PwnCity

Un ambiente di integrazione continua TeamCity configurato in modo insicuro.
Lavori in corso: Il codice di deployment arriverà presto ... prima o poi.

Demo

Potrebbe esserci più di un percorso attraverso PwnCity, ma questo è quello che presenterò il 24 febbraio all'incontro dell'OWASP Sacramento Chapter.
Nota: La sicurezza operativa è in gran parte ignorata qui, poiché si tratta di una demo.

Accesso Iniziale

1. Esegui una scansione dell'IP per scoprire SSH e TeamCity nmap -Pn -p- 52.234.0.18.
   • Nota: Non risponderà a ICMP, quindi nmap 52.234.0.18 lo fa sembrare spento.
   • Nota: Se scansionate solo le prime 1000 porte TCP, vi sfugge TeamCity nmap -Pn 52.234.0.18.
2. Vai all'URL di TeamCity http://52.234.0.18:8111.
3. Vai su http://52.234.0.18:8111/registerUser.html e crea un nuovo utente bob con password bobhacks?.
   
4. Come bob, vai su Projects > SimpleMavenSample > Build > Settings.

• Osserva che Parameters contiene delle credenziali.

5. Verifica se le credenziali vengono riutilizzate per ssh [email protected], e accedi via SSH come utente con privilegi minimi.

Dal Foothold

Potremmo creare un tunnel dal nostro foothold iniziale. Sapere che RDP è aperto su due build agent ci permetterebbe di provare ad autenticarci con le credenziali trovate... ma non è altrettanto divertente.

1. Esplora un po' il server TeamCity e cerca il token dell'utente super con cat /home/dev/TeamCity/TeamCity/logs/teamcity-server.log | grep "Super user".
   
2. Ora accedi come Super User!
3. Crea un nuovo progetto PwnAgent tramite Administration > Projects > Create project, e ottieni una shell sui build agent.
4. Modifica lo step di build in modo che venga eseguito Sempre, anche se è stato impartito il comando di stop della build, e modifica quanto segue:
   • Eseguibile del comando: cmd.exe
   • Parametri del comando: /c %system.teamcity.build.checkoutDir%/launcher.bat
   • Una volta capito come funzionano, comprendi come funziona l'esecuzione del codice qui, e puoi modificarlo per fare ciò che vuoi.
   • In alternativa, puoi evitare di usare file nel repository, lasciando il campo vuoto. Tutto il codice può essere inserito in uno step di build.

Infrastruttura d'Attacco

• Kali Linux: VM sulla macchina dell'operatore.
• Ubuntu 20.04LTS: Empire Server

Laboratorio PwnCity

• Ubuntu 20.04 TeamCity
• Windows 10: BuildAgent01
• Windows 7: BuildAgent02
• Windows 10: Bruno-PC

Credenziali

Credenziali scelte da rockyou.txt.

• bruno:AMOTEbruno84 (Windows)
• dev:Roblerino1995 (Windows/Linux)
• admin:aut0magic (TeamCity)

Da Fare

1. Deploy con Terraform.
2. Installare i componenti con Ansible.
3. Variabile CLI per aumentare o diminuire le difese (una specie di livello di difficoltà)
4. Da definire

Difese

Sicurezza degli Endpoint

PwnAgent01 ha Microsoft Defender abilitato. Sebbene sia sicuramente ancora possibile aggirarlo, lo step di build dannoso che abbiamo dimostrato verrà bloccato.

Note Amministrative

Questa sezione è solo una raccolta di frammenti utili durante l'amministrazione dell'ambiente di laboratorio.

RDP verso gli Host Windows

1. Da Kali, esegui un port forward dinamico sull'host TeamCity per accedere alle risorse locali ssh -D 9050 [email protected].
2. RDP tramite Proxychains con proxychains4 xfreerdp /u:dev /v:10.0.0.6:3389.

Riferimenti

1. TeamCity Hardening Guide
2. TeamCity SuperUser
3. Pentest TeamCity
4. PwnCity Build Agent