Buff

Publicado: 16 de Junio de 2025 Autor: José Miguel Romero aKa x3m1Sec Dificultad: ⭐ Easy

📝 Descripción

Buff es una máquina Windows de dificultad fácil que presenta vulnerabilidades en una aplicación web de gestión de gimnasio. La explotación inicial se basa en un exploit público para el Gym Management System v1.0, que permite la ejecución remota de código sin autenticación mediante una vulnerabilidad de subida de archivos maliciosos.

Para la escalada de privilegios, se aprovecha una vulnerabilidad de Buffer Overflow en el servicio CloudMe v1.11.2, que se ejecuta localmente en el puerto 8888. La explotación requiere el uso de port forwarding para acceder al servicio y posteriormente ejecutar un shellcode personalizado para obtener privilegios de administrador.

🎯 Objetivos de Aprendizaje

  • Explotación de vulnerabilidades en aplicaciones web

  • Técnicas de evasión de filtros de subida de archivos

  • Buffer Overflow en aplicaciones Windows

  • Port forwarding con Chisel

  • Uso de SMB para captura de hashes NTLMv2

🔭 Reconocimiento

🔍 Ping para verificación en base a TTL

💡 Nota: El TTL cercano a 128 sugiere que probablemente sea una máquina Windows.

🚀 Escaneo de puertos

🔬 Enumeración de servicios

🌐 Enumeración Web

🏋️ Puerto 8080 - Apache/2.4.43

URL: http://10.10.10.198:8080/

🎯 Información Relevante Encontrada

En la sección de contacto se revela:

  • Software: Gym Management System

  • Versión: v1.0

  • Esta información es crucial para buscar vulnerabilidades conocidas

Fuzzing de directorios

📁 Análisis de Recursos Encontrados

Revisamos y analizamos cada uno de los recursos encontrados:

🔧 /edit.php - http://10.10.10.198:8080/edit.php

  • Revela Internal Path Disclosure

  • Muestra rutas internas del sistema

**📤 /upload.php ** - http://10.10.10.198:8080/register.php

  • Página de subida de archivos

  • Vulnerable - No requiere autenticación

  • Revela Internal Path Disclosure

  • Punto crítico para la explotación

📂 /upload/ - http://10.10.10.198:8080/upload/

  • Directorio de archivos subidos

  • Accesible públicamente

📖 /README.MD - http://10.10.10.198:8080/README.MD

  • Contiene información del proyecto

  • Confirma el uso de Gym Management System

🖥️ /cgi-bin/printenv.pl Script en Perl que muestra variables de entorno del servidor: http://10.10.10.198:8080/cgi-bin/printenv.pl

Parece que se trata script en perl ubicado en el directorio cgi-bin, que típicamente se usa para ejecutar scripts CGI (Common Gateway Interface) cuyo propósito es imprimir todas las variables de entorno del servidor web en la salida HTTP.

💥 Explotación Inicial

🔎 Búsqueda de Vulnerabilidades - Gym Management System

Habíamos enumerado un servicio llamado Gym Management y vemos que la versión que se está utilizando ha presentado vulnerabilidades en el pasado y además hay exploits públicos:

Uno de los exploits permite una ejecución remota de comandos sin autenticación debido a un mal manejo en la subida de archivos.

Resultados encontrados:

  • CVE-2020-15928: Gym Management System 1.0 - Unauthenticated Remote Code Execution

  • Exploit ID: 48506

  • Tipo: Remote Code Execution sin autenticación

🔍 Detalles clave de la vulnerabilidad

  1. upload.php no exige autenticación - Cualquier usuario puede acceder

  2. Parámetro id por GET - Define el nombre del archivo a subir

  3. Validación insuficiente - Permite dobles extensiones (ej: poc.php.png)

  4. Verificación MIME débil - Solo valida cabeceras HTTP falsificables

  5. Ejecución de código PHP - Los archivos subidos pueden contener código malicioso

  6. Renombrado basado en extensión - Permite ejecución de PHP

🎯 Proceso de Explotación

  1. Subida de archivo malicioso con doble extensión

  2. Bypass de filtros mediante falsificación de MIME type

  3. Ejecución de código PHP en el servidor

  4. Acceso vía URL con parámetros GET para comandos

Descargamos y ejecutamos el exploit y vemos que nos pide definir como parámetro únicamente la URL del objetivo:

