Portas

Remote Template Injection

Sun, 14 Jan 2024 07:07:07 +0100

Remote Template Injection

A técica de Remote Template Injection permite a execução de macros em arquivos .docx sem que a macro seja carregada e enviada junto ao arquivo. Ao invés disso, o documento aberto baixa um template específico que contém a macro que queremos que seja executado.

A criação do documento malicioso acontece dessa forma:

Criação de um arquivo .dotm com a macro para ser executada e hospede em um servidor;
Crie um arquivo .docx qualquer;
Renomeie o arquivo de .docx para .zip, e extraia o arquivo .zip ;
Edite o parâmetro Target em ./world/_rels/settins.xml.rels e coloque o endereço onde se encontra o template com a macro;
Compacte todos os arquivos para um .zip novamente (todos os arquivos, não a pasta raiz) e renomeie para .docx novamente

Exemplo Prático

Criação do template

Crie um documento word comum:

Mon, 01 Jan 0001 00:00:00 +0000

Breaking Grad

Breaking grad

Breaking grad é uma challenge medium, da categoria web do hackthe box

Baixei o código fonte da aplicação, mas antes disso, vamos dar uma olhada na página web:Basicamente temos uma view com uma única ação, onde enviamos um nome via json e recebemos uma resposta se passamos ou não:

Tentei mudar o nome para nomes aleatórios, como “Portas”, “”, “teste”, e todos retornam o mesmo response Vamos olhar o código fonte então:Temos uma aplicação NodeJS em um container, e a flag com um nome aleatório na raíz, nada demais na configuração do container:

Mon, 01 Jan 0001 00:00:00 +0000

Jerrytok

Jerrytok é um desafio médio do hack the box da categoria web.

O desafio disponibiliza o código-fonte e um ambiente Docker para subir a aplicação, permitindo que eu inicie os testes em um ambiente local.

Recon

Começo explorando a aplicação interagindo com a interface e analisando suas funcionalidades. Em seguida, examino o código-fonte para entender melhor sua implementação.

A primeira coisa que faço é subir a aplicação através do container docker para poder interagir com ela no navegador:

Mon, 01 Jan 0001 00:00:00 +0000

Templated

Templated é um desafio easy do hack the box, da categoria web

Enumeration

A primeira vista, quando acessamos o IP fornecido, damos de cara com a home page do serviço, que não tem nenhuma funcionalidade além de informações das tecnologias em que o sistema foi construído.

Tentando achar alguma direção para seguir, procuro pela página robots.txt para ver se consigo alguma informação importante, mas obtive uma página de erro 404.
Mas nessa página de erro, é importante notar que o nome da página que buscamos no endpoint é refletido no front-end:

Mon, 01 Jan 0001 00:00:00 +0000

Toxic

Toxic é um desafio easy do hack the box da categoria web.

Esse é um desafio onde temos o código fonte disponível e um docker para subir a aplicação, então, começo os testes em um ambiente local.

Enumeration

Analisando a aplicação, temos apenas uma página e nenhuma funcionalidade:

Com fuzzing não acho nenhum outro endpoint, vou olhar o código fonte da aplicação.

Temos arquivos docker, configuração de nginx e essa página HTML que vemos na web. Os principais arquivos são index.php e PageModel.php

Mon, 01 Jan 0001 00:00:00 +0000

Blurry

Recon

Começamos a máquina apenas com um IP, então podemos mapear o que temos nesse IP usando o nmap:

Com apenas duas portas abertas, podemos acessar a porta 80 e ver o que temos se serviço web. Fazendo isso, o navegador redireciona para `app.blurry.htb`, então vamos adicionar esse domínio ao arquivo /etc/hosts para termos acesso, e assim conseguimos visualizar a página:

Web Page

Mon, 01 Jan 0001 00:00:00 +0000

Certified

Recon

Nessa máquina começamos com o IP 10.10.11.41 e com as credenciais judith.mader:judith09 . Vamos começar mapeando a rede com nmap:

