פריצה למכונה וירטואלית בשם Popcorn באתר HackTheBox
פרקי ההרצאה: פריצה למכונה וירטואלית בשם Popcorn באתר HackTheBox
תמלול ההרצאה: פריצה למכונה וירטואלית בשם Popcorn באתר HackTheBox
הטקסט המלא של הדקות הראשונות בהרצאה «פריצה למכונה וירטואלית בשם Popcorn באתר HackTheBox» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם, ברוכים הבאים להרצאה על פריצה למכונה וירטואלית שנקראת פופקורן זה שם של מכונה שנמצאת בתוך התא Hack the Box Hack the Box זאת חברה שנותנת לנו להתחבר למכונות הווירטואליות שלהם ולפרוץ אותם בכל מכונה יש את החולשות שימו לב, יש פה דרגת קושי ושמות של מכונות ואנחנו רואים שזאת מכונה רטיירד, זה אומר שיש
לה כבר גרסה חדשה זאת מכונה שפרשה לגמלאות, אנחנו עדיין נתקוף אותה מכונה שנקראת פופקורן וכדי להתחיל לתקוף אנחנו צריכים להתחבר ב-VPN לתוך הרשת שלהם בתוך הרשת ההיא יש הרבה מכונות וירטואליות ולשם כך יש לנו VPN חיבור VPN לתוך הרשת הפנימית שלהם יש הוראות מדויקות איך עושים את זה אבל לפני שנתחבר לתוך הרשת הפנימית שלהם עם
ה-VPN בואו נעשה טרמינל את החלון השחור הזה יותר נוח שיהיו לו טאבים למטה ונוכל לעבור בין כמה טאבים יהיה לנו במסך סדר כי יהיה לנו כמה טרמינלים פתוחים במקביל אבל יחד עם זאת לא יהיה לנו בלאגן כי יהיה לנו הכל בטאבים שימו לב נהיה לנו פה טאב 0 ויש לו שם ברירת מרדל bash שם דיפולטי מה שעושה את הטאבים האלה זאת תוכנת tmax
אז אנחנו כותבים tmax rename window מחליפים את השם של החלון שלא יהיה שם bash כתוב אלא נניח vpn זאת סתם כותרת לחלון הזה, לטאב הזה, כי אני הולך להריץ בטאב הזה תוכנת VPN והיא צריכה להישאר כל הזמן פתוחה.
עכשיו פתחנו טאב חדש ויש לנו שני טאבים. אנחנו מריצים את התוכנת OpenVPN עם השם של קובץ ההגדרות. לפני שמריצים אפשר לבדוק שיש לנו רק שני כרטיסי רשת, אבל ברגע שהרצנו את ה-OpenVPN עם קובץ ההגדרות ויש לנו סקוונס קומפליטד, אומר שהוא התחבר אנחנו משאירים את התוכנה פתוחה
ועוברים לטאב השני ובאף קונפיג רואים שנהיה לנו איי פי חדש נהיה לנו כרטיס רשת חדש שמחובר ישירות לרשת הפנימית של האק דה בוקס זה בעצם הפלא שעושה vpn ועכשיו אנחנו כאילו שמה נמצאים ויכולים לשלוח את כל הפאקטים ישירות לרשת הפנימית אז יש לנו חלון עם vpn פתוח הטאב הראשון עכשיו אנחנו בטאב השני בטאב השני אנחנו נקרא לו nmap כי אנחנו נריץ סריקה על
הרשת בטאב השני שלנו הטאב הראשון אסור לי לסגור אותו שימו לב הוא פתוח הוא נשאר פתוח אחרת אני אתנתק מ-vpn ואנחנו נריץ עכשיו nmap מה עושה nmap סורק את כל הפורטים ובודק באיזה פורט אני יכול להתחבר לתוך המכונה הווירטואלית הזאת איך אני יכול לדבר איתה בכלל ומה עומד מאחורי הפורט הזה אנחנו רוצים שאת כל התוצאות הוא ייתן לנו לקובץ טקסט
לא סתם על המסך לקובץ טקסט, אנחנו ניתן לקובץ איזה שם שתמיד נוכל לראות את זה. ניתן לזה שם nmap, הקובץ יקרא nmap, זה יהיה שם הקובץ, ואומרים לו לסרוק את ה-IP של המכונה.
