TryHackMe Writeup：Bounty Hacker


# 最初に

このRoomのエリートハッカーが大口たたいたら、ハッカーの仕事させられるストーリみたい。。。
ちょっとかわいそう。。。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/c9454f02-68ea-ff35-3ff5-ca13e80cfb71.png)

TryHackMe：https://tryhackme.com/r/room/cowboyhacker

（会社でも気をつけよ(`･ω･´)b

## Deploy the machine.

起動するだけです～

## Find open ports on the machine

nmapしたところ、21番、22番、80番のポートが開いていました！
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/dbe4ee53-c7e0-8b8b-6642-93e7cc645e92.png)


HTTPで接続してみると、メッセージがありました
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/496da90a-dcb5-3f89-e871-a82e5ea5b68e.png)

Webページの日本語訳は以下です
>スパイク:「ああ、やっと起きたか。時間だ、あと3分でゴミ捨て場に行けるぞ。」
ジェット:「スパイクに、システム内のどのコンピューターでもハッキングできるって言ったじゃないか。エドにやらせようと思ったけど、彼女には別の用事があるし、君はあのバーですごく大胆になってた。さあ、周りを見て、システムをルート化できるか試してみろ。答えが必要ない質問はしないでくれ。運が良ければ、ピーマンと牛肉も作ってあげるよ。」
エド:「私はエド。君のコンピューターで、彼らが話しているデバイスにアクセスできるはずだ。必要なら、エドワードとアインがメインデッキにいるよ！」
フェイ:「ふん…」



dirbも見てみましたが、特段情報はなかったです
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/4bf3b2a7-b81f-0b94-d5d7-0df9d32e8a6e.png)


ftpもしてみます。
Nameはanonymousのみのようですね
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/64438a0a-b54a-d0a8-8384-9e3cc0320696.png)

anonymousで入れました！
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/62f16faa-a046-f8fb-dfd4-512193dae0c2.png)

試しにlsを実行すると、Passive Modeになってしまいました(-_-;)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/d6859cc8-de72-f95a-03a5-0fa5ae9d7d6b.png)

`passive`と入力してpassiveモードは解除してから、lsを実行するとファイルが確認できました！
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/b5f58b3a-a8bf-da2d-5fe5-816deb80c77d.png)





## Who wrote the task list? 

ftpでアクセスした先にtask.txtがあったので、これのことですね

一旦、ローカルに落としてきます（一緒にlocks.txtも落としてきます）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/ddf5ebee-31d7-58aa-875e-125755850e92.png)

最後に署名のような記述がありました。
これが答えになります！
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/bd5b6c09-107a-66a0-874d-8043eee55f6a.png)






## What service can you bruteforce with the text file found?

これはまだ使っていないポートのサービスです！



## What is the users password? 

locks.txtを見てみると、パスワードのような文字列がならんでいます。
task.txtの作成者がlinだったため、linがSSHでアクセスする際のパスワードと推測しました！
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/601e3515-ae55-ffc5-2242-6ef7d5de642f.png)


というわけで、hydraでブルートフォースしてみるとパスワードが見つかりました！！！

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/83a8554c-90f7-cac6-82bf-38d94019d2f2.png)





## user.txt

ここまででわかったID/PWでSSH接続すると、直下にuser.txtがあります！
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/cc85dc5b-28e5-7738-19a7-fbc3a23b0f7d.png)




## root.txt


linのアカウントでsudo権限で実行できるコマンドを調べたところ、`tar`なら実行できるみたい
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/a21b2d32-f26b-639f-d0d7-128d49ea685e.png)



rootディレクトリをtarで圧縮します

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/aa1d38d6-c4a0-1950-e002-e05d67c6725f.png)


そうすると、圧縮した方は8文字目に`r`が入っていることから所有者以外のユーザでも読み込みが可能になっています！！
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/966dc612-15fa-1c50-6bfe-0619d69a5a02.png)
（拡張子間違えたファイルがいくつかあるのはご愛敬・・・）


ここで解凍するともとのrootディレクトリと重なってしまうので、書き込みができるtmpディレクトリにコピーしてから解凍してみたが、解凍すると権限が再度つくみたい。。。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/334fb86e-3488-f11a-74fd-ac540da030ca.png)


調べてみるとgzipならtarコマンドを使いながらファイルの中身が確認できるみたい
https://www.mazn.net/entry/2009/02/183.html


gzipで圧縮して
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/c8ebd0d1-4eac-24c0-81a8-e404b06c3853.png)

` sudo tar zxOf root_tar.tar.gz  root/root.txt`でroot.txtの中身を確認すると、フラグが取れました！
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/1dc0f9af-6a04-9255-6a02-d0be26571af5.png)




# 最後に

今回の学びは以下2つでした！

- ftpはanonymousで入れてしまうことがある
- gzipは解凍せずに中身を確認できる