Durante el análisis de seguridad de la máquina CodePartTwo se identificaron las siguientes vulnerabilidades críticas:
/usr/bin/npbackup-cli para
escalada de privilegiosLos objetivos de aprendizaje clave en esta máquina incluyen:
El reconocimiento inicial se realizó utilizando Nmap para identificar puertos abiertos y servicios en ejecución.
❯ sudo nmap -p- --open -n -Pn -vvv -oG ports 10.10.11.82
❯ sudo nmap -p 22,8000 -sCV -oN services 10.10.11.82
Resultados:
La aplicación web ejecutándose en el puerto 8000 es una plataforma para ejecutar código JavaScript en línea.
Después de registrarse e iniciar sesión en la plataforma, exploré su funcionalidad.
El código fuente puede descargarse haciendo clic en Download App. La interfaz del dashboard muestra varias
funcionalidades disponibles.
Después de hacer clic en Download App, se descargó un archivo .zip y se extrajo
para análisis.
El archivo .db parece estar vacío en el paquete descargado.
Se identificaron las versiones de las tecnologías ejecutándose detrás de la aplicación web.
La investigación reveló una vulnerabilidad en la versión de js2py: CVE-2024-28397 - Sandbox Escape
Referencia: https://github.com/Marven11/CVE-2024-28397-js2py-Sandbox-Escape
El payload fue modificado para enviar una reverse shell. Después de hacer clic en Run Code mientras se escuchaba en el puerto
especificado, se recibió exitosamente una reverse shell.
Una vez dentro de la máquina, se recuperó información que estaba vacía en el archivo
.zip del servidor. Se encontró una contraseña hasheada en MD5 para el usuario marco.
La contraseña fue crackeada usando crackstation.net.
Dado que el servicio SSH está activo, se intentó la conexión usando las credenciales de marco.
❯ ssh marco@10.10.11.82
Se obtuvo la flag de usuario:
❯ cat user.txt
Se examinaron los permisos SUID y se reveló que npbackup-cli puede ejecutarse como root. Esta es una
herramienta de backup en línea de comandos.
En el mismo directorio, se encontró un archivo .conf propiedad de root.
El examen del archivo de configuración reveló una característica interesante: los comandos pueden ejecutarse antes de realizar el backup.
Dado que el archivo no era propiedad del usuario actual, se copió para permitir la modificación y adición de código para establecer una reverse shell.
En el puerto de escucha, se recibió la shell como root y se leyó exitosamente la flag de root.
1. JavaScript Execution Platform Security
2. Application Security
3. System Hardening
/usr/bin/npbackup-cli1. Access Controls
2. Code Execution Environment
3. Monitoring & Detection