PwnCity

Un environnement d'intégration continue TeamCity configuré de manière non sécurisée.
Travail en cours : Le code de déploiement arrive bientôt éventuellement .

Démo

Il peut y avoir plus d'un chemin à travers PwnCity, mais c'est celui que je présenterai le 24 février lors de la réunion du OWASP Sacramento Chapter.
Remarque : La sécurité opérationnelle est en grande partie ignorée ici car il s'agit d'une démo.

Accès initial

1. Scannez l'IP pour découvrir SSH et TeamCity nmap -Pn -p- 52.234.0.18.
   • Remarque : Il ne répondra pas à ICMP, donc nmap 52.234.0.18 le fait paraître mort.
   • Remarque : Si vous ne scannez que les 1000 premiers ports TCP, vous ratez TeamCity nmap -Pn 52.234.0.18.
2. Naviguez vers l'URL TeamCity http://52.234.0.18:8111.
3. Naviguez vers http://52.234.0.18:8111/registerUser.html pour créer un nouvel utilisateur bob, mot de passe bobhacks?.
   
4. En tant que bob, naviguez vers Projects > SimpleMavenSample > Build > Settings.

• Voyez que Parameters contient des identifiants.

5. Vérifiez si les identifiants sont réutilisés pour ssh [email protected], et connectez-vous en SSH en tant qu'utilisateur à faibles privilèges.

Depuis le point d'appui

Nous pourrions créer un tunnel depuis notre point d'appui initial. Savoir que RDP est ouvert sur deux agents de build nous permettrait de tenter de nous authentifier avec les identifiants que nous avons trouvés... mais ce n'est pas aussi amusant.

1. Explorez un peu le serveur TeamCity et récupérez le jeton de super utilisateur cat /home/dev/TeamCity/TeamCity/logs/teamcity-server.log | grep "Super user".
   
2. Connectez-vous maintenant en tant que Super User !
3. Créez un nouveau projet PwnAgent via Administration > Projects > Create project, et obtenez un shell sur les agents de build.
4. Modifiez l'étape de build pour qu'elle s'exécute Toujours, même si la commande d'arrêt du build a été émise, et modifiez ce qui suit :
   • Exécutable de commande : cmd.exe
   • Paramètres de commande : /c %system.teamcity.build.checkoutDir%/launcher.bat
   • Une fois que vous voyez comment cela fonctionne, vous comprenez comment l'exécution de code fonctionne ici, et vous pouvez la modifier pour faire ce que vous voulez.

Infrastructure d'attaque

• Kali Linux : VM sur la machine de l'opérateur.
• Ubuntu 20.04LTS : Empire Server

Laboratoire PwnCity

• Ubuntu 20.04 TeamCity
• Windows 10: BuildAgent01
• Windows 7: BuildAgent02
• Windows 10: Bruno-PC

Identifiants

Identifiants choisis dans rockyou.txt.

• bruno:AMOTEbruno84 (Windows)
• dev:Roblerino1995 (Windows/Linux)
• admin:aut0magic (TeamCity)

À faire

1. Déployer avec Terraform.
2. Installer des choses avec Ansible.
3. Variable CLI pour augmenter ou diminuer les défenses (un peu comme un niveau de difficulté).
4. À définir

Défenses

Sécurité des points de terminaison

PwnAgent01 a Microsoft Defender activé. Bien qu'il soit certainement encore possible de le contourner, l'étape de build malveillante que nous avons démontrée sera bloquée.

Notes d'administration

Cette section est simplement une collection d'extraits utiles à l'administration de l'environnement de laboratoire.

RDP vers les hôtes Windows

1. Depuis Kali, faites une redirection de port dynamique sur l'hôte TeamCity pour accéder aux ressources locales ssh -D 9050 [email protected].
2. RDP via Proxychains avec proxychains4 xfreerdp /u:dev /v:10.0.0.6:3389.

Références

1. Guide de durcissement TeamCity
2. TeamCity SuperUser
3. Pentest TeamCity
4. PwnCity Build Agent