나는 최근에 우리 대학에서 CTF 행사를 위해 THM Room을 개발했으며 여기에 Walkthrough가 있습니다!!

링크:https://tryhackme.com/jr/weak

참고: 상자가 모든 서비스를 제대로 시작하는 데 최대 5~7분이 소요되므로 약간의 인내심이 필요합니다. :)

정찰

상자의 기본 포트 스캔은 포트 80 및 22가 유효한 서비스(각각 http 및 ssh)로 열려 있음을 나타냅니다.

열거

HTTP

http 페이지에는 활성화된 버튼 같은 것이 없으므로 소스 코드 분석 및 디렉토리 버스팅이 제가 할 일입니다.

이 특정 의견은 tyrone이 상자에서 유효한 사용자일 가능성을 간청합니다.

한편, 디렉토리 버스팅은 impressum.txt라는 파일의 존재를 드러냅니다.

운 좋게도 ssh 로그인을 위한 개인 키처럼 보입니다.

2개와 2개를 합치면 tyrone에 대한 로그인이 가능합니다.

더 많은 열거

로그인 후 local.txt는 /home/tyrone/에서 즉시 찾을 수 있습니다.

또한 /var/www/html/에는 우리가 읽을 수 없는 flag2라는 파일이 있습니다.

자세히 보면 tyrone 자신이 소유하고 있으므로 권한을 변경하고 읽을 수 있습니다.

파일 내용에 대한 일반적인 grep은 권한을 변경하면 읽을 수 있는 두 개의 파일을 더 보여줍니다.

루트 디렉토리에는 tyrone이 읽을 수 있는 텍스트 파일이 있지만 분명히 플래그는 아닙니다.

baseRot1364는 rot13을 둘러싼 base64 래퍼처럼 보입니다.

Base64 — Rot13 — Base64

권한 에스컬레이션

사용자 tyrone은 sudo 권한이 없으며 모든 디렉토리에서 이러한 자격 증명을 사용할 수 없습니다.

다음 명령으로 SUID 비트를 보면 모든 사용자가 바이너리를 소유한 사용자로 실행할 수 있는 바이너리를 볼 수 있습니다.

find / -perm -4000 2>/dev/null

이제 파일 시스템의 모든 파일을 덮어쓸 수 있습니다. ( /etc/passwd를 통한 Easy Priv Esc)

그러나 표시하고 싶은 또 다른 권한 에스컬레이션 벡터가 있습니다.

모니터 서비스에서 실행 중인 crontab을 확인할 수 있습니다.

Something, Somewhere가 스크립트를 트리거합니다.

간편한 GTFOBins 명령을 통해 이제 루트 액세스를 쉽게 사용할 수 있습니다.

루트로 cd하고 proof.txt ezpz를 가져옵니다.

모든 의견, 제안 또는 비평은 Twitter, LinkedIn을 통해 나에게 전달하거나 여기에 댓글을 달 수 있습니다.

@JodisKripe