概要
TryHackMe「TakeOver」のWalkthroughです。
Task1
Q1.What's the value of the flag?
Hint.This is an enumeration challenge, once you will find it, it will straight up give you the flag.
ポートスキャンを実行します。
$ nmap -Pn -T4 -sVC -A -p- 10.10.18.78 -oN nmap_result
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 8.2p1 Ubuntu 4ubuntu0.4 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey:
| 3072 dd:29:a7:0c:05:69:1f:f6:26:0a:d9:28:cd:40:f0:20 (RSA)
| 256 cb:2e:a8:6d:03:66:e9:70:eb:96:e1:f5:ba:25:cb:4e (ECDSA)
|_ 256 50:d3:4b:a8:a2:4d:1d:79:e1:7d:ac:bb:ff:0b:24:13 (ED25519)
80/tcp open http Apache httpd 2.4.41 ((Ubuntu))
|_http-server-header: Apache/2.4.41 (Ubuntu)
|_http-title: Did not follow redirect to https://futurevera.thm/
443/tcp open ssl/http Apache httpd 2.4.41 ((Ubuntu))
|_ssl-date: TLS randomness does not represent time
| tls-alpn:
|_ http/1.1
|_http-title: FutureVera
| ssl-cert: Subject: commonName=futurevera.thm/organizationName=Futurevera/stateOrProvinceName=Oregon/countryName=US
| Not valid before: 2022-03-13T10:05:19
|_Not valid after: 2023-03-13T10:05:19
|_http-server-header: Apache/2.4.41 (Ubuntu)
ポートの稼働状況が分かりました。
| ポート | サービス | バージョン |
|---|---|---|
| 22 | ssh | OpenSSH 8.2p1 |
| 80 | http | Apache httpd 2.4.41 |
| 443 | https | Apache httpd 2.4.41 |
ドメインを追加し、80,443ポートにアクセスすると同様のサービスが展開されています。
80番ポートのサブドメインを列挙すると2つのサブドメインが見つかりました。
$ ffuf -c -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-110000.txt -H "Host: FUZZ.futurevera.thm" -u http://futurevera.thm -fw 1
portal [Status: 200, Size: 69, Words: 9, Lines: 2, Duration: 239ms]
payroll [Status: 200, Size: 70, Words: 9, Lines: 2, Duration: 239ms]
両方から有用な情報は得られませんでした。
443ポートのサブドメインを列挙すると、また2つのサブドメインが見つかりました。
$ gobuster vhost -k --append-domain -u https://futurevera.thm -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-110000.txt -t 100
Found: blog.futurevera.thm Status: 421 [Size: 408]
Found: support.futurevera.thm Status: 421 [Size: 411]
blogサブドメインからは何も得られませんでした。
supportサブドメインにアクセスします。
証明書を確認するとDNS Nameの項目から更なるサブドメインを発見しました。
ドメインにアクセスするとフラグを入手できました。
A.flag{beea0d6edfcee06a59b83fb50ae81b2f}