אפשר לראות מה יש לנו בתוך הקובץ, יש לנו למעשה תוצאות של סריקה. ומה אנחנו רואים? שפורט 80 של ווב ופורט 22 הם שני הפורטים היחידים שפתוחים. זה אומר שאני יכול להתחבר למכונה הזאת או ב-SSH בפורט 22, או בפורט 80 ב-HTTP לתוך אפאצ'י.
זה שני הצורות היחידות שאני יכול לדבר עם המכונה הזאת מרחוק. בואו נתחבר ב-HTTP ואנחנו רואים שיש פה אתר אינטרנט נורא פשוט שאין בו כלום בכלל. אין לנו אפילו במה להתאפס. היינו רוצים להתאפס במשהו שאפשר לעלות משם, משהו שאפשר לשלוח לשם איזושהי פקודה, לבחור משהו.
בואו ננסה לראות האם יש משהו מאחורי הקלעים, מה בדיוק נשלח לשרת. כשאנחנו נכנסים, אנחנו רוצים לראות מה הקליינט, מה הדפדפן שולח לשרת ובשביל זה אנחנו מפעילים תוכנת בורפ שעובדת כמו פרוקסי שתופסת את כל התקשורת ביני לבין השרת.
אז הבורפ הזה יושב על כרטיס רשת, מאזין לכל התקשורת, הוא שרת פרוקסי, אנחנו רואים שהוא תפס פאקט, לחצנו לו ל-intercept is on והוא תופס לנו פאקטים שנשלחים מהדפדפן לשרת ואנחנו יכולים לראות בדיוק מה הוא שולח.
לדוגמה, הוא שולח שם של פוסט, למי הוא מתחבר. בואו ננסה לשנות אותו למשהו אחר, לראות האם הוא יגיב למשהו אחר. נניח, hack the box.
זאת אומרת, כאילו אנחנו מבקשים popcorn.hack the box, שולחים, אין שום דבר מיוחד. ניסיתי, אולי זה היה עובד.
טוב, בואו נפעיל עכשיו את הכלי שנקרא DRB, שהכלי הזה מראה לי את ה-בפנוכו של האתר, כל התתי תיקיות שקיימות הוא מנסה לבדוק מה עוד קיים בתוך האתר כי האינדקס הזה העמוד הראשי הזה לא באמת עוזר לי אנחנו כותבים לו db.http ואת השם של האתר ומינוס r שלא יהיה רקורסיבי שלא ייכנס בתוך תתי תיקיות לתתי תתי תיקיות רק ברמה הראשית ברמת הרוט אני רוצה לראות מה יש בתוך האתר הזה כי יש לי או לפרוץ ב-http או לפרוץ
ב-ssh וישים את כל הפלט שלו לתוך קובץ למקרה שיסגר לי הטרמינל אני רוצה את כל הפלט שלו בקובץ שנקרא tmpdb אתם יכולים לתת כל שם והנה הוא מתחיל סריקה לוקח לו קצת זמן כי זה למעשה שיטה של ניסוי וטעייה הוא מנסה לבקש ולראות מה השרת מגיב לו כי השרת לא מוכן לחשוף את מה שיש לו באמת רק אם אתה יודע מה אתה מחפש אז אנחנו יכולים לראות
פה שהוא מצא כמה דברים לדוגמה קובץ טסט שיש בתוכו גרסה של PHP, זה PHP אינפו, זה אומר שבתוך השרת מאחורי הקלעים רץ PHP, אם אנחנו נצטרך את זה בעתיד, נזכור את זה, נרשום לנו בצד.
ומה עוד אנחנו רואים? שיש לנו פה דירקטורי, תיקייה שנקראת טורנט, ובתוך התיקייה הזאת יש טורנט הוסטר, שרת שמארח טורנטים. זה מצוין. למה זה מצוין? כי אני רואה שיש פה לוגין, סורץ', יש פה כל מיני אפלוד, פורומים, שהמשתמש יכול לתקשר עם האתר לשלוח לו כל מיני
דברים לעשות ואולי אפשר לנצל sql injection נתחיל בזה שנבדוק את הדאטה בייס של כל האקספלויטים של כל חולשות האבטחה הידועות search exploit ונרשום את השם של השרת טורנט הוסטר נכון זה מה שהיה בכותרת שימו לב למעלה בכותרת טורנט הוסטר אני אומר תראה לי את כל החולשות הידועות של טורנט הוסטר והנה הוא מראה לי שכבר ידוע שיש בו חולשה.
