PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 7.2 (FreeBSD 20161230; protocol 2.0)
| ssh-hostkey:
| 2048 e3:3b:7d:3c:8f:4b:8c:f9:cd:7f:d2:3a:ce:2d:ff:bb (RSA)
| 256 4c:e8:c6:02:bd:fc:83:ff:c9:80:01:54:7d:22:81:72 (ECDSA)
|_ 256 0b:8f:d5:71:85:90:13:85:61:8b:eb:34:13:5f:94:3b (ED25519)
80/tcp open http Apache httpd 2.4.29 ((FreeBSD) PHP/5.6.32)
| http-methods:
|_ Supported Methods: GET HEAD POST OPTIONS
|_http-title: Site doesn't have a title (text/html; charset=UTF-8).
|_http-server-header: Apache/2.4.29 (FreeBSD) PHP/5.6.32
Service Info: OS: FreeBSD; CPE: cpe:/o:freebsd:freebsd
HTTP (80)
Nous cliquons sur submit. Dans l'URL il y a la page "browse.php" suivi de file, nous allons tenter une LFI et cela marche !
Accès initial
Le système d'exploitation est freeBSD, nous n'allons donc pas tenter les fichiers log habituels. Une rapide recherche internet nous mène à "/var/log/httpd-access.log". Et nous avons bien accès au fichier.
Nous allons utiliser Burp pour faire une attaque de Log Poisoning.
Nous allons pouvoir utiliser un reverse shell (encodé url).
Nous allons essayer de le déchiffrer, nous possédons un précieux indice... Nous allons donc déchiffrer du base64 le nombre de fois demandés.
charix:Charix!2#4%6&8(0
Elévation des privilèges
Nous trouvons un dossier protégé zip "secret.zip". Nous le téléchargons sur notre machine afin d'utiliser zip2john et de cracker le mot de passe : sans résultat. Nous essayons avec le mot de passe de charix, et cela fonctionne !
Nous ne savons pas quoi faire avec ce fichier...
5801 et 5901 : VNC Nous allons effectuer une redirection de port
configurer proxychains
Lorsqu'on veut se connecter, on nous demande le mot de passe. Et si on essayait le fichier trouvé ?
Cela marche ! Nous aurions pu aussi trouver un script permettant de retrouer le mot de passe en clair du fichier secret.
