Vulnhub DC : 9

nmap을 이용해 192.168.219.0/24 대역을 스캔했는 데 192.168.219.72 80/tcp port가 open 되어 있는 것을 알 수 있다.

그림 9-1 nmap

http://192.168.219.172 페이지에 접속했다.

그림 9-2 페이지

-A 옵션을 통해 192.168.219.172 Port를 자세히 확인했다.

그림 9-3 port

Search 메뉴에서 test를 입력해보았다.

그림 9-4 Search

burp suite를 통해 요청 값을 복사했다.

그림 9-5 burp suite

burp suite 복사한 것을 test.txt에 저장했다.

그림 9-6 request

sqlmap -r 옵션을 이용해 패킷 내용을 통해 --dbs를 검색했다.

그림 9-7 sqlmap

information_schema, Staff, users 데이터 베이스를 확인할 수 있다.

그림 9-8 DataBase

Staff 데이터 베이스 Users table에 admin 계정을 확인할 수 있다.

그림 9-9 Users

admin Password를 MD5로 복호화를 통해 transobital1 값을 알 수 있다.

그림 9-10 MD5

users 데이터 베이스에 UserDetails table을 보면 여러 사용자 계정을 확인할 수 있다.

그림 9-11 UserDetails

admin/transobital1 로그인 되는 것을 알 수 있다.

그림 9-12 로그인

http://192.168.219.172/welcome.php?file=../../../../../etc/passwd 입력 시 passwd 조회가 가능한 것을 알 수 있다.

그림 9-13 파일 다운로드 공격

knockd.conf 파일을 보면 7469, 8475, 9842로 knock를 하면 22 port가 열리는 것을 알 수 있다.

(링크 계층 수준에서 수신하므로 닫힌 포트로 향하는 경우에도 모든 트래픽을 볼 수 있습니다. 서버가 특정 일련의 포트 적중을 감지하면 구성 파일에 정의 된 명령을 실행합니다.)

그림 9-14 knockd.conf 파일

간단한 스크립트를 통해 7469, 8475, 9842 port 상태를 확인했다.

그림 9-15 port

knockd를 사용하기 위해 설치 했다.

그림 9-16 knockd설치

knock 명령어를 이용해 192.168.219.172 7469 8475 9842 입력 후 SSH port가 열리는 것을 알 수 있다.

그림 9-17 SSH

다시 한번 -A 옵션을 통해 스캔하면 SSH port가 filtered에서 open 된 것을 알 수 있다.

그림 9-18 nmap

UserDetails table의 정보를 user.txt, passwd.txt로 각각 저장했다.

그림 9-19 정보

hydra를 이용해 해당 계정 정보의 password를 알 수 있다.

그림 9-20 hydra

janitor/Ilovepeepee 계정으로 SSH를 접속했다.

그림 9-21 SSH 접속

ls -al 명령어를 통해 숨겨진 secrets-for-putin 폴더를 확인할 수 있다.

그림 9-22 숨겨진 폴더

폴더 안에 passwords-found-on-post-in-notes.txt 파일을 확인할 수 있다.

그림 9-23 passwords 파일

paaswd 파일을 pass.txt에 저장했다.

그림 9-24 pass.txt

다시 한번 hydra를 통해 해당 passwd의 계정을 찾았다.

그림 9-25 계정찾기

fredf/B4-Tru-001 계정으로 로그인을 했다.

그림 9-26 fredf

sudo -l 명령어 입력 시 /opt/devstuff/dist/test/test를 알 수 있다. 암호를 입력하지 않고도 root 사용자로 test 라는 프로그램을 실행할 수 있음을 알 수 있다. 

그림 9-27 sduo

해당 경로로 이동해 파일 내용을 확인했다.

그림 9-28 devstuff

test.py 소스코드 내용을 확인했다. 매개 변수로 2 개의 파일을 취한 다음 두 번째 파일에 첫 번째 파일의 내용을 추가합니다.

그림 9-29 test.py

openssl 명령어를 이용해 hacker/123456 사용자의 해시값을 얻을 수 있다.

그림 9-30 해시 값

echo 명령어를 통해 /tmp/hacker파일을 생성했고 test.py를 이용해 /etc/passwd에 추가 후 hacker/123456으로 로그인을 했다.

그림 9-31 권한 상승

root로 로그인이 되어 root 폴더로 이동후 theflag.txt을 확인했다.

그림 9-32 theflag