116 lines
5.5 KiB
Markdown
116 lines
5.5 KiB
Markdown
### L'objectif : trouver un flag/code final.
|
||
Ce writeup sera séparé en différentes parties:
|
||
|
||
1. **Reconaissance**
|
||
2. **Exploitation**
|
||
3. **Foothold**
|
||
4. **Privesc**
|
||
|
||
Tout d’abord, l’outil qui vous sera utile dans presque tous vos CTF est **Nmap**. Concrètement, il scanne les ports d’une machine (il y a **65 535** ports possibles), ce qui permet d’identifier les services qui tournent sur la cible.
|
||
Chaque port correspond à un service : par exemple, le port **22** est souvent utilisé par **SSH**, **80** pour un site web **HTTP**, et **443** pour **HTTPS**.
|
||
|
||
Pour commencer, on va lancer un scan basique pour repérer les ports ouverts et tenter d’identifier les services.
|
||
|
||
![[Screenshot From 2025-10-18 14-20-49.png]]
|
||
|
||
L’option `-p-` demande à Nmap de scanner **tous** les ports (1 à 65 535) par défaut Nmap n’explore que les 1 000 ports les plus courants.
|
||
|
||
Dans notre scan, on a trouvé trois ports ouverts :
|
||
|
||
- **22** → SSH (connexion distante)
|
||
- **443** → site web en HTTPS
|
||
- **8080** → site web en HTTP
|
||
|
||
Ce qui m’intéresse ici, c’est le service HTTP sur le port **8080** : allons l’explorer pour voir ce qu’il propose.
|
||
|
||
![[Screenshot From 2025-10-18 14-23-59.png]]
|
||
|
||
Comme vous pouvez le voir, la page affiche un **formulaire de connexion**.
|
||
|
||
La première idée qui me vient est de tenter des **injections SQL** rappel : les injections SQL constituent une grande part des failles des applications web.
|
||
|
||
Il existe de nombreux payloads ; vous pouvez en trouver une bonne collection [ici](https://book.hacktricks.wiki/fr/pentesting-web/sql-injection/index.html) :
|
||
|
||
```admin' ```
|
||
ou
|
||
|
||
```' OR 1=1 --```
|
||
|
||
![[Screenshot From 2025-10-18 14-24-56.png]]
|
||
|
||
Et voilà, succès : nous avons un accès **administrateur**.
|
||
|
||
La prochaine étape consiste à travailler le _foothold_ c’est-à-dire transformer cet accès en une connexion sur laquelle on peut lancer des commandes sur la machine cible (explorer le système, récupérer des informations, et préparer l’escalade de privilèges).
|
||
|
||
![[Screenshot From 2025-10-18 14-25-21.png]]
|
||
|
||
Comme vous pouvez le voir, il est possible de télécharger (uploader) des notes au format `.txt`.
|
||
|
||
![[Screenshot From 2025-10-18 14-30-10.png]]
|
||
|
||
Essayons quelques contournements pour téléverser un fichier PHP par exemple en le nommant `fiche.php.txt`.
|
||
|
||
Dans ce fichier, on placera un reverse shell en PHP (on peut en trouver un exemple sur [revshell](https://www.revshells.com/))
|
||
|
||
![[Screenshot From 2025-10-18 14-37-06.png]]
|
||
|
||
On a réussi à téléverser un fichier **.php** exécutable par le serveur, là où un simple **.txt** n’aurait rien fait.
|
||
|
||
Ce fichier nous donne un **foothold** : en exécutant du code PHP côté serveur, on peut lancer une connexion vers notre machine et contrôler un shell.
|
||
|
||
Avant d’exécuter le fichier sur la cible, démarrez un _listener_ sur votre poste (pwncat ou netcat). Par exemple avec netcat:
|
||
```nc -lvnp 9001```
|
||
|
||
(Lancez ensuite le script PHP côté serveur pour qu’il se connecte sur le port 9001.)
|
||
|
||
![[Screenshot From 2025-10-18 14-48-04.png]]
|
||
|
||
Nous allons maintenant cliquer sur le fichier que nous avons téléversé.
|
||
|
||
![[Screenshot From 2025-10-18 15-15-58.png]]
|
||
|
||
Nous avons établi une connexion sur la machine cible : nous sommes authentifiés en tant qu’utilisateur `apache`. La prochaine étape consiste à effectuer l’escalade de privilèges (privesc).
|
||
|
||
![[Screenshot From 2025-10-18 17-25-45.png]]
|
||
|
||
En parcourant un peu le serveur, nous avons trouvé un fichier `creds.txt` contenant une entrée au format `username:mot_de_passe_chiffré`. En examinant davantage, on constate que le mot de passe est haché en **MD5**.
|
||
|
||
![[Screenshot From 2025-10-18 15-58-28.png]]
|
||
|
||
En soumettant le hachage à CrackStation, nous avons retrouvé le mot de passe en clair : `secure` Avec ces identifiants (`agent:secure`), nous pouvons nous connecter au compte utilisateur `agent`.Pour établir une session distante, lancez une connexion SSH vers la machine cible, par exemple :
|
||
|
||
![[Screenshot From 2025-10-18 15-43-32 1.png]]
|
||
|
||
Vous pouvez également utiliser ssh avec la commande ssh user@ip Maintenant on va essayer de trouver un moyen d'avoir encore plus de privilèges.
|
||
|
||
![[Screenshot From 2025-10-18 15-51-05 1.png]]
|
||
|
||
On commence par exécuter `sudo -l` : cette commande indique quelles commandes l’utilisateur peut exécuter avec les privilèges maximaux (root).
|
||
|
||
Dans notre cas, la sortie montre que `vim` est autorisé via `sudo` en tant que root.
|
||
|
||
Nous nous rendons alors sur **GTFOBins** pour vérifier si `vim` peut être utilisé comme vecteur de privilege escalation. En recherchant `vim` sur GTFOBins, on découvre plusieurs méthodes documentées pour obtenir un shell avec les droits root.
|
||
|
||
![[Screenshot From 2025-10-18 15-52-02.png]]
|
||
|
||
La possibilité d’exécuter `vim` via `sudo` rend ce binaire vulnérable à une escalade de privilèges, il peut être utilisé pour obtenir un shell avec les droits root.
|
||
|
||
![Screenshot From 2025-10-18 15-55-07.png][]
|
||
|
||
On teste la première commande, pense bien à appeler `/usr/bin/vim`. Après l’exécution, on constate qu’on obtient des permissions root.
|
||
|
||
![[Screenshot From 2025-10-18 15-56-05 1.png]]
|
||
|
||
En accédant au répertoire `/root`, nous pouvons consulter le fichier final. La présence d’un signe `=` en fin de contenu est caractéristique d’un encodage Base64.
|
||
|
||
![[Screenshot From 2025-10-18 15-56-51 1.png]]
|
||
|
||
Rendons-nous sur Cyberchef afin de le décoder.
|
||
|
||
![[Screenshot From 2025-10-18 15-57-37.png]]
|
||
|
||
Le code final du challenge est : **84195**.
|
||
|
||
Félicitations, vous avez terminé votre premier CTF.
|
||
|
||
🎯 **La root est longue mais la voie est Libre** |