MITRE: Credential Access: T1552.004 ~ CyberExam

İlk olarak MITRE ATT&CK taraflı bir inceleme ile başlayalım. Burada ki amaç aslında MITRE den ne anlamamız gerekiyor bunu bulmak.

T1552.004 ID sahip olan olay “Unsecured Credentials: Private Keys” olduğunu görüyoruz.

Burada aslında bize güvenli olmayan bir şekilde saklanan kimlik bilgileri için güvenliği ihlal edilmiş özel anahtar sertifika dosyalarını arayıp bulup hatta kullanabileceğimizden bahsediyor.

Örneğin .key, .pgp, .gpg, .ppk., .p12, .pem, .pfx, .cer, .p7b, .asc. gibi :)

Şimdi makineyi ayağa kaldırıp bizden istenilen soruları adım adım cevaplayalım. İlk olarak ssh ile victim olarak giriş yapalım.

ssh -i victim_key victim@attack

Daha sonra ilk olarak aklıma gelen herhangi bir id_rsa dosyası var mı bunun aramasını yapıyorum ve bingo kendisini buluyorum :)

Buda demek oluyor ki ilk sorunun cevabı hazır :) Şimdi ise acaba bu dosyanın içerisine herhangi bir şekilde erişim sağlayabiliyor muyum bunu kontrol etmek istiyorum.

Evet dosyayı da rahatlıkla okuyabildiğimi gördükten hemen sonra admin olarak bağlanmayı deniyorum.

Artık admin olarak içerideyim ve tek yapmam gereken şey flag dosyasını okumak :)

Mutlu Son :)