RedPanda: Hack The Box Walkthrough

Comenzamos con el escaneo:

En la dirección http://10.129.68.174:8080, tenemos el siguiente contenido:

Vamos a capturar con Burp diferentes intentos de ataques web, el que parece funcionar es Java SSTI:

Después de mucho tiempo tratando de hallar la manera de conseguir algo útil aprovechando esta vulnerabilidad, doy con este payload que pruebo y BINGO. Tenemos usuario “woodenk” y su contraseña “RedPandazRule:

Vamos a conectarnos por SSH con este usuario y credenciales:

Conseguimos la primera Flag user.txt:

Ahora levantamos un servidor con python3 -m http.server 9090 y nos llevamos linpeas.sh a la máquina:

En los resultados observamos la siguiente instrucción: /bin/bash /opt/cleanup.sh . Así que vamos a ver que contiene este script

Buceando entre las rutas a las que podemos acceder encontramos varios documentos y scripts, entre otros MainController.java, con el siguiente contenido interesante:

También hallamos el siguiente contenido en otro de los documentos:

public static String getArtist(String uri) throws IOException, JpegProcessingException
    {
        String fullpath = "/opt/panda_search/src/main/resources/static" + uri;
        File jpgFile = new File(fullpath);
        Metadata metadata = JpegMetadataReader.readMetadata(jpgFile);
        for(Directory dir : metadata.getDirectories())
        {
            for(Tag tag : dir.getTags())
            {
                if(tag.getTagName() == "Artist")
                {
                    return tag.getDescription();
                }
            }
        }

        return "N/A";
    }

Este script maneja los metadatos de archivos .jpg. Lo que me epieza a dar ideas.

Encontramos otro extracto de script en el cual expone cómo maneja el User Agent:

public static Map parseLog(String line) {
        String[] strings = line.split("\\|\\|");
        Map map = new HashMap<>();
        map.put("status_code", Integer.parseInt(strings[0]));
        map.put("ip", strings[1]);
        map.put("user_agent", strings[2]);
        map.put("uri", strings[3]);
        

        return map;
    }

Nos traemos una imagen de la máquina víctima con python3 -m http.server 9094 y wget en nuestra máquina, y con Exiftool modificamos los metadatos:

Creamos el siguiente xml con la intención de conseguir la clave id_rsa de root:

Hacemos un curl de la siguiente manera:

Y comprobamos que se nos ha generado la clave privada en el script:

Creamos el fichero con la clave y le cambiamos los permisos:

Conectamos con el usuario root con el id_rsa y bingo.

El hash de root en /etc/shadow:

Ya tenemos la máquina finalizada con escalada de privilegios total.

Espero que os haya gustado, un saludo y gracias por leerme.