Reverse shell

Reverse Shell Cheat Sheet

#Netcat #Shell #ReverseShell #WebShell
#PowerShell #Payloads #Msfvenom

https://reconshell.com/reverse-shell-cheat-sheet/

Предложили пойти на "Лаборатория Касперского проводит студенческий чемпионат по игре в KIPS".
Думал, что там будет что-то интересное, но оказалась, что это киберучения по ИБ от Касперского в виде монополии

Пройдено 2 этапа, остался финал

Написал 2 таска на школьный мстф, если разрешат, то залью сюда сурцы

Решил тачку secret на htb, потратил около 9-10 часов

Подъехал райтап на shibboleth

Подвёл итоги и семью.
А если серьезно, то почти за год прошёл путь от полнейшего ламера до стажера пентестера в сбере
Upd. Не пошел туда
Теперь я часть команды в Ростелеком-солар

Active directory

https://zer1t0.gitlab.io/posts/attacking_ad

1,5 часика с кружкой чая, и toxic поддался мне

Спустя полуторамесячного перерыва начал читать эту книжку. После ознакомления с первыми двумя главами, хочу сказать, что она достаточно интересная

Oscp 2021

Наконец-то закончил разработку приложения, которое позволяет получить полезную информацию о NS-серверах. Также может находить поддомены по выбранному словарю.

Недавно столкнулся с тем, что пришлось восстанавливать приватный RSA-ключ из частичного PEM'а.
Поэтому решил поделиться решением данной проблемы

Книжка по шеллкодам

Наконец-то решил вернуться к хтб и за неделю взял хакера

За время отсутствия постов обнаружил уязвимость в systemctl status, которая в некоторых случая позволяет произвести lpe.
Если размер терминала меньше длины выводимой строки, то вся информация будет выдана в пейджере LESS. Существует переменная окружения $LESSSECURE, которая запрещает выполнение команды, если eUID не совпадает с UID. Существует еще одна переменная окружения $SYSTEMD_PAGERSECURE, которая делает тоже самое, но в контексте systemctl. Дальнейший текст является выдержкой из официального мануала по systemctl.
$SYSTEMD_PAGERSECURE takes a boolean argument. When true, the "secure" mode of the pager is enabled; if false, disabled. If $SYSTEMD_PAGERSECURE is not set at all, secure mode is enabled if the effective UID is not the same as the owner of the login session, see geteuid(2) and sd_pid_get_owner_uid(3). In secure mode, LESSSECURE=1 will be set when invoking the pager, and the pager shall disable commands that open or create new files or start new subprocesses. When $SYSTEMD_PAGERSECURE is not set at all, pagers which are not known to implement secure mode will not be used. (Currently only less(1) implements secure mode.)
Note: when commands are invoked with elevated privileges, for example under sudo(8) or pkexec(1), care must be taken to ensure that unintended interactive features are not enabled. "Secure" mode for the pager may be enabled automatically as describe above. Setting SYSTEMD_PAGERSECURE=0 or not removing it from the inherited environment allows the user to invoke arbitrary commands. Note that if the $SYSTEMD_PAGER or $PAGER variables are to be honoured, $SYSTEMD_PAGERSECURE must be set too.
Судя по тому, что написано в мануале, то исполнение команд невозможно, если uid, от которого запускается команда, отличается от uid, от которого запущена сессия. И на большинстве дистрибутивов это так и работает, например: debian, kali, parrot, ubuntu 22 ветки и мб еще где-нибудь (эти дистрибутивы я проверял), но в некоторых системах, данные средства защиты никак не защищают такие, как ubuntu 20 ветки, rhel 8.
В ходе ресерча был обнаружен тред 2017 года с этой проблемой, в нем были предложены различного рода исправления данной уязвимости, но у меня ни одно из предложенных решений не отработало. PoC представлен в скриншоте, тестировалось на последней версии (на данный момент) ubuntu 22.04.5