{"id":179,"date":"2025-05-16T19:01:34","date_gmt":"2025-05-16T17:01:34","guid":{"rendered":"https:\/\/fromkiddietorobot.fr\/?p=179"},"modified":"2025-05-16T19:10:02","modified_gmt":"2025-05-16T17:10:02","slug":"startup","status":"publish","type":"post","link":"https:\/\/fromkiddietorobot.fr\/index.php\/2025\/05\/16\/startup\/","title":{"rendered":"Startup"},"content":{"rendered":"\n
\n

Abuse traditional vulnerabilities via untraditional means.<\/p>\n<\/blockquote>\n\n\n\n

\n

L’adresse IP de la victime peut \u00eatre amen\u00e9e \u00e0 changer, c’est normal je l’ai fait en deux fois<\/p>\n<\/blockquote>\n\n\n\n

Phase d’\u00e9num\u00e9ration<\/h2>\n\n\n\n

Pour commencer la box, rien de tel qu’un petit nmap sur l’adresse IP de la victime pour voir quels services tournent sur le serveur :<\/p>\n\n\n\n

\"\"
Ports ouverts : ftp, ssh, http<\/figcaption><\/figure>\n\n\n\n

On voit que le port FTP accepte les connexions anonymes, on peut donc essayer de se servir de \u00e7a pour voir ce qu’il contient.<\/p>\n\n\n\n

Phase d’exploitation<\/h2>\n\n\n\n
\"\"
Connexion au serveur FTP avec le combo : anonymous & pas de mot de passe<\/figcaption><\/figure>\n\n\n\n

On voit qu’il contient un dossier “ftp”, une image en .jpg et une fichier texte “notice.txt”, r\u00e9cup\u00e9rons le tout pour voir ce qu’ils contiennent plus tard.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Le dossier “ftp” ne contient rien, passons \u00e0 l’analyse des deux fichiers r\u00e9cup\u00e9r\u00e9s :<\/p>\n\n\n\n

\"\"
L’image “important.jpg” est un meme sur Among Us<\/figcaption><\/figure>\n\n\n\n
\"\"
Et dans la notice, on voit que quelqu’un se plaint de ces memes.<\/figcaption><\/figure>\n\n\n\n

Nous apprenons donc deux choses avec ce document texte, en premier lieu qu’ils h\u00e9bergent bien un site internet et en second lieu que nous pouvons t\u00e9l\u00e9charger des documents depuis leur site donc qu’il est bien actif.<\/p>\n\n\n\n

\n
\"\"
Page d’accueil du site<\/figcaption><\/figure>\n<\/figure>\n\n\n\n

Voyons voir quels sont les dossiers “cach\u00e9s” que nous pourrions d\u00e9couvrir sur le site :<\/p>\n\n\n\n

\"\"
Nous voyons seulement un \/files qui r\u00e9pond, d\u00e9couvrons ce qu’il contient :<\/figcaption><\/figure>\n\n\n\n
\"\"<\/figure>\n\n\n\n

Nous retrouvons la structure du serveur, essayons d’inclure un fichier sur le serveur qui nous permettrai de r\u00e9cup\u00e9rer un acc\u00e8s l\u00e9gitime au serveur<\/p>\n\n\n\n

Petit test avec un fichier ne contenant rien :<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Le fichier s’\u00e9tant bien import\u00e9, nous pouvons d\u00e9sormais essayer avec un fichier malicieux en .php contenant un reverse shell :<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n
\"\"<\/figure>\n\n\n\n

Comme nous retrouvons bien nos fichiers sur le site, exploitons la faille:<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n
\"\"<\/figure>\n\n\n\n

Je r\u00e9cup\u00e8re bien un acc\u00e8s, maintenant c’est reparti pour une phase de reconnaissance afin de rep\u00e9rer ce qui pourrait m’\u00eatre utile pour faire un mouvement lat\u00e9ral et r\u00e9cup\u00e9rer l’acc\u00e8s d’un utilisateur:<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n
\n
\n
\n
\"\"<\/figure>\n<\/figure>\n<\/div>\n<\/div>\n\n\n\n

Je r\u00e9cup\u00e8re le premier flag THM :<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Je cr\u00e9e un mini serveur web pour pouvoir r\u00e9cup\u00e9rer les diff\u00e9rents fichiers du dossier “incidents” vers ma machine attaquante :<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n
\"\"<\/figure>\n\n\n\n

Nous n’avons pu r\u00e9cup\u00e9rer que la recette et un fichier .pcapng mais pour l’instant voyons voir si le compte par d\u00e9faut peut faire une \u00e9l\u00e9vation de privil\u00e8ges en analysant le serveur avec linpeas :<\/p>\n\n\n\n

\"\"
Lancement du serveur python sur la machine attaquante<\/figcaption><\/figure>\n\n\n\n
\"\"
R\u00e9cup\u00e9ration du script sur la machine victime<\/figcaption><\/figure>\n\n\n\n
\"\"
Lancement du script linpeas.sh sur la machine victime<\/figcaption><\/figure>\n\n\n\n

