【Hack The Box二十五番勝負 Advent Calendar 2020】6日目 vs Blocky（●）

はじめに

これは、Hack The Box二十五番勝負 Advent Calendar 2020 6日目の記事です。

adventar.org

サマリ

• 対戦相手：Blocky
• 対戦日時：2020年12月6日 18:00 - 23:59
• 結果：敗北
• 主な敗因：
  • ディレクトリブルートフォースのやり方がヘタクソだった
• 通算成績：6戦1勝5敗

対戦相手

今回の対戦相手は「Blocky」です。 www.hackthebox.eu

Walkthrough

※以下、解法に関するネタバレです。

自分でやったこと

情報収集

• nmap
  • 以下のポートが開いていることを確認した。
    • FTP（21）
      • ProFTPdだが既知の脆弱性には該当せず。anonymousログインも不可。
    • SSH（22）
    • HTTP（80）
      • Wordpress4.8。
• Wpscan
  • Coreの脆弱性多数。一方でプラグインはakismetのみで、脆弱性があるバージョンではなかった。
  • ユーザー列挙で notch というユーザーがいることを確認した。
• Dirbuster
  • midiumサイズの辞書で実行。recursiveな実行にしていたからか index.php の下を掘ってばかりになっていたっぽい（敗因）。

侵入

• Hydra
  • ユーザーを notch に固定し、SSHとWordpressの両方でブルートフォースを試行（パスワードは rockyou.txt を参照）するも、失敗した。

その他、Wpscanで見つかった脆弱性を色々試すも全て失敗しました。

残りの手順

Writeupは公式のものを参考にしています。

侵入

• Dirbusterを使って /plugins を発見する。- 2つの .jar ファイルがある。
• 一方を jd-gui （はじめて使った！）でデコンパイルすると、MySQLのクレデンシャルが出てくる。
• ユーザー notch 、パスワードは .jar ファイルに含まれているものを使ってSSHログインすると notch でログインできる。own user。

権限昇格

• sudo -s できた。own root。

KPT（Keep-Problem-Try）

Keep

• Hydraめちゃくちゃめんどくさがってたけど、いい感じのチートシート見つけられてよかった。 https://github.com/frizb/Hydra-Cheatsheet
• jd-gui は収穫だった。
• がんばってブルートフォースした。

Problem

• がんばってブルートフォースしたが、やり方が悪かった。
• 土日あんまりちゃんとやらない。

Try

• ブルートフォース、最初は再帰実行せずに浅めに探して、その後必要に応じて掘るようにする。
• 家にいるとやらないから、外出るか…？