# Room 2 : LazyAdmin

## Enumeration&#x20;

Quét các cổng TCP đang mở bằng Nmap:\\

<figure><img src="https://3136030872-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fm4dYmjCPfZ75iDowVirL%2Fuploads%2Fno2phZTlk0SkoqZ6d0b2%2Fimage.png?alt=media&#x26;token=c9f8942c-2df8-4467-b896-efeebf2c7db3" alt=""><figcaption></figcaption></figure>

Như vậy, chỉ có 2 cổng  mở là port 22 với dịch vụ SSH và port 80 với dịch vụ HTTP

### **Enumeration** HTTP 80

1. Tìm tệp và thư mục ẩn bằng gobuster:

<figure><img src="https://3136030872-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fm4dYmjCPfZ75iDowVirL%2Fuploads%2FhwPP8jXYkViXt6Qw1qkP%2Fimage.png?alt=media&#x26;token=de77e3f2-d8f4-40e7-b916-51e71e06e160" alt=""><figcaption><p>Một thư mục ẩn được tìm thấy</p></figcaption></figure>

Tiếp tục khai thác tìm bằng gobuster:

<figure><img src="https://3136030872-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fm4dYmjCPfZ75iDowVirL%2Fuploads%2FLzQHbnMguJ7dd1ZIkX7K%2Fimage.png?alt=media&#x26;token=d7e95daf-6d2f-4658-9611-139a35ce042a" alt=""><figcaption></figcaption></figure>

Một số thư mục ẩn cấp 2 được tìm thấy. Khám phá

1.1 **/images:** Đây chỉ là thư mục chứa những ảnh trên website

\\

<figure><img src="https://3136030872-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fm4dYmjCPfZ75iDowVirL%2Fuploads%2FmMT4fB4FZiu0yyJAyekU%2Fimage.png?alt=media&#x26;token=62dfb26a-1ddd-49d9-9ec4-0ffefa1b705d" alt=""><figcaption></figcaption></figure>

1.2 /js:&#x20;

<figure><img src="https://3136030872-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fm4dYmjCPfZ75iDowVirL%2Fuploads%2FqdMDF8ATbVTnKxOHcS2K%2Fimage.png?alt=media&#x26;token=13ca4e12-e837-4844-9f64-34261413fcf0" alt=""><figcaption></figcaption></figure>

1.3 **/inc:** Đúng như tên lab, người quản trị đã quên 1 file back-up của cơ sở dữ liệu trên hệ thống mà cho phép bất kì ai cũng có thể truy cập.

<figure><img src="https://3136030872-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fm4dYmjCPfZ75iDowVirL%2Fuploads%2FQHtU4m2BBPOAXkKV5bqv%2Fimage.png?alt=media&#x26;token=46a7b076-5d2f-4e90-a411-2172b99965b2" alt=""><figcaption></figcaption></figure>

Tải file này về và tìm kiếm những thứ có ích cho việc khai thác.

<figure><img src="https://3136030872-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fm4dYmjCPfZ75iDowVirL%2Fuploads%2FCESGWZouaVFe1GcXfzu1%2Fimage.png?alt=media&#x26;token=a92bea2c-20ea-440e-96fa-03ac4dc5e5cc" alt=""><figcaption></figcaption></figure>

1.4 **/as : login form**

<figure><img src="https://3136030872-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fm4dYmjCPfZ75iDowVirL%2Fuploads%2FHpE07yinwQDs2J5UtYfr%2Fimage.png?alt=media&#x26;token=1e001392-d07a-4c9c-a399-f07bf43d8348" alt=""><figcaption></figcaption></figure>

1.5 /\_themes và /attachment đều rỗng

2. Khám phá file mysql\_backup, một tài khoản và mật khẩu quản trị được tìm thấy:\\

   <figure><img src="https://3136030872-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fm4dYmjCPfZ75iDowVirL%2Fuploads%2FDVzhVNv734q7oeQMhXyJ%2Fimage.png?alt=media&#x26;token=85237000-db36-48d6-9d61-fcaab3a078df" alt=""><figcaption></figcaption></figure>

Username: manager\
Password: 42f749ade7f9e195bf475f37a44cafcb\
Dường như mật khẩu này bị mã hóa. Giờ đây, cần crack để tìm mật khẩu. \\

<figure><img src="https://3136030872-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fm4dYmjCPfZ75iDowVirL%2Fuploads%2FLtgqqoEojALqE0AceQgH%2Fimage.png?alt=media&#x26;token=5e402cdd-df2e-4659-9cbb-f26145fce65a" alt=""><figcaption></figcaption></figure>

Mật khẩu được mã hóa bằng MD5 nhưng rất dễ đoán, chính vì vậy, mật khẩu được crack nhanh chóng.

### Login to Manager website

Với tài khoản và mật khẩu trên, ta đăng nhập vào trang quản lí website\\

<figure><img src="https://3136030872-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fm4dYmjCPfZ75iDowVirL%2Fuploads%2FhKIIgiZeQgCVXMNYJ3GD%2Fimage.png?alt=media&#x26;token=fd75b1cf-0448-4132-bf60-44b6bd2efe18" alt=""><figcaption></figcaption></figure>

Thông tin thêm được biết thì Website đang phiên bản 1.5.1. Đối với trang quản lí này, ta có thể tạo và sửa đổi bất cứ thứ gì. Đến đây, việc cần thiết là thiết lập một kết nối về máy của chúng ta.\
Trước tiên, cần tải lên 1 file reverse shell:\\

<figure><img src="https://3136030872-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fm4dYmjCPfZ75iDowVirL%2Fuploads%2Fr9aVWIZy2ZkJqilodYrG%2Fimage.png?alt=media&#x26;token=88883dfd-c8bb-45d5-8cb9-f06381eccdc4" alt=""><figcaption></figcaption></figure>

Trong mục POST có phần tải file lên. Như vậy ta có thể upload file reverse của chúng ta ở đây.

