HEAL

┌──(glmx㉿kali)-[~]

└─$ nmap -sC -sV 10.10.11.46 -T4 -Pn

Starting Nmap 7.94SVN ( https://nmap.org ) at 2024-12-28 20:46 WIB

Nmap scan report for 10.10.11.46

Host is up (0.061s latency).

Not shown: 998 closed tcp ports (reset)

PORT   STATE SERVICE VERSION

22/tcp open  ssh     OpenSSH 8.9p1 Ubuntu 3ubuntu0.10 (Ubuntu Linux; protocol 2.0)

| ssh-hostkey: 

|   256 68:af:80:86:6e:61:7e:bf:0b:ea:10:52:d7:7a:94:3d (ECDSA)

|_  256 52:f4:8d:f1:c7:85:b6:6f:c6:5f:b2:db:a6:17:68:ae (ED25519)

80/tcp open  http    nginx 1.18.0 (Ubuntu)

|_http-title: Did not follow redirect to http://heal.htb/

|_http-server-header: nginx/1.18.0 (Ubuntu)

Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

Tampilan dari url heal.htb yang berjalan pada port 80. Disini harus membuat akun terlebih dahulu untuk dapat masuk ke bagian "Resume Builder".

Dengan menggunakan ffuf, ditemukan subdomain "api" yang berjalan Ruby on Rails (RoR)

┌──(glmx㉿kali)-[~]

└─$ gobuster dir -u http://api.heal.htb -w /usr/share/wordlists/dirb/common.txt

===============================================================

Gobuster v3.6

by OJ Reeves (@TheColonial) & Christian Mehlmauer (@firefart)

===============================================================

[+] Url:                     http://api.heal.htb

[+] Method:                  GET

[+] Threads:                 10

[+] Wordlist:                /usr/share/wordlists/dirb/common.txt

[+] Negative Status codes:   404

[+] User Agent:              gobuster/3.6

[+] Timeout:                 10s

===============================================================

Starting gobuster in directory enumeration mode

===============================================================

/download             (Status: 401) [Size: 26]

/profile              (Status: 401) [Size: 26]

/resume               (Status: 401) [Size: 26]

/robots.txt           (Status: 200) [Size: 99]

Progress: 4614 / 4615 (99.98%)

┌──(glmx㉿kali)-[~]

└─$ gobuster dir -w /usr/share/dirbuster/wordlists/directory-list-lowercase-2.3-small.txt -u http://take-survey.heal.htb

===============================================================

Gobuster v3.6

by OJ Reeves (@TheColonial) & Christian Mehlmauer (@firefart)

===============================================================

[+] Url:                     http://take-survey.heal.htb

[+] Method:                  GET

[+] Threads:                 10

[+] Wordlist:                /usr/share/dirbuster/wordlists/directory-list-lowercase-2.3-small.txt

[+] Negative Status codes:   404

[+] User Agent:              gobuster/3.6

[+] Timeout:                 10s

===============================================================

Starting gobuster in directory enumeration mode

===============================================================

/docs                 (Status: 301) [Size: 178] [--> http://take-survey.heal.htb/docs/]

/themes               (Status: 301) [Size: 178] [--> http://take-survey.heal.htb/themes/]

/modules              (Status: 301) [Size: 178] [--> http://take-survey.heal.htb/modules/]

/admin                (Status: 301) [Size: 178] [--> http://take-survey.heal.htb/admin/]

/assets               (Status: 301) [Size: 178] [--> http://take-survey.heal.htb/assets/]

/upload               (Status: 301) [Size: 178] [--> http://take-survey.heal.htb/upload/]

/plugins              (Status: 301) [Size: 178] [--> http://take-survey.heal.htb/plugins/]

Saat mengunjungi "http://take-survey.heal.htb/admin/", akan diarahkan ke halaman login "http://take-survey.heal.htb/index.php/admin/authentication/sa/login"

Sekarang saya telah mendapatkan 2 subdomain dari heal.htb.

Setelah mencari informasi mengenai Ruby on Rails, saya menemukan sumber (https://www.acunetix.com/vulnerabilities/web/ruby-on-rails-directory-traversal-vulnerability/) yang menyatakan bahwa RoR (Saya singkat saja "Ruby on Rails) memiliki kerentanan terhadap directory traversal yang di tandai pada CVE-2014-0130 dengan severity HIGH.

so, lets fireup burp dan mengarah pada bagian export resume as pdf.

disini kecurigaan saya terjawab dengan mengubah file resume yang didownload menjadi payload yang mengarah ke etc/passwd

┌──(glmx㉿kali)-[~]

└─$ john hash

..

1***9        (?)     

..

Session completed.

Menggunakan john untuk cracking hash milik ralph dan berhasil mendapatkan password ralph.

Setelah mencari dalam website terdapat tempat untuk upload plugins. Kemudian browsing untuk mencari tahu dimana file konfigurasinya. Ditemukan dari sumber bahwa file konfigurasi berada pada application/config/config.php

Sedangkan, sumber ini menjadi referensi untuk plugin yang ingin diunggah.

Kemudian, konfigurasi 2 file yaitu config.xml dan file php untuk reverse shell. Setelah itu buat menjadi file zip (gambar kiri) kemudian upload dan install.

Aktifkan listener pada port 9001 menggunakan netcat dan visit url "take-survey.heal.htb/upload/plugins/s3cmaX/rev-shell.php"

Setelah itu, berhasil mendapatkan shell

menuju ke file konfigurasi maka didapatkan kredensial untuk akses database.

$ cat /var/www/limesurvey/application/config/config.php

..

return array(

        'components' => array(

                'db' => array(

                        'connectionString' => 'pgsql:host=localhost;port=5432;user=db_user;password=Adm***_p***;dbname=survey;',

                        'emulatePrepare' => true,

                        'username' => 'db_user',

                        'password' => 'Adm***_p***',

                        'charset' => 'utf8',

                        'tablePrefix' => 'lime_',

                )

...

$ ss -tuln | grep LISTEN | grep "0.0.0.0"

tcp   LISTEN 0      4096       127.0.0.1:8503       0.0.0.0:*          

tcp   LISTEN 0      4096       127.0.0.1:8500       0.0.0.0:*          

tcp   LISTEN 0      4096       127.0.0.1:8600       0.0.0.0:*          

tcp   LISTEN 0      4096       127.0.0.1:8302       0.0.0.0:*          

tcp   LISTEN 0      4096       127.0.0.1:8300       0.0.0.0:*          

tcp   LISTEN 0      4096       127.0.0.1:8301       0.0.0.0:*          

tcp   LISTEN 0      511        127.0.0.1:3000       0.0.0.0:*          

tcp   LISTEN 0      1024       127.0.0.1:3001       0.0.0.0:*          

tcp   LISTEN 0      244        127.0.0.1:5432       0.0.0.0:*          

tcp   LISTEN 0      511          0.0.0.0:80         0.0.0.0:*          

tcp   LISTEN 0      4096   127.0.0.53%lo:53         0.0.0.0:*          

tcp   LISTEN 0      128          0.0.0.0:22         0.0.0.0:* 

127.0.0.1:8500, 8503, 8300, 8301, 8302, 8600: Port ini tampaknya terkait dengan layanan lokal tertentu (mungkin monitoring, consul, atau aplikasi lain). 

┌──(glmx㉿kali)-[~]

└─$ ssh ron@heal.htb -L 8500:127.0.0.1:8500

Setelah mencoba port forwarding, port 8500 memiliki akses ke consul.