HTB Eloquia. Угоняем OAuth-привязку и превращаем доступ к админке в выполнение кода

В OAuth-интеграциях опасно принимать код авторизации без жесткой привязки к сессии, которая начала подключение внешнего аккаунта: так можно подсунуть жертве свой код и привязать профиль атакующего к ее учетной записи. В этой статье покажем, как через HTML-редирект заставить администратора завершить такую привязку, войти в приложение и выполнить код на сервере.
Дальше по цепочке извлечем из Edge сохраненные пароли, перейдем в учетку другого пользователя и повысим привилегии за счет гонки при перезапуске уязвимой службы.

Наша цель — получить права суперпользователя на машине Eloquia с учебной площадки Hack The Box. Уровень сложности задания — «безумный», операционная система — Windows.

warning​

Подключаться к машинам с HTB рекомендуется с применением средств анонимизации и виртуализации. Не делай этого с компьютеров, где есть важные для тебя данные, так как ты окажешься в общей сети с другими участниками.

Разведка​

Сканирование портов​

Добавляем IP-адрес машины в /etc/hosts:

10.129.7.249 eloquia.htb

Нажмите для раскрытия...

Запускаем сканирование портов.

Справка: сканирование портов​

Сканирование портов — стандартный первый шаг при любой атаке. Оно позволяет атакующему узнать, какие службы на хосте принимают соединение. На основе этой информации он выбирает следующий шаг к получению точки входа.

Самый известный инструмент для сканирования — это Nmap. Улучшить результаты его работы ты можешь при помощи такого скрипта:

Код:

#!/bin/bash
ports=$(nmap -p- --min-rate=500 $1 | grep ^[0-9] | cut -d '/' -f 1 | tr '
' ',' | sed s/,$//)
nmap -p$ports -A $1

Он действует в два этапа. На первом выполняется обычное быстрое сканирование, на втором — более тщательное, с использованием встроенных скриптов (опция -A).

Нажмите для раскрытия...

• 80 (HTTP) — веб‑сервер Microsoft IIS 10.0;
• 5985 — WinRM.

На веб‑сервере нас встречает блог‑платформа со ссылками для входа.

Точка входа​

Создаем учетную запись и попадаем на страницу входа.