# Nmap 7.94SVN scan initiated Sun Nov 10 17:03:33 2024 as: /usr/lib/nmap/nmap --privileged --min-rate=10000 -p- -A -oA nmap/certified 10.10.11.41
Nmap scan report for 10.10.11.41
Host is up (0.19s latency).
Not shown: 65515 filtered tcp ports (no-response)
PORT STATE SERVICE VERSION
53/tcp open domain Simple DNS Plus
88/tcp open kerberos-sec Microsoft Windows Kerberos (server time: 2024-11-11 05:03:55Z)
135/tcp open msrpc Microsoft Windows RPC
139/tcp open netbios-ssn Microsoft Windows netbios-ssn
389/tcp open ldap Microsoft Windows Active Directory LDAP (Domain: certified.htb0., Site: Default-First-Site-Name)
|_ssl-date: 2024-11-11T05:05:33+00:00; +7h00m00s from scanner time.
| ssl-cert: Subject: commonName=DC01.certified.htb
| Subject Alternative Name: othername: 1.3.6.1.4.1.311.25.1::<unsupported>, DNS:DC01.certified.htb
| Not valid before: 2024-05-13T15:49:36
|_Not valid after: 2025-05-13T15:49:36
445/tcp open microsoft-ds?
464/tcp open kpasswd5?
593/tcp open ncacn_http Microsoft Windows RPC over HTTP 1.0
636/tcp open ssl/ldap Microsoft Windows Active Directory LDAP (Domain: certified.htb0., Site: Default-First-Site-Name)
| ssl-cert: Subject: commonName=DC01.certified.htb
| Subject Alternative Name: othername: 1.3.6.1.4.1.311.25.1::<unsupported>, DNS:DC01.certified.htb
| Not valid before: 2024-05-13T15:49:36
|_Not valid after: 2025-05-13T15:49:36
|_ssl-date: 2024-11-11T05:05:31+00:00; +7h00m00s from scanner time.
3268/tcp open ldap Microsoft Windows Active Directory LDAP (Domain: certified.htb0., Site: Default-First-Site-Name)
| ssl-cert: Subject: commonName=DC01.certified.htb
| Subject Alternative Name: othername: 1.3.6.1.4.1.311.25.1::<unsupported>, DNS:DC01.certified.htb
| Not valid before: 2024-05-13T15:49:36
|_Not valid after: 2025-05-13T15:49:36
|_ssl-date: 2024-11-11T05:05:33+00:00; +7h00m00s from scanner time.
3269/tcp open ssl/ldap Microsoft Windows Active Directory LDAP (Domain: certified.htb0., Site: Default-First-Site-Name)
|_ssl-date: 2024-11-11T05:05:31+00:00; +7h00m00s from scanner time.
| ssl-cert: Subject: commonName=DC01.certified.htb
| Subject Alternative Name: othername: 1.3.6.1.4.1.311.25.1::<unsupported>, DNS:DC01.certified.htb
| Not valid before: 2024-05-13T15:49:36
|_Not valid after: 2025-05-13T15:49:36
9389/tcp open mc-nmf .NET Message Framing
49666/tcp open msrpc Microsoft Windows RPC
49668/tcp open msrpc Microsoft Windows RPC
49669/tcp open ncacn_http Microsoft Windows RPC over HTTP 1.0
49670/tcp open msrpc Microsoft Windows RPC
49677/tcp open msrpc Microsoft Windows RPC
49708/tcp open msrpc Microsoft Windows RPC
49732/tcp open msrpc Microsoft Windows RPC
50720/tcp open msrpc Microsoft Windows RPC
Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port
Device type: general purpose
Running (JUST GUESSING): Microsoft Windows 2019 (89%)
Aggressive OS guesses: Microsoft Windows Server 2019 (89%)
No exact OS matches for host (test conditions non-ideal).
Network Distance: 2 hops
Service Info: Host: DC01; OS: Windows; CPE: cpe:/o:microsoft:windows

Host script results:
| smb2-time: 
| date: 2024-11-11T05:04:55
|_ start_date: N/A
|_clock-skew: mean: 6h59m59s, deviation: 0s, median: 6h59m59s
| smb2-security-mode: 
| 3:1:1: 
|_ Message signing enabled and required

TRACEROUTE (using port 53/tcp)
HOP RTT ADDRESS
1 192.70 ms 10.10.14.1
2 193.69 ms 10.10.11.41

OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
# Nmap done at Sun Nov 10 17:05:33 2024 -- 1 IP address (1 host up) scanned in 120.32 seconds

Sabemos agora que temos um servidor Windows com Active Directory operando, e podemos começar a testar a credencial que temos disponível.

Mon, 01 Jan 0001 00:00:00 +0000

Cicada

Recon

Nessa máquina começamos sabendo o IP 10.10.11.35. Com isso em mão, podemos começar a mapear os serviços que executam nesse IP com o NMAP:

# Nmap 7.94SVN scan initiated Mon Oct 14 18:47:32 2024 as: /usr/lib/nmap/nmap --privileged -A -oA nmap/cicada -p- --min-rate=100000 10.10.11.35
Nmap scan report for 10.10.11.35
Host is up (0.18s latency).
Not shown: 65526 filtered tcp ports (no-response)
PORT STATE SERVICE VERSION
53/tcp open domain Simple DNS Plus
88/tcp open kerberos-sec Microsoft Windows Kerberos (server time: 2024-10-15 05:47:42Z)
135/tcp open msrpc Microsoft Windows RPC
139/tcp open netbios-ssn Microsoft Windows netbios-ssn
445/tcp open microsoft-ds?
464/tcp open kpasswd5?
3268/tcp open ldap Microsoft Windows Active Directory LDAP (Domain: cicada.htb0., Site: Default-First-Site-Name)
| ssl-cert: Subject: commonName=CICADA-DC.cicada.htb
| Subject Alternative Name: othername: 1.3.6.1.4.1.311.25.1::<unsupported>, DNS:CICADA-DC.cicada.htb
| Not valid before: 2024-08-22T20:24:16
|_Not valid after: 2025-08-22T20:24:16
|_ssl-date: TLS randomness does not represent time
3269/tcp open ssl/ldap Microsoft Windows Active Directory LDAP (Domain: cicada.htb0., Site: Default-First-Site-Name)
| ssl-cert: Subject: commonName=CICADA-DC.cicada.htb
| Subject Alternative Name: othername: 1.3.6.1.4.1.311.25.1::<unsupported>, DNS:CICADA-DC.cicada.htb
| Not valid before: 2024-08-22T20:24:16
|_Not valid after: 2025-08-22T20:24:16
|_ssl-date: TLS randomness does not represent time
56871/tcp open msrpc Microsoft Windows RPC
Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port
Device type: general purpose
Running (JUST GUESSING): Microsoft Windows 2022 (88%)
Aggressive OS guesses: Microsoft Windows Server 2022 (88%)
No exact OS matches for host (test conditions non-ideal).
Network Distance: 2 hops
Service Info: Host: CICADA-DC; OS: Windows; CPE: cpe:/o:microsoft:windows

Host script results:
| smb2-time: 
| date: 2024-10-15T05:48:47
|_ start_date: N/A
|_clock-skew: 6h59m58s
| smb2-security-mode: 
| 3:1:1: 
|_ Message signing enabled and required

TRACEROUTE (using port 445/tcp)
HOP RTT ADDRESS
1 213.87 ms 10.10.14.1
2 217.76 ms 10.10.11.35

OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
# Nmap done at Mon Oct 14 18:49:26 2024 -- 1 IP address (1 host up) scanned in 114.01 seconds

Podemos notar um ambiente Windows com Active Directory e SMB.

Mon, 01 Jan 0001 00:00:00 +0000

MonitorsThree

Recon

Começamos com o IP 10.10.11.30. Mapeando a rede, encontramos 3 serviços rodando nas respectivas portas: 22, 80, 8084 (filtered):

 sudo nmap -sV -sS -Pn -O -oA nmap/monitorsthree -p22,80,8084 monitorsthree.htb
Starting Nmap 7.94SVN ( https://nmap.org ) at 2024-09-22 14:05 EDT
Nmap scan report for monitorsthree.htb (10.10.11.30)
Host is up (0.18s latency).

PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 8.9p1 Ubuntu 3ubuntu0.10 (Ubuntu Linux; protocol 2.0)
80/tcp open http nginx 1.18.0 (Ubuntu)
8084/tcp filtered websnp
Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port
Aggressive OS guesses: Linux 5.0 (96%), Linux 5.0 - 5.5 (96%), Linux 4.15 - 5.8 (95%), Linux 3.1 (95%), Linux 3.2 (95%), AXIS 210A or 211 Network Camera (Linux 2.6.17) (95%), Linux 2.6.32 (94%), Linux 5.3 - 5.4 (94%), ASUS RT-N56U WA
P (Linux 3.4) (93%), Linux 3.16 (93%)
No exact OS matches for host (test conditions non-ideal).
Network Distance: 2 hops
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 20.83 seconds

As únicas portas acessíveis publicamente são a 22 e a 80, vou começar analisando a aplicação web na porta 80.

Mon, 01 Jan 0001 00:00:00 +0000

Cross Site Scriping

Mon, 01 Jan 0001 00:00:00 +0000

Injection

Utilizando do sistema e analisando como posso interagir com ele, comecei interagindo com uma funcionalidade de busca.

Ao carregar a página principal, o client faz uma request para /rest/products/search?q=, que traz um JSON de todos os produtos:

}}

Fazendo uma busca por Apple, nenhuma outra comunicação é feita para o backend, parece que o filtro é feito totalmente pelo client:

}}

Podemos reparar também que nossa busca é refletida no frontend, temos controle sobre elementos HTML renderizados no browser, além de reparar uma parâmetro ?q na consulta para o backend, aqui nos surge algumas possibilidades:

Mon, 01 Jan 0001 00:00:00 +0000

Juice Shop

O OWASP Juice Shop é uma aplicação web desenvolvido pela Open Web Application Security Project (OWASP), onde contém uma série de vulnerabilidades críticas que ocorrem em aplicações web, como uma forma de fornecer um ambiente moderno para praticar e treinar habilidades de hacking.

A aplicação é desenvolvida em Node.js (Express) e Angular, e contém um dashboard com cards para cada vulnerabilidade existente no sistema, em forma de desafios.