Hackthebox — Writeup — Sense No/MSF

En esta ocasión resolveremos la maquina Sense (Retirada hace tiempo)

Resumen

Para el acceso inicial se descubrió user/password en un archivo que fue identificado en la enumeración de directorios. con el acceso a la administración se obtuvo la versión del servicios, este ultimo estaba asociado a un CVE no parchado.

Recolección de información

Identificar todos los puertos abiertos

PORT    STATE SERVICE
80/tcp  open  http
443/tcp open  https

Ahora la identificación de los servicios

PORT    STATE SERVICE    VERSION
80/tcp  open  http       lighttpd 1.4.35
|_http-server-header: lighttpd/1.4.35
|_http-title: Did not follow redirect to https://10.10.10.60/
|_https-redirect: ERROR: Script execution failed (use -d to debug)
443/tcp open  ssl/https?
|_ssl-date: TLS randomness does not represent time

Aquí toca enumerar todo lo posible sobre http

Se intentaron con un par de credenciales y no se obtuvo éxito.

Enumeración

Al solo haber un servicio, la enumeración fue a nivel de directorio.

gobuster dir --url https://10.10.10.60:443 -w /usr/share/wordlists/dirbuster/directory-list-lowercase-2.3-medium.txt -x .php,.txt -k -t 100 -s 200 -o sense
/help.php (Status: 200)
/index.php (Status: 200)
/stats.php (Status: 200)
/edit.php (Status: 200)
/license.php (Status: 200)
/system.php (Status: 200)
/status.php (Status: 200)
/changelog.txt (Status: 200)
/exec.php (Status: 200)
/graph.php (Status: 200)
/wizard.php (Status: 200)
/pkg.php (Status: 200)
/xmlrpc.php (Status: 200)
/reboot.php (Status: 200)
/interfaces.php (Status: 200)
/system-users.txt (Status: 200)
/services_dyndns.php (Status: 200)

Al hacer la busqueda en google, se encontró el password por defecto ;)

Al acceder a la consola de administración, ya se obtuvo mayor información como la versión de pfsense.

Se realizó la búsqueda relacionada a la versión y se obtuvo un exploit

El exploit como tal necesita usuario y contraseña para ejecutar código remoto.

No fue necesaria la escalada de privilegio debido a que el servicio estaba siendo ejecutado como root.

Conclusión

La enumeración como siempre clave, es bueno intentar con un par de lista o diccionarios, el resultado varia de uno a otro.