f:id:befs_anne:20201209012745p:plain

はじめに

サマリ

今回の対戦相手は「Teacher」です。 www.hackthebox.eu

※以下、解法に関するネタバレです。

Hydra
- giovanni や Giovanni を含むユーザーリストと rockyou.txt で -u オプションでパスワードスプレー方式（？）によるブルートフォースを試行していた。
- 画像ファイルに見せかけたテキストファイルの件を受けて、Pythonの string.printable を使用してパスワードリストを作って実行した。
- しかし、Hydraの出力では全て試行失敗。おそらくコマンドのどこかが誤っていた。
  - ログインボタンをクリックすると一度303リダイレクトされるような動きをしていたので、ここが考慮されていなかった可能性が高い。
Pythonスクリプト
- Pythonでログイン試行スクリプトを作成しレスポンスサイズを確認しつつ、Wiresharkでパケットをチェックした。
- たまたま成功時らしきレスポンスを発見した。パスワードが Th4C00lTheacha# であることが分かった。
エクスプロイト
- searchsploit でMoodleのRCEエクスプロイトを発見し実行。 www-data ユーザーでのリバースシェルを確立した。

このあたりでタイムアップしました。以降は時間切れ後（だがWriteupは見ていない）のトライです。

その他、PHPMyAdmin周りを確認するもめぼしいものは見つからず、ギブアップしました。

Writeupは公式のものを参考にしています。

MySQL
- mdl_user テーブルの内容をよく確認すると、 Giovannibak ユーザーのパスワードのみMD5だった。
デハッシュ（と言うとおこられることがあるらしいが）
- （hashcat や john が正しく使えなかったので）外部のMD5レインボーテーブルで確認したところ、平文は expelled であるようだった。
giovanni での権限昇格
- su giovanni してパスワードは expelled でログイン試行したところ成功した。own user。

giovanni のホームディレクトリ内にある work/tmp にバックアップを作成するスクリプト/usr/bin/backup.sh が root ユーザーのcronジョブで作成されているらしい（Writeup中には具体的な確認方法について記載がなかったが、 pyps64 などで分かりそうだ）。
/usr/bin/backup.sh の中身を見ると、バックアップ元は courses/* と指定されているため、 courses という名前の /root へのシンボリックリンクファイルを作ってしまえば、/root/* がバックアップされる ということになる（悪いことを考える人がいるものだ、と思った）。
この方法で root.txt が生成され、own root。