encontramos con el siguiente contenido de la página web.
Realizamos una enumeración básica de directorios y páginas y no logramos obtener ninguna información al respecto.
Realizamos nuevamente una enumeración de páginas con extensión html y php pero tampoco logramos obtener información relevante.
A través del parámetro -f lo que le indicamos a Feroxbuster de añadir un slash / al final de cada petición que se realiza, esto debido que posiblemente podamos encontrar más información de posibles directorios.
En el resultado obtenido, logramos enumerar el directorio /cgi-bin/.
Realizaremos una búsqueda de archivos ejecutables que se puedan encontrar en el directorio /cgi-bin/. Finalmente logramos enumerar un archivo llamadouser.sh.
Initial Access
ShelShock Attack (User-Agent) [CVE-2014-6271]
Accederemos a http://10.10.10.56/cgi-bin/user.sh y visualizamos el contenido del script.
El endpoint /cgi-bin/user.sh está ejecutando un script en el servidor y devolviendo su salida.
Análisis de la respuesta:
Content-Type: text/x-sh → El servidor está sirviendo un archivo de script de shell (
.sh).Just an uptime test script → Mensaje que indica que el script solo muestra el uptime del sistema.
19:11:10 up 5 min, 0 users, load average: 0.00, 0.03, 0.01 → Resultado del comando
uptime, lo que sugiere que el script ejecuta comandos del sistema.
Si el servidor ejecuta el script sin restricciones, podríamos probar Shellshock o command injection enviando una carga en la cabecera User-Agent o como parámetro en la URL.
Shellshock (CVE-2014-6271) es una vulnerabilidad en Bash que permite ejecutar comandos arbitrarios a través de variables de entorno manipuladas. Se explota inyectando código malicioso en cabeceras HTTP o parámetros de CGI cuando el servidor usa Bash para ejecutar scripts.
GNU Bash hasta la versión 4.3 procesa las cadenas finales después de las definiciones de funciones en los valores de las variables de entorno, lo que permite a atacantes remotos ejecutar código arbitrario a través de un entorno diseñado, como lo demuestran los vectores que involucran la característica ForceCommand en OpenSSH sshd, los módulos mod_cgi y mod_cgid en el servidor HTTP Apache, scripts ejecutados por clientes DHCP no especificados y otras situaciones en las que la configuración del entorno ocurre a través de un límite de privilegios desde la ejecución de Bash, también conocido como "ShellShock". NOTA: la solución original para este problema era incorrecta; CVE-2014-7169 se ha asignado para cubrir la vulnerabilidad que aún está presente después de la solución incorrecta.
Nos encontramos con el siguiente repositorio de GitHub que nos mostraba un simple PoC de cómo intentar explotar el ShellShock.
Modificaremos el encabezado de User-Agent para inyectarle el siguiente código malicioso. Verificamos que en la respuesta por parte del servidor, hemos logrado la ejecución de comandos.
El siguiente paso, será lograr obtener una Reverse Shell para acceder al sistema. Nos pondremos en escucha con nc.
Inyectaremos el siguiente código malicioso en el User-Agent para establecernos la Reverse Shell.
Verificaremos que logramos acceder al sistema y visualizar la flag de user.txt.
Privilege Escalation
Abusing sudoers privilege (perl)
Revisaremos los grupos a los que forma parte el usuario shelly. Por otro lado, al verificar si disponíamos de permisos de sudoers, nos encontramos que tenemos la capacidad de ejecutar como sudo sin proporcionar credenciales el binario de /usr/bin/perl.
En la página de GTFOBins podemos encontrar diferentes maneras de cómo abusar de privilegios de binarios con sudoers. Nos encontramos la respectiva entrada del binario perl.
También, podemos realizar la misma consulta a través de la siguiente herramienta de searchbins que realiza la consulta de GTFOBins desde la misma terminal.
Realizamos la ejecución del comando que se nos proporciona en GTFOBins y finalmente logramos abusar del binario /usr/bin/perl como sudo y logramos el acceso a root. Finalmente, comprobamos la flag de root.txt.
Última actualización
¿Te fue útil?