PwnCity

安全でない構成のTeamCity継続的インテグレーション環境です。
作業中: デプロイコードは ~~まもなく~~ いずれ公開予定です。 rafal-urbanski-shot-08

デモ

PwnCityには複数の攻略経路があるかもしれませんが、これは2月24日にOWASP Sacramento Chapterのミーティングで私が発表する予定の経路です。
注記: これはデモのため、ここでは作戦セキュリティはほぼ無視されています。

IPをスキャンしてSSHとTeamCityを発見する nmap -Pn -p- 52.234.0.18。
- 注: ICMPに応答しないため、nmap 52.234.0.18 では停止しているように見える。
- 注: 上位1000 TCPポートだけをスキャンするとTeamCityを見逃す nmap -Pn 52.234.0.18。
TeamCityのURL http://52.234.0.18:8111 を開く。
http://52.234.0.18:8111/registerUser.html に移動し、新しいユーザー bob、パスワード bobhacks? を作成する。
bob として Projects > SimpleMavenSample > Build > Settings に移動する

最初の足掛かりからトンネルを張ることもできます。2台のビルドエージェントでRDPが開放されていることがわかれば、見つけた資格情報を使って認証を試みることもできます...しかし、それはあまり面白くありません。

TeamCityサーバーを少し調査し、スーパーユーザートークンを確認する cat /home/dev/TeamCity/TeamCity/logs/teamcity-server.log | grep "Super user"。
ここでスーパーユーザーとしてログインしましょう!
Administration > Projects > Create project から新しいプロジェクト PwnAgent を作成し、ビルドエージェントでシェルを取得する。
ビルドステップを編集して 常に実行（ビルド停止コマンドが発行された場合でも） となるようにし、以下を変更します:
- コマンド実行ファイル: cmd.exe
- コマンドパラメータ: /c %system.teamcity.build.checkoutDir%/launcher.bat
- これらの動作がわかれば、ここでのコード実行の仕組みを理解でき、好きなように変更できます。
- あるいは、リポジトリ内のファイルを使わずに空のままにすることもできます。すべてのコードをビルドステップに詰め込めます。

資格情報は rockyou.txt から選択されました。

PwnAgent01ではMicrosoft Defenderが有効になっています。これを回避することは確かに可能ですが、私たちが実演した悪意のあるビルドステップはブロックされます。
blocked0

blocked

bruno_edr

このセクションは、ラボ環境を管理する際に役立ったスニペットを集めたものです。

Kaliから、ローカルリソースにアクセスするために TeamCity ホスト上で動的ポートフォワードを実行する ssh -D 9050 [email protected]。
Proxychainsを介してRDP接続する proxychains4 xfreerdp /u:dev /v:10.0.0.6:3389。