最初に

今日はTryHackMeのBlogをやっていきます！

Task1 Blog

なんとなく設問の順番が気になるので、並び替えます。。。
設問の前に記載している番号がもともとの順番になります！

4. What CMS was Billy using?

まずnmapを実施します

タイトルがBlogなだけあって、ポート80番は開いていますね。
さっそくアクセスします

ITをテーマにしたBlogですね
一番下にCMSが記載されています！

5. What version of the above CMS was being used?

ページのソースを見てみると、バージョンの記載がありました！

「Wordpress 5.0 exploit」で検索してみると画像アップロードに関する脆弱性があるみたいですね～

3. Where was user.txt found?

ポート139と445も開いていたので、SMBも利用されているみたいです
smbclient -Lで共有されているアカウントを探します

（パスワードは何も入力していないです）

BillySMBが使えそうと思ってアクセスしてみると、パスワードなしで入れてしまいました！

3つの画像・動画がありましたので、すべてダウンロードしておきます

JPEGがあったので、stegseekしてみたところ、テキストが埋め込まれていました

内容は以下です（意味深（意味不明）ですね。。。）

You've found yourself in a rabbit hole, friend.

JPEGとPNGをBINWALKしてみたところ、PNGの方は何かありそうです

zlib-flateでZlibファイルを解凍してみましたが、何も記載されていませんでした。。。

PNGは見た目がQRコードだったので、以下サイトでURLにもどしてました

URLの先は「Billy Joel - We Didn't Start the Fire (Official HD Video)」のYoutubeでした（作者が好きなのか？！）

ーーーーーーーーーー
ここで完全に行き詰ってしまったので、Writeupを見てみる

wpscanだと、、、、（初心者）

さっそく使ってみるーー

まずはユーザーの列挙から！

bjoel, kwheelのアカウントがあるみたいです

この二つのアカウントについて、パスワードクラック（ブルートフォース）したところ、kwheelは取得できました

[SUCCESS] - kwheel / cutiepie1

この情報で、CVE-2019-8943の脆弱性を利用して、エクスプロイトしていきます

shellを起動します

user.txtを検索したらヒットしたので、開いてみるとあからさまに「違うよ」という文言が、、、、

仕方がないので、地道に探していくと、いい感じの文字数のフォルダがありました！

2. user.txt

/media/usbが所有者しか開くことができないので、sudo -lとSUIDビットを調べてみます

/usr/sbin/checkerが見かけないですね～

適当に実行してみたところ、Not an Adminとでるだけ。。。。

catで中身を調べてみますが、そのままで読めない。

ローカルにcheckerをダウンロードして、Ghidraでデコンパイルしてみます

undefined8 main(void)

{
  char *pcVar1;
  
  pcVar1 = getenv("admin");
  if (pcVar1 == (char *)0x0) {
    puts("Not an Admin");
  }
  else {
    setuid(0);
    system("/bin/bash");
  }
  return 0;
}

このコードは環境変数adminの値がNULLなら、Not a Adminと出力して、NULLでなければ、Rootでシェルを開くみたいです

では、さっそく環境変数adminに適当な値をセットしてみます

その後に、/usr/sbin/checkerを実行したら、Rootでシェルが起動しました！

あとは、/media/usb/user.txtを開くだけです

1. root.txt

一つ前で、Root権限でシェルを実行できたので、そのまま/root/root/txtをひらけばフラグが取れます！

最後に

今回学んだことは以下2つです

Wordpressにはwpscan
実行ファイルはGhidraでデコンパイル

メモ

`wpscan --url http://10.10.84.92 --enumerate u`の出力

[i] Updating the Database ...
[i] Update completed.

[+] URL: http://10.10.84.92/ [10.10.84.92]
[+] Started: Wed Oct 16 22:06:27 2024

Interesting Finding(s):

[+] Headers
 | Interesting Entry: Server: Apache/2.4.29 (Ubuntu)
 | Found By: Headers (Passive Detection)
 | Confidence: 100%

[+] robots.txt found: http://10.10.84.92/robots.txt
 | Interesting Entries:
 |  - /wp-admin/
 |  - /wp-admin/admin-ajax.php
 | Found By: Robots Txt (Aggressive Detection)
 | Confidence: 100%

[+] XML-RPC seems to be enabled: http://10.10.84.92/xmlrpc.php
 | Found By: Direct Access (Aggressive Detection)
 | Confidence: 100%
 | References:
 |  - http://codex.wordpress.org/XML-RPC_Pingback_API
 |  - https://www.rapid7.com/db/modules/auxiliary/scanner/http/wordpress_ghost_scanner/
 |  - https://www.rapid7.com/db/modules/auxiliary/dos/http/wordpress_xmlrpc_dos/
 |  - https://www.rapid7.com/db/modules/auxiliary/scanner/http/wordpress_xmlrpc_login/
 |  - https://www.rapid7.com/db/modules/auxiliary/scanner/http/wordpress_pingback_access/

[+] WordPress readme found: http://10.10.84.92/readme.html
 | Found By: Direct Access (Aggressive Detection)
 | Confidence: 100%

[+] Upload directory has listing enabled: http://10.10.84.92/wp-content/uploads/
 | Found By: Direct Access (Aggressive Detection)
 | Confidence: 100%

[+] The external WP-Cron seems to be enabled: http://10.10.84.92/wp-cron.php
 | Found By: Direct Access (Aggressive Detection)
 | Confidence: 60%
 | References:
 |  - https://www.iplocation.net/defend-wordpress-from-ddos
 |  - https://github.com/wpscanteam/wpscan/issues/1299

[+] WordPress version 5.0 identified (Insecure, released on 2018-12-06).
 | Found By: Emoji Settings (Passive Detection)
 |  - http://10.10.84.92/, Match: 'wp-includes\/js\/wp-emoji-release.min.js?ver=5.0'
 | Confirmed By: Meta Generator (Passive Detection)
 |  - http://10.10.84.92/, Match: 'WordPress 5.0'

[i] The main theme could not be detected.

[+] Enumerating Users (via Passive and Aggressive Methods)
 Brute Forcing Author IDs - Time: 00:00:02 <=====================================> (10 / 10) 100.00% Time: 00:00:02

[i] User(s) Identified:

[+] bjoel
 | Found By: Wp Json Api (Aggressive Detection)
 |  - http://10.10.84.92/wp-json/wp/v2/users/?per_page=100&page=1
 | Confirmed By:
 |  Author Id Brute Forcing - Author Pattern (Aggressive Detection)
 |  Login Error Messages (Aggressive Detection)

[+] kwheel
 | Found By: Wp Json Api (Aggressive Detection)
 |  - http://10.10.84.92/wp-json/wp/v2/users/?per_page=100&page=1
 | Confirmed By:
 |  Author Id Brute Forcing - Author Pattern (Aggressive Detection)
 |  Login Error Messages (Aggressive Detection)

[+] Karen Wheeler
 | Found By: Rss Generator (Aggressive Detection)

[+] Billy Joel
 | Found By: Rss Generator (Aggressive Detection)

[!] No WPScan API Token given, as a result vulnerability data has not been output.
[!] You can get a free API token with 25 daily requests by registering at https://wpscan.com/register

[+] Finished: Wed Oct 16 22:06:49 2024
[+] Requests Done: 75
[+] Cached Requests: 5
[+] Data Sent: 14.343 KB
[+] Data Received: 21.861 MB
[+] Memory used: 163.02 MB
[+] Elapsed time: 00:00:21