Hackerlab Неделя 4: Секретный кабинет - recon → exploitation chain

[Сергей Попов]

Старт: вторник, 23 июня, 10:00. Дедлайн: воскресенье, 28 июня, 23:59 МСК. Финальная неделя серии «Сетевая разведка за 30 дней».

Recon - не отдельная фаза, которая «закончилась». Это постоянный процесс: на каждом шаге эксплуатации возвращаемся к recon уровнем глубже. Эта неделя про переход от «нашёл сервис» к «вошёл». Один target, четыре инструмента в цепочке - то, как реальный engagement и выглядит.

Задача недели​

Секретный кабинет - HackerLab, Pentest Machines, 500 очков, retired. По описанию - известен маршрут к «секретному кабинету», но нужен пароль. Классический сценарий: enumeration → discovery → бруteforce auth → access. Все три недели серии складываются в одну задачу.

Открыть: hackerlab.pro.

Инструменты этой недели​

Не четыре инструмента, а одна цепочка. Каждый шаг кормит следующий.

• Шаг 1: nmap -sV -p- <ip> - все порты + версии. Находим веб-сервис (обычно есть в Pentest Machines)
• Шаг 2: gobuster dir -u http://<host> -w wordlist.txt -x php,html - directory bruteforce, ищем нестандартные пути к auth-форме
• Шаг 3: Burp Repeater - ловим запрос авторизации, разбираем параметры. Что POST, что в headers, как сервер отвечает на верный/неверный ввод
• Шаг 4: hydra -l admin -P rockyou.txt <host> http-post-form "/path:user=admin&pass=^PASS^:F=Wrong" - брутфорс на основе данных из шага 3

Реальные engagement'ы выглядят похоже: разведка - ещё одна разведка глубже - таргетированная атака. Если на шаге 4 hydra не находит пароль - значит шаги 1-3 нужно повторить с другим вектором.

Что почитать перед стартом​

• HackTricks: Brute Force checklist - таблица соответствия «протокол → hydra-синтаксис» + альтернативы medusa, patator
• PortSwigger Academy: Authentication - не про hydra, но про что атаковать: weak passwords, default creds, broken authentication logic

Обсуждаем в комментариях​

• В цепочке recon → enum → discovery → auth - на каком шаге у вас исторически «застревает» сильнее всего и почему?
• Hydra медленный/быстрый - какие параметры реально дают разницу: -t threads, -w wait, выбор wordlist? Где это превращается в hours vs minutes?
• Какие 2-3 параметра запроса вы сохраняете в Burp Repeater для повторного использования между задачами?

В зачёт идут те, кто раньше «Секретный кабинет» не решал. Флаги, сданные до 23 июня 10:00 МСК, в конкурсе не учитываются.
Анти-спойлер: до воскресенья 23:59 - цепочка обсуждается на уровне подходов, не конкретного пути на этой машине. После дедлайна - открываются полные writeup'ы.

Серия: Сетевая разведка за 30 дней. Следующий понедельник, 29 июня - финальный wrap-up: итоги серии, лучшие writeup'ы участников, что дальше.

 

[r0dd9]

1. В цепочке recon → enum → discovery → auth - на каком шаге у вас исторически «застревает» сильнее всего и почему?

На Discovery

Discovery - интеллектуально сложен, потому что требует синтеза и интуиции, которая растёт только через практику. Интеграция данных, поиск связей, выбор вектора атаки. Требует контекстного мышления, анализа несовпадений, неочевидных конфигов, логов, исходного кода, CMS-специфичных путей и т.п.
Инструменты слепы к контексту: nuclei, sqlmap, wfuzz — дают ложные срабатывания или пропускают уязвимости, если данные не в шаблоне.
Чтобы понять - какой запрос сформировать, нужно представить, как работает бэкенд.

Recon - технически сложен, но алгоритмичен. Есть чёткие инструменты (nmap, masscan) и понятные паттерны.
Enum - Инструменты стабильны (gobuster, ffuf, nuclei), а логика (поиск .php, admin/, backup) предсказуема.

В Секретном кабинете я обнаружил редирект index.php - login.php, затем нашел cookie PHPSESSID, и реализовал связь: если есть PHPSESSID, значит PHP-сессии, значит - MySQL/SQLite, значит — SQLi в параметрах входа.

2. Hydra медленный/быстрый - какие параметры реально дают разницу: -t threads, -w wait, выбор wordlist? Где это превращается в hours vs minutes?

Hydra ускоряется не количеством потоков, а правильным балансом между скоростью сервиса, таймаутами. Реальное время брута зависит от протокола и именно отсюда растут минуты - часы.

3. Какие 2-3 параметра запроса вы сохраняете в Burp Repeater для повторного использования между задачами?

Cookie, User-Agent

 

[Сергей Попов]

Финал. Четвёртая неделя закрыта, а вместе с ней закрыта и вся «Сетевая разведка за 30 дней». «Секретный кабинет» был не просто очередной задачей, а проверкой на то, сложилось ли у тебя за месяц главное умение: не дёргать приёмы по отдельности, а вести цель по цепочке от первого пакета до доступа.

Закрыл финал один человек: @r0dd9. Стенд был ретайнутый, кто-то проходил его и раньше, но по правилам в зачёт идут только те, кто взял задачу внутри окна и не решал её прежде. @r0dd9 сделал ровно это: взял «Секретный кабинет» в конкурсном окне и взял чисто. Мерч за нами, напишем в личку по адресу доставки.

Небольшой разбор, без полного прохождения. «Секретный кабинет» это вся серия, свёрнутая в один заход. Сначала разведка: nmap показывает, что слушает и где висит веб. Дальше в дело идёт то, чему была посвящена третья неделя: gobuster по словарю достаёт сам кабинет, тот самый скрытый путь, которого нет ни в одной ссылке на сайте. Но найти форму это только половина. Вторая половина в том, чтобы разглядеть, как форма устроена: какие поля шлёт, каким методом, что отвечает на неверный пароль. Без этого hydra бьёт вслепую и не отличает промах от попадания. И только когда ты знаешь путь и параметры формы, точечный словарь под неё закрывает последний шаг. Брутфорс это не «запустил и пошёл пить чай», это последнее звено, которое работает лишь после того, как ты уже выяснил, что и куда перебирать.

Теперь про всю дистанцию. Четыре недели мы шли от простого к настоящему: первая про то, как услышать порты и снять баннеры, вторая про то, как выжать из сервиса всё, третья про то, как разглядеть спрятанное в вебе, четвёртая про то, как собрать это в одну атакующую цепочку. Спасибо всем, кто прошёл хотя бы одну неделю: qkeqkell, sweat.suit, sdh, dodrios и Grohott на старте, дальше по дистанции Sovenochek, mkslkn и neksus7.

Отдельно про @r0dd9. Он единственный, кто взял три недели из четырёх: «Виртуальный сервер», GreenEdge и «Секретный кабинет», каждую в своём окне и без вбросов. Это и есть разведка как навык, а не как список команд. r0dd9, ты чемпион серии, и это честно заслужено.

Серия закрыта, но разведка на этом не кончается. Что будет дальше, расскажем отдельно. Спасибо, что были в деле. За сетевую разведку.