メイク・アンド・ブレイク

脆弱な仮想マシンを作成して悪用する

説明: Ubuntu 18.04.1 と Webmin 1.810 を実行するカスタム仮想マシンを構築しました。CVE-2019-15107 を使用して Linux システム管理インターフェースのバックドアを悪用します。

SSHサーバーのインストール

Webmin 1.890 のインストール

• デフォルトでポート10000で動作するユーザー名 (deathstart) とパスワード (readytograduate) を作成します
• webmin-1.890.tar.gz を https://sourceforge.net/projects/webadmin/files/webmin/ からダウンロードします
• ファイルを展開し、展開された Webmin フォルダ内で以下のコマンドを実行します
• <sudo ./setup.sh /usr/local/webmin>
• プロンプトが表示されたら、ユーザー deathstart のパスワードを入力します

Kali

• 偵察手順: Kali VM と Ubuntu VM は同じサブネット上にあります

• Kali で Ubuntu マシンに対して nmap スキャンを実行し、開いているポートとサービスを確認します
• ポート 10000 (ウェブサーバー) とポート 22 が開いていることに注目します。既知の欠陥を利用して、http ウェブサーバー (miniServ 1.890) であるポート 10000 を悪用し、リモートから接続できるようにします

• Metasploit でエクスプロイト 2019-15107 の未認証リモートコード実行を使用してルートアクセスを取得します
• Kali で msfconsole を開き、webmin を検索し、エクスプロイト unix/webapp/webmin_backdoor を使用します

• オプションを適宜設定 - RHOST, LHOST

• エクスプロイトを実行してシェルを取得します

• シェルを起動しようとしましたが、失敗しました。さらに、"root" であるにもかかわらずディレクトリを変更できません。しかし幸いなことに、ハッシュ化されたパスワードを含む /etc/shadow! ファイルを含むファイルを cat で表示したり、ディレクトリをリスト表示したりできます

• shadow ファイルと passwd ファイルの内容を shadows.txt と passwd.txt ファイルにコピーし、John the Ripper を使用してハッシュをクラックしました

• 両方のファイルを結合して John を使用するために、unshadow passwd.txt shadow.txt > password.txt と入力します
• すでに共通パスワードを含む独自のパスワードリスト (fullstack.txt) を作成しており、John と組み合わせてパスワードを取得します
• パスワードをクラックして明らかにするために、john --wordlist=fullstack.txt password.txt と入力します

• クラック成功、deathstart のパスワードは readytograduate です。このユーザーに SSH 接続するには ssh [email protected] と入力し、プロンプトが表示されたらパスワード readytograduate を入力します

この時点で、マシンを完全に侵害し、システムの制御を獲得しました。