【TryHackMe】Anthem：Walkthrough

# 概要

TryHackMe「Anthem」のWalkthroughです。

https://tryhackme.com/r/room/anthem

# Task1

## **Q2**.*What port is for the web server?*

ポートスキャンを実行します。

```
$ nmap -Pn --min-rate 1000 10.10.207.208 -oN nmap_result
PORT     STATE SERVICE       VERSION
80/tcp   open  http          Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
|_http-title: Anthem.com - Welcome to our blog
3389/tcp open  ms-wbt-server Microsoft Terminal Services
| ssl-cert: Subject: commonName=WIN-LU09299160F
| Not valid before: 2024-09-02T02:15:41
|_Not valid after:  2025-03-04T02:15:41
| rdp-ntlm-info: 
|   Target_Name: WIN-LU09299160F
|   NetBIOS_Domain_Name: WIN-LU09299160F
|   NetBIOS_Computer_Name: WIN-LU09299160F
|   DNS_Domain_Name: WIN-LU09299160F
|   DNS_Computer_Name: WIN-LU09299160F
|   Product_Version: 10.0.17763
|_  System_Time: 2024-09-03T02:21:16+00:00
|_ssl-date: 2024-09-03T02:22:09+00:00; 0s from scanner time.
Service Info: OS: Windows; CPE: cpe:/o:microsoft:windows
```

ポートの稼働状況が分かりました。

|ポート|サービス|バージョン|
|:-:|:-:|:-:|
|80|http|Microsoft HTTPAPI httpd 2.0|
|3389|rdp|Product_Version: 10.0.17763|

`80`番ポートにアクセスするとWebページが表示されました。

![home page.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/c35ce641-ae94-929b-d44e-82653e2f4eab.jpeg)

`/etc/hosts`にドメインを追記します。

```
10.10.207.208   anthem.com
```

**A**.**80**

## **Q3**.*What port is for remote desktop service?*

`3389`ポートで`Microsoft Terminal Services`が動作していると分かりました。

**A**.**3389**

## **Q4**.*What is a possible password in one of the pages web crawlers check for?*

**Hint**.*fill in the gap \*\*\*\*\*\*.txt*

`80`番ポートのディレクトリ列挙をします。

```
$ dirsearch -u http://anthem.com
[02:49:10] 403 -  312B  - /%2e%2e//google.com
[02:49:11] 403 -  312B  - /.%2e/%2e%2e/%2e%2e/%2e%2e/etc/passwd
[02:49:45] 301 -  149B  - /.vscode  ->  http://anthem.com/.vscode/
[02:50:05] 403 -  312B  - /\..\..\..\..\..\..\..\..\..\etc\passwd
[02:53:41] 301 -  118B  - /archive  ->  /
[02:53:42] 301 -  118B  - /archive.aspx  ->  /
[02:54:11] 500 -   45B  - /base/static/c
[02:54:23] 200 -    5KB - /blog/
[02:54:23] 200 -    5KB - /blog
[02:54:40] 200 -    3KB - /categories
[02:54:42] 403 -  312B  - /cgi-bin/.%2e/%2e%2e/%2e%2e/%2e%2e/etc/passwd
[02:57:33] 302 -  126B  - /INSTALL  ->  /umbraco/
[02:57:33] 302 -  126B  - /Install  ->  /umbraco/
[02:57:33] 302 -  126B  - /install  ->  /umbraco/
[02:57:34] 302 -  126B  - /install/  ->  /umbraco/
[03:01:17] 200 -  192B  - /robots.txt
[03:01:21] 200 -    2KB - /rss
[03:01:28] 200 -    3KB - /Search
[03:01:28] 200 -    3KB - /search
[03:01:53] 200 -    1KB - /sitemap
[03:02:43] 200 -    3KB - /tags
[03:03:10] 403 -    2KB - /Trace.axd
```

`/robots.txt`を見ると`UmbracoIsTheBest!`という文字列を発見しました。

```/robots.txt
UmbracoIsTheBest!

# Use for all search robots
User-agent: *

# Define the directories not to crawl
Disallow: /bin/
Disallow: /config/
Disallow: /umbraco/
Disallow: /umbraco_client/
```

**A**.**UmbracoIsTheBest!**

## **Q5**.*What CMS is the website using?*

`/robots.txt`の文字列やディレクトリ構成から`Umbraco CMS`が利用されていると分かりました。

https://umbraco.com/

**A**.**Umbraco**

## **Q6**.*What is the domain of the website?*

Webのインデックスページから`anthem.com`というドメインが分かっています。

**A**.**anthem.com**

## **Q7**.*What's the name of the Administrator*

**Hint**.*Consult the Oracle.(your favourite search engine)*

`/archive/a-cheers-to-our-it-department/`のコンテンツを確認するとWebサイトの管理者について言及されたポエムがあります。

