TryHackMe: Startup (Writeup)- Èric Eiximeno

Per a realitzar aquesta màquina, primer executem la comanda “nmap -sV 10.129.171.185” per a realitzar un escaneig de versions de l’NMAP. Podem veure que es troben tres serveis oberts amb diferents ports, sent un servidor FTP amb el port 21, un servidor SSH amb el port 22 i un servidor HTTP amb el port 80.

El primer servei que accedirem és el servei FTP. Primer executem “ftp 10.129.171.185” per a accedir al servei i posteriorment afegim el nom d’usuari “anonymous” per accedir al servidor com a usuari ànonim. Dins del directori principal del servidor FTP, podem veure dos fitxers i un directori, sent els fitxers “important.jpg” i “notice.txt” i el directori “ftp/”.

Descarregarem el fitxer “notice.txt”, executant “get notice.txt”. Si executem “cat notice.txt”, podem veure el contingut del fitxer, el qual mostra una usuària anomenada “Maya”.

Si entrem al servidor web, afegint “http://10.129.171.185” al camp d’adreça, podem veure aquesta pàgina, que és la pàgina web per defecte del servidor.

Ara, executarem la comanda “gobuster -dir -u http://10.129.171.185 -w /usr/share/wordlists/dirb/common.txt” per a realitzar fuzzing al servidor web amb l’eina Gobuster i veure quins fitxers i directoris es troben ocults. Podem veure que, entre tots els fitxers i directoris que es troben ocults, destaquem el directori “files” que conté els fitxers emmagatzemats al servidor web, a més d’un directori que conté els fitxers i directoris que també es troben emmagatzemats al servidor FTP.

Si accedim al directori “files/” des del navegador web, veurem els fitxers “important.jpg” i “notice.txt” i el directori “ftp/”, que conté els fitxers del servidor FTP.

Si entrem al fitxer “important.jpg” podem veure una imatge d’un meme del joc Among Us.

Ara, per a poder accedir al servidor SSH, crearem i modificarem un fitxer d’una reverse shell (“php-reverse-shell.php”). Modificarem el fitxer, afegint l’adreça IP de la màquina atacant i el port on s’accedirà (“4444”).

Després ens connectarem una vegada més al servidor FTP com a usuari “anoynmous” (“ftp anonymous@10.129.171.185”) i dins del directori “ftp” (“cd ftp”), penjarem l’script per a executar la reverse shell (“put php-reverse-shell.php”).

Si anem al navegador i anem a “http://10.129.171.185/files/ftp”, podem veure que l’script de la reverse shell s’ha penjat correctament.

Ara executarem la comanda “nc -nvlp 4444” per a obrir i escoltar el port 4444 amb netcat. Posteriorment, clicarem a la reverse shell pujada al navegador per a poder accedir al sistema.

Una vegada hem accedit al sistema, executem la comanda “ls” per a llistar els directoris que hi ha. Podem veure un fitxer anomenat “recipe.txt”.

Si executem “cat receipe.txt”, podem veure un missatge ocult que mostra la resposta a la primera pregunta de la room de TryHackMe, doncs la recepta secreta de la sopa picant és amor (“love”).

Després, si anem al subdirectori “incidents/” (“cd incidents”), podem veure que hi ha un fitxer PCAP, que conté una captura realitzada amb el Wireshark. Posteriorment, executem “cp suspicious.pcapng /var/www/html/files/ftp” per a copiar el fitxer PCAP al directori on es troben els fitxers enllaçats amb el servidor FTP.

Amb això, anirem un altre cop a “http://10.129.171.185/files/ftp” i descarregarem el fitxer “suspicious.pcapng” per a analitzar-lo detalladament mitjançant el Wireshark.

Podem veure un detall bastant interessant, i és que algú es va connectar amb una reverse shell a partir del port 4444 i va començar a executar comandes a partir d’aquella reverse shell.

Si cliquem a l’opció “Seguir” per a seguir la conversació TCP que s’està realitzant, podem veure que en aquella connexió es troba l’usuari “lennie” i la contrasenya “c4ntg3t3n0ughsp1c3”.

Amb aquesta informació, iniciem una connexió via SSH al servidor amb l’usuari “lennie” (“ssh lennie@10.129.171.185”).

Dins del directori principal de l’usuari Lennie (“/home/lennie”), podem veure un fitxer anomenat “user.txt” que conté la primera flag de la room (“THM{03ce3d619b80ccbfb3b7fc81e46c0e79}”).

Després, accedim al directori “scripts” i podem veure que conté un fitxer anomenat “planner.sh”. Aquest fitxer té a l’usuari root com a propietari i bàsicament guarda el resultat de la variable “$LIST” en un fitxer de text (“startup_list.txt”) i posteriorment executa l’script “/etc/print.sh”, script que podem modificar, ja que tenim accés d’escriptura.

Hem modificat el fitxer afegint l’adreça IP de la màquina atacant i el port 6666 perquè pugui executar una reverse shell com a l’usuari “root”.

Després de guardar els canvis al fitxer, executarem la comanda “nc -nlvp 6666” per a obrir una altra sessió de netcat escoltant el port 6666, el qual farà que s’executi la reverse shell gràcies al fitxer prèviament modificat, i podrem accedir al servidor SSH com a l’usuari “root”, realitzant exitosament l’escalada de privilegis. Dins del directori principal de l’usuari root (“/home/root”), podem veure que es troba un fitxer anomenat “root.txt” que conté l’última flag de la room (“THM{f963aaa6a430f210222158ae15c3d76d}”).