Reconnaissance

• ssh와 웹서비스가 띄워져 있다.

• 웹서비스를 열심히 둘러보았는데 기능이랄게 로그인밖에 없었다.

• 브루트포스도 성과가 없었고, 크리덴셜을 확보하지 못했다.

• /admin도 /login으로 리다이렉트 돼서 결국 로그인을 해야한다.

• 열심히 헤매다가 guide mode에서 힌트를 얻었는데, /error 엔드포인트의 error page가 개발 프레임워크가 spring boot라는 정보를 주고 있었다.

• 그래서 spring 기반의 worlist로 바꿔서 gobuster를 돌려보았다.

• spring boot는 /actuator 엔드포인트에서 운영중인 애플리케이션의 상태를 모니터링/관리할 수 있는 내장기능을 갖고 있다고 한다.
• /actuator/health : 앱 및 연결된 DB, 디스크 등 헬스체크 상태
• /actuator/info : 빌드/버전 등 커스텀 정보
• /actuator/env : 환경변수
• 등…

• 여기서는 /actuator/sessions에서 크리덴셜을 확보할 수 있었다.

• 처음엔 저 왼쪽값이 뭘까 싶었는데 JSESSIONID 값과 유사해서 저걸 쿠키로 쓰면 /admin 에 접근이 가능하겠구나 싶었다.

• 역시 /admin 에 접근할 수 있었고, 여기서 hostname과 username을 입력해서 내부적으로 ssh 연결을 시도하는 기능이 있었다.

• 아주 Command injection 스럽다.

Exploitation

• 열심히 찔러본 결과 username쪽에 공백없이 백틱으로 감싸주면서 RCE가 가능한걸 확인했다.

• 최종적으론 burp에서 이렇게 요청을 보냈는데, 공백을 검사하고 있어서 ${IFS}와 base64 인코딩을 통해 공백을 우회하여서 내 서버에 리버스셸을 붙힐 수 있었다.

• 그런데 아직 /home/josh 로의 권한상승이 필요한 상황이다.

• 작업 디렉토리에 jar파일이 있어서 nc로 받아와서 뜯어보았다.

• jadx로 열어보았더니 application.properties에 db접속정보가 들어있었다.

• 얻어낸 db 접속정보로 db에 접속하여 admin계정의 비밀번호 해시를 얻어내었다.

• hashcat으로 크랙이 되었고 비밀번호를 얻어내었다.

• josh의 비밀번호로 사용해보니 로그인에 성공하였다.

• ( josh / manchesterunited )

• user flag 획득!

Privilege Escalation

• 바로 권한상승을 위해 sudo -l을 실행해보니 ssh 모든 옵션에 대해 root 권한이 있었다.

• 검색해보니 어렵지않게 방법을 찾을 수 있었다.

• ssh -o ProxyCommand=CMD host 이 옵션은 원래 실제 TCP 연결 대신에 CMD를 실행하고 그 프로세스의 stdin/stdout을 소켓처럼 사용하겠다는 의미이다.

• ;sh 0<&2 1>&2 부분을 통해 쉘의 표준 입출력을 stderr로 교체하는 원리이다. fd 0/1 은 통신용으로 가로채어지고, fd 2만 터치받지 않고 터미널에 그대로 연결되어 있기 때문이다.

• root flag 획득!

Mitigation

• Spring Boot Actuator: /actuator/sessions, /env 등 민감 엔드포인트는 프로덕션에서 비활성화하거나 인증/IP 제한 적용.

• Command Injection: SSH 연결 기능에 사용자 입력(hostname, username)을 그대로 셸에 넘기지 말고 화이트리스트 검증 및 파라미터화 처리.

• 비밀번호 정책: bcrypt를 쓰더라도 manchesterunited처럼 rockyou에 있는 약한 비밀번호는 무의미하므로 강력한 비밀번호/MFA 적용.

• sudoers 설정: ssh, vim, find 등의 바이너리를 NOPASSWD 전체 옵션 허용으로 등록하지 말고, 필요한 인자만 고정해서 사용. (ex. josh ALL=(ALL) NOPASSWD: /usr/bin/ssh josh@10.10.16.100)

• JAR 파일에 DB 크리덴셜 하드코딩 금지: application.properties는 환경변수나 별도 시크릿 매니저로 분리.