אנחנו עכשיו נחקור את החולשה הזאת, כי אנחנו צריכים להשתמש בה בשביל לפרוץ פנימה. ואנחנו יכולים לראות פה הסבר על החולשה ואיך מנצלים אותה.
הנושא של הגרסאות מאוד חשוב, כי הם מתקנים בחורי אבטחה וחולשות אבטחה, ואני צריך לראות שהחולשה שלי היא לא ישנה מדי. יכול להיות שהחולשה הזאת מתייחסת לגרסה ישנה וכבר תיקנו אותה, וזה מה שצריך לבדוק.
בואו ננסה לקרוא עליה באתר ה-Web שלהם. יש להם אתר Web ואנחנו רואים שהיא מ-2010 והאתר הוא מ-2007. זה אומר שהגרסה של 2007 עדיין חשופה. שימו לב, האתר מגרסת 2007 והניצול של החולשה הוא מ-2010.
טוב, אנחנו שולחים בלוגין שם וסיסמה, עושים כניסה סתם עם שם מזויף, רק בשביל לראות בפרוקסי שלנו בדורפ איך בדיוק הבקשה נשלחת לשרת.
אנחנו כאילו נכנסים בתקשורת בין הדפדפן לשרת, לראות בדיוק מה הדפדפן שולח לשרת. טוב, אני מעביר את כל ה-request הזה, את כל הבקשה הזאת לתוך-vi, ויש לנו עכשיו קובץ לוגן request עם הבקשה שנשלחה לשרת, ואפשר להריץ sql map, שזה כלי שבודק האם יש חורי אבטחה ידועים של sql injection,
להתבסס על קובץ הבקשה שניתן לו. זאת אומרת, אני אומר לו, SQLMap תבדוק לי את כל פרצות האבטחה הידועות, וכל פעם תנסה לשחק עם הקובץ Login Request כבסיס שלך להתקפה.
אני מגדיר לו את ה-level, עד כמה שאני מוכן לקחת סיכון בבדיקות שאני אחשף, כמה זה יכול להיות אגרסיבי, כמה שהבדיקות יכולות להיות חוצפניות מבחינת לנסות כל מיני דברים, והכלי הזה מתחיל לרוץ ומתחיל לנסות כל מיני פריצות ידועות של SQL Injection.
אנחנו בינתיים ניתן לו לעבוד עד שהוא מנסה פה. אנחנו נירשם בתורן הוסטר הזה וננסה להיכנס מבפנוכו כמו משתמש מורשה, אולי יש לו יותר אופציות, יותר אפשרויות.
אנחנו צריכים להיתפס במשהו שהיוזר מבצע והשרת מגיב לביצוע, ואז נזייף לו את הפקודה לביצוע במקום מה שאמור להיות, שיעשה פקודות שלנו טוב נרשמים הנה נרשמנו תחת שם דני 1234 יופי ואנחנו יכולים לעשות לוגין ואנחנו בפנים כמו משתמש רגיל עכשיו מה אפשר לעשות בשרת הזה לעשות Upload לעלות טורנטים
כבצי טורנט אני עושה Upload ומעלה אותם אני צריך לבחור איזשהו קובץ טורנט אין לי פה קובץ טורנט אנחנו ניקח אותו איפשהו ננסה לעלות אותו בואו נלך לגוגל לאתר למה כי אפשר להוריד קאלי דרך טורנט אז יש להם קובץ טורנט נו ניקח מקאלי עצמם קובץ טורנט זה לא משנה לי איזה קובץ אני רוצה רק לשחק
עם האתר לראות במה אני יכול להתאפס שימו לב יש לנו פה הורדה ישירה ויש לנו הורדה דרך טורנט אז אנחנו לא נלחץ על הורדה ישירה של האימג' אנחנו נלחץ על הטורנט טוב עכשיו אנחנו ננסה להעלות את הקובץ טורנט לאתר שלהם נלחץ אפלו טורנט נראה שהוא באמת עולה לשם.
