HTB Eloquia. Угоняем OAuth-привязку и превращаем доступ к админке в выполнение кода

2 дней назад 6

Годовая подписка на Xakep.ru

Все статьи, PDF-архив, скидки и другие бонусы

6000₽ в год
Подписаться
Ежеквартальный «Хакер» #4

Печатный выпуск за август–ноябрь 2026 года

2000₽
Заказать
Ежеквартальный «Хакер» #3

Печатный выпуск за май–июль 2026 года

2000₽
Заказать
Спецвыпуск «Хакера» #4

Избранные материалы 2021–2022 годов на бумаге

2000₽
Заказать

В OAuth-интеграциях опасно принимать код авторизации без жесткой привязки к сессии, которая начала подключение внешнего аккаунта: так можно подсунуть жертве свой код и привязать профиль атакующего к ее учетной записи. В этой статье покажем, как через HTML-редирект заставить администратора завершить такую привязку, войти в приложение и выполнить код на сервере.

Дальше по цепочке извлечем из Edge сохраненные пароли, перейдем в учетку другого пользователя и повысим привилегии за счет гонки при перезапуске уязвимой службы.

Наша цель — получить права суперпользователя на машине Eloquia с учебной площадки Hack The Box. Уровень сложности задания — «безумный», операционная система — Windows.

warning

Подключаться к машинам с HTB рекомендуется с применением средств анонимизации и виртуализации. Не делай этого с компьютеров, где есть важные для тебя данные, так как ты окажешься в общей сети с другими участниками.

Разведка

Сканирование портов

Добавляем IP-адрес машины в /etc/hosts:

Запускаем сканирование портов.

Справка: сканирование портов

Сканирование портов — стандартный первый шаг при любой атаке. Оно позволяет атакующему узнать, какие службы на хосте принимают соединение. На основе этой информации он выбирает следующий шаг к получению точки входа.

Самый известный инструмент для сканирования — это Nmap. Улучшить результаты его работы ты можешь при помощи такого скрипта:

#!/bin/bash

ports=$(nmap -p- --min-rate=500 $1 | grep ^[0-9] | cut -d '/' -f 1 | tr '

' ',' | sed s/,$//)

nmap -p$ports -A $1

Он действует в два этапа. На первом выполняется обычное быстрое сканирование, на втором — более тщательное, с использованием встроенных скриптов (опция -A).

Подробнее про работу с Nmap читай в статье «Nmap с самого начала. Осваиваем разведку и сканирование сети».

Сканер нашел два открытых порта:

80 (HTTP) — веб‑сервер Microsoft IIS 10.0;
5985 — WinRM.

На веб‑сервере нас встречает блог‑платформа со ссылками для входа.

Точка входа

Создаем учетную запись и попадаем на страницу входа.

Продолжение доступно только участникам

Материалы из последних выпусков становятся доступны по отдельности только через два месяца после публикации. Чтобы продолжить чтение, необходимо стать участником сообщества «Xakep.ru».

Присоединяйся к сообществу «Xakep.ru»!

Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», позволит скачивать выпуски в PDF, отключит рекламу на сайте и увеличит личную накопительную скидку! Подробнее

Я уже участник «Xakep.ru»

Источник