PwnCity

بيئة تكامل مستمر TeamCity مهيأة بشكل غير آمن.
قيد التقدم: كود النشر سيأتي قريباً في النهاية.

العرض التوضيحي

قد يكون هناك أكثر من مسار عبر PwnCity، لكن هذا هو المسار الذي سأقدمه في 24 فبراير في اجتماع OWASP Sacramento Chapter.
ملاحظة: يتم تجاهل الأمن العملياتي إلى حد كبير هنا لأن هذا عرض توضيحي.

الوصول الأولي

1. افحص عنوان IP لاكتشاف SSH و TeamCity nmap -Pn -p- 52.234.0.18.
   • ملاحظة: لن يستجيب لـ ICMP، لذا فإن nmap 52.234.0.18 يجعله يبدو ميتًا.
   • ملاحظة: إذا قمت بفحص أفضل 1000 منفذ TCP فقط، فستفقد TeamCity nmap -Pn 52.234.0.18.
2. تصفح إلى عنوان TeamCity URL http://52.234.0.18:8111.
3. انتقل إلى http://52.234.0.18:8111/registerUser.html وأنشئ مستخدمًا جديدًا bob، وكلمة المرور bobhacks?.
   
4. كمستخدم bob انتقل إلى Projects > SimpleMavenSample > Build > Settings

• لاحظ أن Parameters يحتوي على بيانات اعتماد.

5. تحقق مما إذا كانت بيانات الاعتماد مُعاد استخدامها لـ ssh [email protected]، ثم ادخل عبر ssh كمستخدم منخفض الامتياز.

من نقطة الارتكاز

يمكننا إنشاء نفق من نقطة الارتكاز الأولية لدينا. إن معرفة أن RDP مفتوح على عاملي بناء اثنين سيسمح لنا بمحاولة المصادقة عبر بيانات الاعتماد التي وجدناها... لكن هذا ليس ممتعًا بنفس القدر.

1. استكشف خادم TeamCity قليلاً وتحقق من رمز المستخدم المتميز cat /home/dev/TeamCity/TeamCity/logs/teamcity-server.log | grep "Super user".
   
2. الآن سجّل الدخول كـ Super User!
3. أنشئ مشروعًا جديدًا PwnAgent عبر Administration > Projects > Create project، واحصل على شل على عاملي البناء.
4. عدّل خطوة البناء بحيث يتم تنفيذها دائمًا، حتى لو تم إصدار أمر إيقاف البناء، وعدّل ما يلي:
   • الأمر التنفيذي: cmd.exe
   • معلمات الأمر: /c %system.teamcity.build.checkoutDir%/launcher.bat
   • بمجرد أن ترى كيف تعمل هذه الأشياء، ستفهم كيف يعمل تنفيذ الكود هنا، ويمكنك تعديله لفعل ما تريد.
   • بدلاً من ذلك، يمكنك تجنب استخدام الملفات في المستودع وتركه فارغًا. يمكن وضع كل الكود في خطوة بناء.
     

البنية التحتية للهجوم

• Kali Linux: جهاز افتراضي على جهاز المشغّل.
• Ubuntu 20.04LTS: خادم Empire

مختبر PwnCity

• Ubuntu 20.04 TeamCity
• Windows 10: BuildAgent01
• Windows 7: BuildAgent02
• Windows 10: Bruno-PC

بيانات الاعتماد

بيانات الاعتماد مختارة من rockyou.txt.

• bruno:AMOTEbruno84 (Windows)
• dev:Roblerino1995 (Windows/Linux)
• admin:aut0magic (TeamCity)

قائمة المهام

1. النشر باستخدام Terraform.
2. تثبيت الأشياء باستخدام Ansible.
3. متغير CLI لضبط الدفاعات أو خفضها (نوعًا ما مثل مستوى الصعوبة)
4. سيُحدد لاحقًا

الدفاعات

أمان نقطة النهاية

PwnAgent01 لديه Microsoft Defender مفعّل. على الرغم من أنه من الممكن بالتأكيد التغلب على هذا، فإن خطوة البناء الخبيثة التي عرضناها سيتم حظرها.

ملاحظات إدارية

هذا القسم مجرد مجموعة من المقتطفات التي كانت مفيدة عند إدارة بيئة المختبر.

RDP إلى مضيفات Windows

1. من Kali، قم بعمل إعادة توجيه منفذ ديناميكية على مضيف TeamCity للوصول إلى الموارد المحلية ssh -D 9050 [email protected].
2. اتصل عبر RDP بواسطة Proxychains باستخدام proxychains4 xfreerdp /u:dev /v:10.0.0.6:3389.

المراجع

1. دليل تحصين TeamCity
2. TeamCity SuperUser
3. Pentest TeamCity
4. وكيل بناء PwnCity