Make-and-Break

Créer et exploiter une machine virtuelle vulnérable

Description : Construit une machine virtuelle personnalisée, fonctionnant sous Ubuntu 18.04.1 et Webmin 1.810. Utilisation de CVE-2019-15107 pour exploiter une porte dérobée dans l'interface d'administration système Linux

PREUVE DE CONCEPT
Le système d'exploitation Linux (Ubuntu 18.04.1) sera déployé avec des failles de sécurité qui permettront à un attaquant de compromettre le système jusqu'au niveau root.

Installation du serveur SSH

Installer Webmin 1.890

• Créer un nom d'utilisateur (deathstart) et un mot de passe (readytograduate) servant sur le port 10000 par défaut
• Télécharger webmin-1.890.tar.gz depuis https://sourceforge.net/projects/webadmin/files/webmin/
• Extraire le fichier et exécuter les commandes suivantes dans le dossier Webmin extrait
• <sudo ./setup.sh /usr/local/webmin>
• Saisir le mot de passe de l'utilisateur deathstart lorsqu'il est demandé

Kali

• Étapes de reconnaissance : les VM Kali et Ubuntu sont sur le même sous-réseau

• Dans Kali, effectuer un scan nmap de la machine Ubuntu, vérifier les ports et services ouverts
• Remarquer que le port 10000 est ouvert (un serveur web) ainsi que le port 22. Nous allons tenter d'exploiter le port 10000, un serveur web http (miniServ 1.890) en utilisant une faille connue, qui nous permet de nous y connecter à distance

• Nous utilisons l'exploit 2019-15107 (Exécution de code à distance non authentifiée) dans Metasploit pour obtenir un accès root.
• Ouvrir msfconsole sur Kali, rechercher webmin, et utiliser exploit unix/webapp/webmin_backdoor

• Configurer les options en conséquence - RHOST, LHOST

• Exécuter l'exploit et obtenir un shell

• Nous avons essayé de lancer notre shell mais sans succès. De plus, nous ne pouvons pas changer de répertoire même si nous sommes "root", mais heureusement nous pouvons afficher les fichiers (cat) et lister les répertoires, y compris le fichier /etc/shadow! qui contient les mots de passe hachés

• Nous avons copié le contenu du fichier shadow et du fichier passwd dans un fichier shadows.txt et passwd.txt, puis nous avons procédé au craquage du hash avec John the Ripper

• Taper unshadow passwd.txt shadow.txt > password.txt pour combiner les deux fichiers et utiliser John
• Nous avons déjà créé notre propre liste de mots de passe (fullstack.txt) avec des mots de passe courants, que nous utiliserons avec John pour obtenir le mot de passe
• Taper john --wordlist=fullstack.txt password.txt pour craquer et révéler le mot de passe

• Craquage réussi, le mot de passe pour deathstart est readytograduate. SSH vers cet utilisateur avec ssh deathstart@192,168.44.132 et saisir le mot de passe readytograduate lorsque demandé

À ce stade, nous avons complètement compromis la machine et pris le contrôle du système.