Make-and-Break

Создайте и эксплуатируйте уязвимую виртуальную машину

Описание: Собрана пользовательская виртуальная машина на базе Ubuntu 18.04.1 и Webmin 1.810. Использование CVE-2019-15107 для эксплуатации бэкдора в интерфейсе администрирования Linux

Установка SSH-сервера

Установка Webmin 1.890

• Создайте пользователя (deathstart) и пароль (readytograduate), работающий по умолчанию на порту 10000
• Загрузите webmin-1.890.tar.gz с https://sourceforge.net/projects/webadmin/files/webmin/
• Распакуйте файл и выполните следующие команды в распакованной папке Webmin
• <sudo ./setup.sh /usr/local/webmin>
• При запросе введите пароль для пользователя deathstart

Kali

• Этапы разведки: ВМ Kali и ВМ Ubuntu находятся в одной подсети

• В Kali выполните сканирование nmap для машины Ubuntu, проверьте открытые порты и сервисы
• Обратите внимание, что открыт порт 10000 (веб-сервер) и порт 22. Мы попробуем эксплуатировать порт 10000, http-веб-сервер (MiniServ 1.890), используя известную уязвимость, которая позволяет удалённо подключаться к нему

• Используем эксплойт 2019-15107 Unauthenticated Remote Code Execution в Metasploit для получения root-доступа
• Откройте msfconsole в Kali, выполните поиск webmin и используйте exploit unix/webapp/webmin_backdoor

• Установите соответствующие параметры — RHOST, LHOST

• Запустите эксплойт и получите оболочку

• Мы пытались породить свою оболочку, но безуспешно. Кроме того, мы не можем менять каталоги, хотя мы «root», но, к счастью, можем читать файлы и выводить каталоги, включая файл /etc/shadow!, содержащий хэшированные пароли

• Мы скопировали содержимое файлов shadow и passwd в файлы shadows.txt и passwd.txt и приступили к взлому хэша с помощью John the Ripper

• Введите unshadow passwd.txt shadow.txt > password.txt, чтобы объединить оба файла и использовать John
• Мы уже создали собственный список паролей (fullstack.txt) с часто встречающимися паролями, который будем использовать с John для получения пароля
• Введите john --wordlist=fullstack.txt password.txt, чтобы выполнить взлом и раскрыть пароль

• Взлом успешен, пароль для deathstart — readytograduate. Подключитесь по SSH к этому пользователю: ssh deathstart@192,168.44.132 и введите пароль readytograduate при запросе

На данный момент мы полностью скомпрометировали машину и получили контроль над системой.