Last updated
Ejecuté un ping para ver la conectividad con la maquina victima.
Luego realicé un escaneo tanto de puertos, como de servicios y versiones de estos y por ultimo un escaneo de vulnerabilidades.
Finalizando los escaneos observé que tengo 4 puertos abiertos: 22 (ssh), 53 (dns), 80 (http), y 8000 (http).
Como no tengo credenciales no puedo acceder al puerto 22 ssh, el puerto 53 no me devuelve nada interesante, luego me centro en el servidor web que corre por el puerto 80.
Ejecuté un whatweb para ver las tecnologías que están corriendo en el sitio web.
Una vez terminado me traslade a la web donde me tope con un CMS llamado Mezzanine (también lo puedo ver en el escaneo de nmap). Realice un reconocimiento de la web, use wappalyzer para ver las tecnologías que corren por la web.
Dentro del reconocimiento encontré un panel de inicio de sesión, que probando credenciales por defecto no tuve acceso.
Como metodología busque si este CMS tiene alguna vuln.
Searchsploit en su db contiene una vuln para la versión 4.2 cosa de que todavía no tengo la versión del CMS.
Volví a leer los informes de nmap donde observe que al ejecutar el análisis de vulnerabilidad apareció un puerto interesante el "4506".
Ejecuté nuevamente el escaneo de puertos bajándole el min-rate y observé que tengo 2 puertos mas abiertos "4506+4505".
Realize un breve reconocimiento para ver que es lo que esta corriendo en esos puertos.
Ahora al tener los servicios pase a buscar alguna vuln de esos servicios donde me tope con lo sigueinte.
Según este exploit puedo realizar lectura de archivos como usuario root, como también cargar archivos de forma remota.
Este exploit requiere la instalación de salt así que me abro un terminal virtual para instalarlo.
Me guie a través del PoC para ver los comando a utilizar y luego veo si puedo leer el archivo /etc/passwd y el /etc/shadow ya que según el exploit lo realizo como root.
Según el exploit tengo una función llamada "--exec" esta la use para ejecutar comandos, aprovechando de esta función voy a realizar una conexión hacia mi maquina atacante realizando una revershell.
Al ejecutar el comando veo que mi conexión fue exitosa logeandome como root.
Para tener en cuenta: al enviar la shell si le agrego las ()""() no me va interpretar el comando.
También encontré que en el puerto 8000 hay una vuln relacionado con la vuln anterior En el apartado salt-api posee una vulnerabilidad que al buscarla se llama "saltstack 3000.1" donde se ejecuta el mismo CVE usado anteriormente.