## Reverse Shell

File reverse\_shell.php bị chặn không cho phép tải lên. Điều này là do tiện ích mở rộng .php đang được lọc và không được phép tải lên, do đó chúng tôi sẽ phải bỏ qua quá trình tải lên bằng cách đổi tên tập lệnh thành tiện ích mở rộng không phổ biến phtml, php5, ...

<figure><img src="https://3136030872-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fm4dYmjCPfZ75iDowVirL%2Fuploads%2FnR2Gd7QJlcz7OuhHVXPa%2Fimage.png?alt=media&#x26;token=e5cbc11d-f127-4ef3-b35e-b4feb07b001c" alt=""><figcaption></figcaption></figure>

<figure><img src="https://3136030872-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fm4dYmjCPfZ75iDowVirL%2Fuploads%2FtWiguPon82Shl7haCZFW%2Fimage.png?alt=media&#x26;token=044a2e19-f829-4488-b4d4-ceef73e74574" alt=""><figcaption><p>File reverse đã được tải lên. </p></figcaption></figure>

Thực thi tập lệnh và kiểm tra lại trình nghe nc. Kết nối đã được thiết lập.

<figure><img src="https://3136030872-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fm4dYmjCPfZ75iDowVirL%2Fuploads%2F3YJV0Vk8QA59BbgKEsfu%2Fimage.png?alt=media&#x26;token=497a3270-bc8a-40fc-ae66-ce3275870d43" alt=""><figcaption></figcaption></figure>

## Flag 1:

<figure><img src="https://3136030872-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fm4dYmjCPfZ75iDowVirL%2Fuploads%2FoPdZMJAlTSiT4OfnX3JZ%2Fimage.png?alt=media&#x26;token=1707794f-5524-453c-9044-05ac1df2a589" alt=""><figcaption></figcaption></figure>

## Flag 2 - Leo thang đặc quyền

Check đặc quyền của người dùng hiện tại trong hệ thống:\\

<figure><img src="https://3136030872-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fm4dYmjCPfZ75iDowVirL%2Fuploads%2FZmLtPEuIdALAhSReI6FT%2Fimage.png?alt=media&#x26;token=fe4bbcae-66d9-485c-b3fd-72db24abe51d" alt=""><figcaption></figcaption></figure>

Người dùng www-data có thể thực thi tập lệnh trong file backup.pl mà không cần mật khẩu.\\

<figure><img src="https://3136030872-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fm4dYmjCPfZ75iDowVirL%2Fuploads%2FyBwhWaao9J6wb77DfIsD%2Fimage.png?alt=media&#x26;token=dcc0dda4-4ffe-416b-9962-38a7f456d39c" alt=""><figcaption></figcaption></figure>

File backup.pl được sử hữu bởi root, chúng ta có thể đọc và thực thi nó và đồng thời khi chúng ta thực thi, nó sẽ chạy với quyền root. Nhưng chúng ta không thể sửa vì không có quyền ghi.

Nhưng trong file đó, có một tập lệnh khác đang được gọi.\
\\

<figure><img src="https://3136030872-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fm4dYmjCPfZ75iDowVirL%2Fuploads%2Ftglwv1LQR7ZP7K5gJN0P%2Fimage.png?alt=media&#x26;token=c66da5e6-dfd9-43d8-9c93-cffa9d89a159" alt=""><figcaption></figcaption></figure>

<figure><img src="https://3136030872-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fm4dYmjCPfZ75iDowVirL%2Fuploads%2FGz859NiXh880pP4ECpWL%2Fimage.png?alt=media&#x26;token=8b71b538-1558-429d-82d7-0e350178684f" alt=""><figcaption></figcaption></figure>

Như vậy, có quyền ghi vào file này. Sửa IP và Port để kết nối với máy của chúng ta.\\

<figure><img src="https://3136030872-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fm4dYmjCPfZ75iDowVirL%2Fuploads%2FbIbPinnqgOPaKYD1BjGA%2Fimage.png?alt=media&#x26;token=0d27e9e6-a9f5-466f-8e1c-79cd4b64660a" alt=""><figcaption></figcaption></figure>

Thực thi tập lệnh:\\

<figure><img src="https://3136030872-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fm4dYmjCPfZ75iDowVirL%2Fuploads%2F8nmcg6KORwGFehOPiLes%2Fimage.png?alt=media&#x26;token=46a71109-6409-4038-903e-cec46926e9ef" alt=""><figcaption></figcaption></figure>

Chiếm được quyền root và đọc cờ:\\

<figure><img src="https://3136030872-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fm4dYmjCPfZ75iDowVirL%2Fuploads%2FDce9ikiRLZ1tuBZzxN1e%2Fimage.png?alt=media&#x26;token=2fc9708f-4523-4480-b600-c7dc4f7091f7" alt=""><figcaption></figcaption></figure>