זה נראה שהוא עלה לשם. הנה זה הטורנט, והנה יש לו אפילו סקרין שוט, יש לו אדיט לטורנט וסקרין שוט.
בינתיים sql injection פה לא מוצא לי כלום. טוב, יש לנו פה בפרוקסי את כל ההיסטוריה של כל הפאקטים. אנחנו יכולים לעשות סינונים, לסנן שיראה לנו לו את הכל.
בסוף בסוף אנחנו צריכים למצוא את הפאקט שמעניין אותנו, שמעלה את התמונה ואת הטורנט. רוצים לראות במה אנחנו יכולים להתאפס.
טוב, קראתי קצת באינטרנט על האתר הזה, וגיליתי שהוא מעלה את כל האפלודים שלו לתיקיית Uploads בתוך טורנט Uploads, ואנחנו רואים באמת שיש פה את כל האפלודים שלו.
כל מה שאנחנו מעלים, לדוגמה איזושהי תמונה, והנה הלוגו דרך אגב, אנחנו רואים גם פה. יופי, אז את הלוגו הזה אנחנו יכולים לעשות עליו Edit, ולהעלות לוגו חדש, והוא עולה לתיקי האיי.
איך עובד הטורנט הוסטר? עכשיו, כמובן שאתם צריכים להכיר את מי שאתם תוקפים אותו, איך הוא עובד. נעשה אדיט על הלוגו הזה, Edit Distorant.
יצץ לנו חלון פה שאפשר לעשות Upload ללוגו הזה, לסקרינשוט, ואנחנו יכולים לדוגמה להעלות קובץ לוגו PNG ולעשות לו Submit ולהעלות אותו לשם. זאת אומרת, אנחנו יכולים להעלות משהו, איזושהי תמונה, והאתר יציג אותה פה, באתר שלו.
זה אומר שהשרת מעבד את הקובץ שאנחנו מעלים ומציג אותו. ובדיוק זה המקום שאפשר לנצל את העיבוד שמבצע השרת על הקובץ שאני נותן לו. לעבוד עליו כאילו זו תמונה, אבל בפועל להכניס שם קוד זדוני משלנו, זה נקרא payload, קוד הרע שאנחנו רוצים להזריק לו. טוב, בואו נתפוס את הפאקט עם interception, הפרוקסי שלנו של התמונה לוגו png זה בעצם
הפאקט שנתפס כששלחנו בקשת upload לתמונה הבנתם העלינו לו טורנט אחרי שהעלינו לו טורנט אפשר להעלות לו את הסקרין שוט את התמונה ואני חושד שפה אפשר לעשות משהו רע איך אני יודע כי השרת מאבד את התמונה שלי ועושה לה preview הוא לא רק שומר אותה הוא מבצע עליה פעולות ולכן אני נתפסתי בדיוק לזה בואו ננסה לנצל את זה ומה שאני רוצה לנצל
זה בעצם את השפת php ולפתוח של של נקודה php לעלות לו במקום התמונה הוא כותב לי invalid fire למה כי הוא זיהה שזה לא תמונה אוקיי אז עכשיו אנחנו רוצים לעלות לו את השל הזה את הפיילורד את הקוד הרע שלנו שפותח לנו cnd את הטרמינל בשרת פותח לנו דלת אחורית להעלות אותו לשמה בשפת PHP אבל שיחשוב שזו תמונה צריך לעבוד עליו, יש לו מנגנון הגנה שם וצריך לעקוף אותו ובסוף בסוף במקום תמונה
להזריק לו את הקוד של ה-של PHP אז אני אקח את ה-של PHP הזה ואני אדביק אותו לתוך ה-repeater זאת אומרת לקחנו פאקט, שכפלנו אותו מפרוקסי ל-repeater כדי לחזור על הפעולה הרבה פעמים זה הפאקט שנשלח כשעשינו Upload ל-Shell.
בתוך ה-Shell הזה, אם אתם תראו, יש כל מיני פקודות PHP מוכנות שבעצם פותחות לי דלת כניסה. אני רק צריך לרשום פה את ה-IP שלי ואת הפורט להתחבר. זה סוס טרויאני שאני שותל שמה והוא מתחבר אליי חזרה.
אני מתחבר לאתר בפורט 80,