Pilgrimage

Durante la fase di enumerazione ho riscontrato due servizi esposti: SSH e HTTP (Nginx). Analizzando il servizio HTTP, ho scoperto l'esistenza di una cartella nascosta “.git”, che probabilmente contiene il progetto web.

Ho provato a cercare delle sottocartelle tramite FUZZ ma non ho avuto grande successo.
Scarico la cartella git e vedo cosa posso trovare al suo interno:

Accedendo al sito, possiamo osservare un modulo di caricamento file che richiede un'immagine. Quando viene caricata un'immagine, viene generato un collegamento nel percorso "/", che ridimensiona l'immagine.

Analizzando il codice si può osservare che gestisce il caricamento e il ridimensionamento delle immagini sul sito, verifica inoltre se l'utente è autenticato e restituisce il proprio nome utente.
Se la richiesta è un metodo POST e un'immagine viene inviata per il ridimensionamento, il codice elabora l'immagine, la salva in una posizione specifica e registra le informazioni in un database. Successivamente, l'utente viene reindirizzato a una pagina che visualizza un messaggio di successo o fallimento in base al risultato del processo.

È importante ricordare che il codice utilizza ImageMagick, in particolare il comando “magick convert”, per eseguire il ridimensionamento del file caricato e salvarlo nel percorso /shrunk.

verificando il binario ImageMagick ho notato che è la versione 7.1.0–49, che presenta una vulnerabilità nota chiamata "Lettura file arbitraria", è possibile approfondire a questo link https://www.metabaseq.com/imagemagick-zero-days/. Questa vulnerabilità consente a un utente malintenzionato di leggere i file di sistema.

Utilizzando il seguente codice: https://github.com/voidz0r/CVE-2022-44268 ho generato un'immagine che potesse estrapolare il file /etc/passwd:

Grazie a questo file riusciamo a capire che esiste un utente emily che potrebbe esserci utile. Analizzando il file dashboard.php troviamo delle query su un database SQLite situato in /var/db/pilgrimage.

Rieseguo cargo per ottenere l'accesso ssh dell'utente emily.

cargo run "/var/db/pilgrimage"

 Prima flag catturata: 576..........................9cd

Adesso verifico che privilegi ha l'utente con il comando sudo -l, ma l'utente non ha privilegi.

Facendo un controllo ho trovato un processo sospetto con UID 0 (root) che potrebbe potenzialmente essere il nostro percorso per ottenere l'accesso root.

Lo script monitora la directory /var/www/pilgrimage.htb/shrunk/ per i file appena creati e li analizza per individuare contenuti indesiderati utilizzando binwalk. Se trova contenuto indesiderato in un file, lo rimuove automaticamente.
Dopo aver controllato ho notato che presenta la seguente vulnerabilità: CVE-2022-4510. Così possiamo utilizzare il seguente script https://github.com/electr0sm0g/CVE-2022-4510 per provare l'escalation.

Prima di tutto attivo nc sul mio pc in modo da restare in ascolto sulla porta 1337.

Successivamente carico il file py per l'escalation sulla macchina target e creo un'immagine fake con il comando:

Una volta generata l'immagine mi basterà spostarla nella cartella /var/www/pilgrimage.htb/shrunk/ e avremo l'accesso root.

Flag root: 712..........................96c