Resultado: ✅ Webshell obtenida exitosamente

🎯 Captura de Hash NTLMv2

Configuración del servidor SMB: Una posible vía de explotación aquí sería levantarnos en nuestro host de ataque un servidor SMB usando impacket y a continuación desde el host en el que acabamos de subir la webshell hacer una petición a un recurso obligando así al usuario de la máquina a autenticarse y obtener su hash NTLMv2, que aunque no nos permite autenticarnos haciendo pass the hash sí que podemos intentar crackearlo para obtener su contraseña:

A continuación usamos hashcat y el diccionario rockyou para crackearlo y obtener la contraseña del usuario shaun pero en este caso vemos que no nos da la contraseña:

❌ El hash no pudo ser crackeado

Este método no nos sirve cómo vía potencial de explotación, sin embargo, no está todo perdido. Alternativamente podemos usar el recurso SMB que hemos compartido en el cual tenemos la herramienta netcat para usarla y establecer conexión con mi host de ataque:

🐚 Reverse Shell alternativa

Primero inicio el listener con netcat en mi host de ataque:

A continuación hago una petición al recurso compartido smbShare de mi host de ataque usando netcat para conectarme al listener de mi host de ataque:

A los pocos segundos recibo la conexión reversa confirmando así la explotación y el acceso al sistema pudiendo obtener la primera flag en el directorio Desktop del usuario shaun:

Resultado: ✅ Shell reversa como usuario buff\shaun

🔝 Escalada de Privilegios

🔍 Enumeración del Sistema

📁 Archivos Interesantes Encontrados

Enumerando los directorios del usuario shaun encontramos lo siguiente:

📄 C:\Users\shaun\Documents\Tasks.bat

📦 C:\Users\shaun\Downloads\CloudMe_1112.exe

🔎 Búsqueda de Vulnerabilidades - CloudMe

Buscamos información pública de este servicio así como posibles exploits y encontramos bastantes exploits relacionados con una explotación de Buffer Overflow:

🌐 Verificación del Servicio

Lo primero que necesitamos saber es si CloudMe está ejecutándose en la máquina. El puerto por defecto es el 8888. Usamos netstat -natpara confirmarlo

🔄 Port Forwarding con Chisel

Dado que este puerto no está expuesto, necesitamos hacer port forwading para poder acceder a él desde nuestro host de ataque. Para ello podemos usar chisel:

Primero descargamos chisel server en su versión para linux, ya que esta la ejecutaremos en nuestro host de ataque a modo de server:

Ahora nos descargamos la versión para windows

La transferimos al host windows. Parece que aquí certutil da problemas así que usamos curl

Ejecutamos chisel como cliente usando el puerto 9003 que habíamos definido en el servidor chisel para hacer el redireccionamiento del puerto 8888 del host de la máquina windows al puerto 8888 de nuestro host de ataque:

💣 Desarrollo del Exploit

🎯 Generación de Shellcode

Ahora, debemos generar el payload usando el shellcode que tenemos en el exploit para que en lugar de cargar la calculadora como viene por defecto en la PoC ejecute una shell reversa, para ello usaremos msfvenom de la siguiente forma:

🔧 Modificación del Exploit

Exploit base: 48389.py Modificaciones realizadas:

  • Reemplazo del payload de calculadora por reverse shell

  • Configuración de IP y puerto de ataque

  • Ajuste de padding y NOPs

Exploit final:

🎯 Ejecución del Buffer Overflow

Iniciamos un listener en el puerto 443 de nuestro host de ataque usando netcat

Ejecutamos el exploit y ganamos acceso a la máquina como Administrador:

Resultado: ✅ Shell como NT AUTHORITY\SYSTEM

Finalmente obtenemos la flag:

PreviousArcticNextLove

Last updated