PwnCity

Um ambiente de integração contínua TeamCity configurado de forma insegura.
Trabalho em andamento: Código de implantação chegando em breve eventualmente .

Demonstração

Pode haver mais de um caminho através do PwnCity, mas este é o que apresentarei em 24 de fevereiro na reunião do OWASP Sacramento Chapter.
Nota: A segurança operacional é amplamente ignorada aqui, pois isto é uma demonstração.

Acesso Inicial

1. Escaneie o IP para descobrir SSH e TeamCity nmap -Pn -p- 52.234.0.18.
   • Nota: Ele não responderá a ICMP, então nmap 52.234.0.18 faz parecer que está morto.
   • Nota: Se você escanear apenas as 1000 principais portas TCP, você perde o TeamCity nmap -Pn 52.234.0.18.
2. Navegue até a URL do TeamCity http://52.234.0.18:8111.
3. Navegue até http://52.234.0.18:8111/registerUser.html crie um novo usuário bob, senha bobhacks?.
   
4. Como bob, navegue até Projects > SimpleMavenSample > Build > Settings

• Veja que Parameters contém credenciais.

5. Verifique se as credenciais são reutilizadas para ssh [email protected], e faça ssh como usuário de baixo privilégio.

A Partir do Acesso Inicial

Poderíamos fazer tunelamento a partir do nosso acesso inicial. Saber que o RDP está aberto em dois agentes de build nos permitiria tentar autenticar com as credenciais que encontramos... mas isso não é tão divertido.

1. Explore um pouco o servidor TeamCity e confira o token do super usuário cat /home/dev/TeamCity/TeamCity/logs/teamcity-server.log | grep "Super user".
   
2. Agora faça login como Super Usuário!
3. Crie um novo projeto PwnAgent via Administration > Projects > Create project e obtenha um shell nos agentes de build.
4. Edite o passo de build para que ele execute Sempre, mesmo se o comando de parada do build for emitido, e modifique o seguinte:
   • Executável do comando: cmd.exe
   • Parâmetros do comando: /c %system.teamcity.build.checkoutDir%/launcher.bat
   • Ao ver como isso funciona, você entenderá como a execução de código funciona aqui e poderá modificá-lo para fazer o que quiser.
   • Alternativamente, você pode evitar usar arquivos no repositório, deixando-o em branco. Todo o código pode ser colocado em um passo de build.

Infraestrutura de Ataque

• Kali Linux: VM na máquina do operador.
• Ubuntu 20.04LTS: Empire Server

Laboratório PwnCity

• Ubuntu 20.04 TeamCity
• Windows 10: BuildAgent01
• Windows 7: BuildAgent02
• Windows 10: Bruno-PC

Credenciais

Credenciais escolhidas do rockyou.txt.

• bruno:AMOTEbruno84 (Windows)
• dev:Roblerino1995 (Windows/Linux)
• admin:aut0magic (TeamCity)

A Fazer

1. Implantar com Terraform.
2. Instalar coisas com Ansible.
3. Variável de CLI para ajustar as defesas para cima ou para baixo (meio que como um nível de dificuldade)
4. A definir

Defesas

Segurança do Endpoint

O PwnAgent01 tem o Microsoft Defender habilitado. Embora certamente ainda seja possível derrotá-lo, o passo de build malicioso que demonstramos será bloqueado.

Notas Administrativas

Esta seção é apenas uma coleção de trechos que foram úteis ao administrar o ambiente de laboratório.

RDP em Hosts Windows

1. Do Kali, faça um encaminhamento dinâmico de porta no host TeamCity para acessar recursos locais ssh -D 9050 [email protected].
2. RDP via Proxychains com proxychains4 xfreerdp /u:dev /v:10.0.0.6:3389.

Referências

1. Guia de Endurecimento do TeamCity
2. Super Usuário do TeamCity
3. Pentest TeamCity
4. Agente de Build do PwnCity