TryHackMe practice day2.5

# 初めに
[昨日](https://qiita.com/kosukatsu/items/07a8c075a40b6d2b45a3)の続き。目的は自分のセキュリティ意識向上のため

## Day2の振り返り
よく見たらセクションの初めのページに扱うRoomが書いてあった。なので，前にできなかった内容を実施。
Room: 「Basic Pentesting」
https://tryhackme.com/room/basicpentestingjt

## ポートスキャン
nmapで, ssh, Sambaのポートが開いてることを確認
![スクリーンショット 2025-05-21 230230.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/774226/73b2c63f-5ca6-4637-84c0-05ca703041d2.png)

## ソースの確認
devノートを確認してくれというコメントが
（Viteとかでビルドすればコメントとかは消えるよね）
![スクリーンショット 2025-05-21 230313.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/774226/913d986c-c213-4364-ac6b-58347acf48be.png)

## 隠しディレクトリ探し
gobusterで検索。developmentというディレクトリを発見
![スクリーンショット 2025-05-21 230537.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/774226/1ec09d01-6250-4ab2-84e2-cfd6a36c3dc7.png)

developmentにはいくつかのファイルが残っていた。
![スクリーンショット 2025-05-21 230613.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/774226/a2445770-d046-4bca-90d7-d6b668e76c93.png)

ファイルを確認すると，Jという人のパスワードが弱そうであることが分かった。
![スクリーンショット 2025-05-21 230756.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/774226/f1442009-1764-42ba-9748-d93f3b00b2ed.png)

## Sambaへのアクセス
Sambaは初めて知りました。ファイル共有サービスと聞くとTorrentとかを想像してしまう。
> Windowsシステムと他のオペレーティングシステム（特にLinuxやUnix系）の間でファイル共有やプリンター共有を可能にするオープンソースのソフトウェア


smbclientでアクセスできる
```
sudo apt install smbclient
```
アクセスすると，Anonymasという怪しい共有ディスクを発見。（なぜ怪しいのか良く分からないが天下り的に進める）
![スクリーンショット 2025-05-21 231311.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/774226/5bee7018-8f53-4f62-8b8a-a1750980cfea.png)

staff.txtというファイルがあるので，ダウンロードして確認する。
![スクリーンショット 2025-05-21 231403.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/774226/436172cc-80c5-4654-9e3f-62440b920804.png)

エンジニアのやりとりからJanというスタッフがいることがわかり，先ほど脆弱なパスワードを設定しているスタッフJがJanという名前であると推測。
![スクリーンショット 2025-05-21 231519.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/774226/52914258-4f77-447e-8e44-9af0cc4daa7e.png)

### sshへの辞書攻撃
脆弱なパスワードを設定しているJanについて，sshへ辞書攻撃をかける

```
hydra -l jan -P /usr/share/wordlists/rockyou.txt ssh://10.10.13.35 -t 4
```
![スクリーンショット 2025-05-21 233132.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/774226/3b037c56-954b-4be1-93c2-1cfe27f7a4bd.png)

15分ほどかかってパスワードが判明。（本では30分ほどかかったとのこと）

判明したパスワードでssh不正ログイン
![スクリーンショット 2025-05-21 233416.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/774226/6e2de903-66e3-4af8-9fde-fa957416610e.png)

色々探すと別のkayというユーザーのsshの秘密鍵の閲覧権限があり，kayもログインできそう
![スクリーンショット 2025-05-21 233827.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/774226/699582f5-33b6-4a30-90ec-ed702aa4a6cc.png)

その後，秘密鍵を取得することはできても，パスフレーズが分からずに諦めた。

## Roomのタスク
最後のタスクはKayのパスワードを求めること。
Roomのヒントを使い，探索。

LinEnumを使い，脆弱性を調べる。
> LinEnumとは，Linuxシステム上で特権昇格（権限昇格）の可能性のある脆弱性を自動的に検出するための監査ツール

LinEnumをインストール
```
git clone https://github.com/rebootuser/LinEnum.git
```

LinEnum.shをscpでターゲットの/tmp/に配置。（homeディレクトリは書き込み許可が無かったため）

`LinEnum.sh`を実行して，`/etc/passwd`, `/etc/shadow/`が閲覧できることが分かった

/etc/shadow/には各ユーザーのパスワードのハッシュが記録されている。
Kayのハッシュを取得。

John the Ripperを使い，ハッシュからパスワードを求める（ようとした）

> John the Ripper（通称「John」）は、最も有名で広く使われているパスワードクラッキングツールの一つです。主にパスワードハッシュからプレーンテキストのパスワードを復元するために設計されたオープンソースのセキュリティツール

John the Ripperも基本的に辞書的なクラッキングで，オフラインで実行できるが，探索に時間がかかる。

```
sudo apt install john
john hash.txt
```
30分ほど待っても，パスワードが求まらなかったようで，今日は諦めた。

## サマリー
- LinEnum: 特権昇格に関する脆弱性の検出ツール
- John the Ripper: ハッシュからパスワードを求めるツール

## ぼやき
本のDay2の内容は理解したが，Day2で扱ったRoomはクリアできず，悔しい