![poem.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/1d4fb212-c299-f8b0-a202-fd685dd723b9.jpeg)

ポエムの内容を検索すると`ソロモン・グランディ`がヒットしました。

https://en.wikipedia.org/wiki/Solomon_Grundy_(nursery_rhyme)

**A**.**Solomon Grundy**

## **Q8**.*Can we find find the email address of the administrator?*

**Hint**.*There is another email address on the website that should help us figuring out the email pattern used by the administrator.*

`/archive/we-are-hiring/`にアクセスするとAuthorが`Jane Doe`で、メールアドレスが`JD@anthem.com`に設定されていると分かりました。

![JD email.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/3221222b-81e9-a0f2-31bb-870fb5795aa5.jpeg)

このことからメールアドレスは`イニシャル+@anthem.com`だと予測できます。

**A**.**SG@&#xFFF0;anthem.com**

# Task2

## **Q1**.*What is flag 1?*

**Hint**.*Have we inspected the pages yet?*

`/archive/we-are-hiring/`のソースコードからフラグを入手できます。

![flag1.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/7e248152-069b-8f79-0c40-d49b5906145a.jpeg)

**A**.**THM{L0L_WH0_US3S_M3T4}**

## **Q2**.*What is flag 2?*

**Hint**.*Search for it*

ルートページのソースコードからフラグを入手できます。

![flag2.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/9da7bbd3-5504-e282-4ea1-18d2ac067ac3.jpeg)

**A**.**THM{G!T_G00D}**

## **Q3**.*What is flag 3?*

**Hint**.*Profile*

`/authors/jane-doe/`にアクセスし、`Jane Doe`のプロフィールを確認するとフラグを入手できます。

![flag3.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/60e148b5-6efb-1dfb-d0e5-958fbe09eb0c.jpeg)

**A**.**THM{L0L_WH0_D15}**

## **Q4**.*What is flag 4?*

**Hint**.*Have we inspected all the pages yet?*

`/archive/a-cheers-to-our-it-department/`ページのソースコードからフラグを入手できます。

![flag4.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/f71855c4-4180-798d-8514-0bcf794a945f.jpeg)

**A**.**THM{AN0TH3R_M3TA}**

# Task3

## **Q2**.*Gain initial access to the machine, what is the contents of user.txt?*

`/umbraco/`にアクセスするとログインページが表示されました。

![login.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/ae069cd4-fd8d-463f-9fe5-650610f2e703.jpeg)

これまでの列挙情報から`Username: SG@anthem.com`,`Password: UmbracoIsTheBest!`が分かっています。

ログインに成功しました。

![success login.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/300bcf71-8e4f-8cc7-f62e-1653761feafb.jpeg)

また、3389番ポートにもアクセス出来ました。

```
$ rdesktop -u SG 10.10.228.100
```

デスクトップにある`user.txt`からフラグを入手できます。

![user flag.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/d7a1f29f-280f-6bfe-ab10-cbca23a2ef98.jpeg)

**A**.**THM{N00T_NO0T}**

## **Q3**.*Can we spot the admin password?*

**Hint**.*It is hidden.*

隠しフォルダーの表示を有効にすると`C:/backup`を発見できます。

![hidden dir backyo.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/9d586ff7-0c40-34d0-fcbb-a161e0df7949.jpeg)

`C:/backup/restore.txt`がありますが、閲覧権限がありません。

![backup restore.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/1a0d51f2-1b5d-726a-ddcd-c296f06851c2.jpeg)

権限を付与します。
`Properties`->`Security`->`Edit`->`Add`を選択し、`SG`ユーザーを追加します。
`SG`と入力後`Check Names`ボタンをクリックすれば、自動でフルパスを入力してくれます。

![add permition.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/c18c7908-14d9-e9e1-17a2-041cdf26307e.jpeg)

`Apply`ボタンをクリックして有効化しファイルの中身を閲覧できました。

![admin pass.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/2936bb18-88bf-ea3b-b9ce-6ae4b744acea.jpeg)

**A**.**ChangeMeBaby1MoreTime**

## **Q4**.*Escalate your privileges to root, what is the contents of root.txt?*

`C:/Users/Administrator/Desktop/root.txt`からフラグを入手できます。

![root flag.jpg](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3005822/c424b349-5552-fac6-4ace-425dc87c3134.jpeg)

**A**.**THM{Y0U_4R3_1337}**