Apr\u00e8s analyse du r\u00e9sultat du script, je n’ai rien trouv\u00e9 de facilement exploitable, voyons voir si une autre solution est possible.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

En me baladant sur le serveur je d\u00e9couvre qu’un utilisateur du serveur a pour nom “lennie”, voyons voir si je trouves d’autres choses pour pouvoir faire mon mouvement lat\u00e9ral :<\/p>\n\n\n\n

Je tente de regarder ce qui se trouve dans le fichier suspicious.pcapng<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Je comprends donc qu’un ancien attaquant est d\u00e9j\u00e0 par l\u00e0 et a tent\u00e9 de rentrer sur le serveur en utilisant un mot de passe non fonctionnel pour le compte “www-data”.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Je tente na\u00efvement de rentrer sur le serveur en tapant le mot de passe pr\u00e9c\u00e9demment trouv\u00e9 avec le nom d’utilisateur “lennie” :<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Cela a fonctionn\u00e9, j’ai r\u00e9ussi mon mouvement lat\u00e9ral et peut donc r\u00e9cup\u00e9rer mon second flag :<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n
\"\"<\/figure>\n\n\n\n

Passons maintenant \u00e0 la phase d’\u00e9l\u00e9vation de privil\u00e8ges avec toutes les informations que je d\u00e9tiens.<\/p>\n\n\n\n

Phase d’\u00e9l\u00e9vation de privil\u00e8ges<\/h2>\n\n\n\n

Dans son dossier home, j’observe un sous-dossier nomm\u00e9 “scripts”, allons voir ce qu’il contient :
On voit qu’il y a un script nomm\u00e9 “planner.sh” donc suppos\u00e9ment un script qui tourne de mani\u00e8re planifi\u00e9, regardons ce qu’il ex\u00e9cute :<\/p>\n\n\n\n

\"\"
Il rentre la variable LIST dans le document texte startup_list.txt et ex\u00e9cute le script ‘print.sh’ <\/figcaption><\/figure>\n\n\n\n

Le document texte ‘startup_list.txt’ ne contient rien.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

En revanche on voit que le script ‘print.sh’ ex\u00e9cute des commandes bash, nous pouvons potentiellement nous en servir pour refaire un reverse shell mais dans un environnement root.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n
\"\"
Nous avons bien les droits de modification, \u00e9tant le propri\u00e9taire du fichier.<\/figcaption><\/figure>\n\n\n\n

Pr\u00e9paration reverse bash :<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n
\"\"
Le script est bien modifi\u00e9.<\/figcaption><\/figure>\n\n\n\n

Apr\u00e8s avoir attendu une minute, j’ai bien un retour du reverse dans l’environnement root.
Je me sers du full TTY (https:\/\/hacktricks.boitatech.com.br\/shells\/shells\/full-ttys<\/a>) pour avoir un environnement fiable dans lequel \u00e9voluer.<\/p>\n\n\n\n

\"\"
Apr\u00e8s avoir mis la commande “id” je remarque que je suis bien root.<\/figcaption><\/figure>\n\n\n\n

Gr\u00e2ce \u00e0 \u00e7a je peux r\u00e9cup\u00e9rer mon dernier flag et terminer la box.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n
\"\"<\/figure>\n\n\n\n

GG !<\/p>\n","protected":false},"excerpt":{"rendered":"

Abuse traditional vulnerabilities via untraditional means.<\/p>\n","protected":false},"author":3,"featured_media":180,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[7],"tags":[],"class_list":["post-179","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-ctf"],"_links":{"self":[{"href":"https:\/\/fromkiddietorobot.fr\/index.php\/wp-json\/wp\/v2\/posts\/179","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/fromkiddietorobot.fr\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/fromkiddietorobot.fr\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/fromkiddietorobot.fr\/index.php\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/fromkiddietorobot.fr\/index.php\/wp-json\/wp\/v2\/comments?post=179"}],"version-history":[{"count":10,"href":"https:\/\/fromkiddietorobot.fr\/index.php\/wp-json\/wp\/v2\/posts\/179\/revisions"}],"predecessor-version":[{"id":246,"href":"https:\/\/fromkiddietorobot.fr\/index.php\/wp-json\/wp\/v2\/posts\/179\/revisions\/246"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/fromkiddietorobot.fr\/index.php\/wp-json\/wp\/v2\/media\/180"}],"wp:attachment":[{"href":"https:\/\/fromkiddietorobot.fr\/index.php\/wp-json\/wp\/v2\/media?parent=179"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/fromkiddietorobot.fr\/index.php\/wp-json\/wp\/v2\/categories?post=179"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/fromkiddietorobot.fr\/index.php\/wp-json\/wp\/v2\/tags?post=179"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}