šJeeves
IP de la mƔquina:
10.10.10.63
Sistema simulado:
Windows 10
Servicio vulnerado:
Jenkins
CVEs:
1. EnumeraciĆ³n y descubrimiento
Comenzamos el ejercicio realizando un scan mediante nmap a la IP 10.10.10.63, en la que estƔ desplegada la mƔquina Jeeves revelando varios servicios desplegados por la mƔquina.
Al acceder por el navegador a la mƔquina nos encontramos la siguiente pƔgina:
En este paso para seguir descubriendo que tenemos en la mƔquina vamos a realizar fuzzing mediante la herramienta dirbuster.
Tras el anĆ”lisis descubrimos el directorio /askjeeves el cual contiene un servidor Jenkins. Accedemos al panel de control y comenzamos a buscar por donde podremos realizar una intrusiĆ³n.
En la consola de scripts descubrimos que podemos ejecutar cĆ³digo, comenzamos con:
Lo cual nos devuelve informaciĆ³n sobre el sistema que estamos atacando:
Ahora iniciaremos una revershell desde powershell en Base64. Nos podemos ayudar de https://revshells.com para generar una. En ese momento nos ponemos en escucha en el puerto seleccionado y ganaremos acceso.
En este momento solo nos debemos desplazar hacia el directorio āKohsukeā y tendremos acceso a la flag del usuario.
2. Escalada de privilegios
Mientras que realizĆ”bamos un reconocimiento dentro del servidor nos encontramos un archivo llamado āCEH.kdbxā el cual nos podrĆa ayudar. Para realizar el traspaso del fichero y analizarlo creamos espacio de trabajo en Jenkins y copiamos el archivo dentro procediendo a descargarlo.
El archivo parece ser un archivo de contraseƱas de Keepass. Por ello utilizaremos keepass2john para intentar conseguir las contraseƱas.
Mediante Hashcat y el diccionario Rockyou intentaremos usar desencriptar la contraseƱa para poder acceder.
Tras menos de un minuto la contraseƱa extraĆda es āmoonshine1ā. Utilizamos la herramienta kpcli para listar las contraseƱas que encontramos en el fichero.
Encontramos diversas contraseƱas las cuales guardamos, pero nos damos cuenta de que en āBaskup Stuffā tenemos un string similar a un hash de Windows. Probamos si el hash es vĆ”lido mediante crackmapexec y confirma su validez, de manera que ya tenemos un hash para acceder.
Utilizaremos el script psexec.py para acceder mediante el hash a una Shell de administrador.
Con esto tendrĆamos acceso total a la mĆ”quina.
Ćltima actualizaciĆ³n
ĀæTe fue Ćŗtil?