Advent of Cyber 2 [2020] - Tryhackme - Write Up

Task 1 Introduction

Welcome to Advent of Cyber 2020

Get started with Cyber Security in 25 days, by learning the basics and completing a new, beginner friendly security exercise every day leading up until Christmas; an advent calendar but with security challenges and not chocolate.

Prizes & Certificate

We have over $13,000 worth of prizes! In this event, points don't matter but the number of questions you answer does. For each task you get correct, you get a raffle ticket and on the 26th December, we will choose the winners randomly using everyone's raffle tickets; the more questions you answer, the more chance you have of winning. Here are the prizes up for grabs:

5x PWK Course + 30 day lab access + OSCP exam certification ($4,995)
3x INE Cyber Security Passes ($6,000)
20x Proving Grounds Vouchers ($380)
15x TryHackMe Subscriptions ($150)
Attacking Windows AD Throwback Course ($120)
Raspberry Pi 400 ($122)
HAK5 O.MG Cable ($120)

3x Security+ CertMaster Practice Vouchers ($600)
2x Security+ Certification Vouchers ($560)
2x $30 TryHackMe Swag Vouchers ($60)
HAK5 Wifi Pineapple ($100)
HAK5 Rubber Ducky ($50)
HAK5 Packet Squirrel ($60)
HAK5 LAN Turtle ($60)

Total Prize Pool Value: $13,377

Also, everyday you complete a challenge, you get entered into another prize draw for the chance to win a mini-prize. The "daily prizes" are done at the end of the week. Complete every task in the event and earn a certificate of completion! Make sure your name is set in your settings.

View Sample Certificate

Our Sponsors

In the spirit of Christmas, we've brought together some of the biggest names in cyber security and are ecstatic that they're supporting the event by sponsoring prizes!

CompTIA is the global, non-profit IT trade association and creator of vendor neutral IT certifications. CompTIA certifications are developed with the support of leading technology companies and validated by industry experts around the world.

Offensive Security offers industry-defining information security training. In addition to courses and certifications, students can get hands-on pentesting practice in our Proving Grounds labs. Level up your skills and learn the Try Harder mindset with the team behind Kali Linux and the OSCP certification.

INE is the premier provider of technical training for the IT industry in the areas of Cyber Security, Networking, Cloud and Data Science. It is our mission to be the world’s leading provider of hands-on, role-based technical training, maniacally focused on developing experts.

Special Contributors

All tasks in this room have been commissioned and built through our great community, however we have four widely known special contributors.

Answer the questions below

Checkout the sponsors and special contributors.

Task 2 Our Socials

Be a part of our community and join our discord!

Join our growing subreddit!

We will choose a random winner every day, to enter simply complete the challenge released on that day. All winners will be announced via Twitter on the weekend! Want to share the event, feel free to use the graphic below!

https://tryhackme.com/christmas

Answer the questions below

Join our Discord and say hi!

Check out the subreddit!

Task 3 Short Tutorial & Rules

Short Tutorial

To access target machines you deploy on TryHackMe will need to either, use an OpenVPN client, or deploy your own web-based AttackBox (you can do this by clicking the blue "Start AttackBox" button at the top of this page). We highly recommend you complete the Tutorial room to learn more about getting connected.
Using the web-based AttackBox, you can complete all of these exercises through your browser. If you're a regular user, you can deploy the AttackBox for free 1 hour a day, if you're subscribed you can deploy it for an unlimited amount of time! 

 RulesBreaking any of the following rules will result in elimination from the competition
*.tryhackme.com and the OpenVPN server is off-limits to probing, scanning, or exploiting.
Users are only authorized to hack machines that have been deployed in the rooms they have access to.
Users are not to target or attack other users
Users should only enter the event once, using one account.
Answers to questions are not to be shared.
Answer the questions below
Practice connecting to our network!

Task 4 Subscribing

The Advent of Cyber event is completely free! However check out some of the reasons to subscribe:

If you want to gift a TryHackMe VIP subscription, you can purchase vouchers.

Answer the questions below

Read the above.

Task 5 The Story

[The Christmas Story]
Tasks use this story

Sau vụ tai quái năm ngoái khi Elf McElferson và Elf McSkidy ở chế độ kiểm soát thiệt hại suốt tháng 12, McSkidy thề sẽ không bao giờ để điều đó xảy ra nữa. Giai đoạn Giáng sinh trước đó cực kỳ căng thẳng với việc Con quái vật Giáng sinh xoay sở để thỏa hiệp mọi hệ thống trong cơ sở hạ tầng công ty của ông già Noel để ngăn Giáng sinh xảy ra. Giáng sinh năm nay có còn nguy hiểm không?

McSkidy tỏ ra rất hứa hẹn với sự việc trước đó và được giao nhiệm vụ xây dựng một đội an ninh trong công ty của ông già Noel - * Công ty Lễ hội Tốt nhất *. Do sự chống đối từ các vấn đề quản lý, ngân sách và quan liêu, McSkidy chỉ có thể bắt đầu xây dựng đội ngũ của mình từ ngày 8 tháng 11. Kể từ đó, cô ấy chỉ thuê 2 thành viên trong nhóm - một chuyên gia bảo mật Elf McHacker và một thực tập sinh Elf McEager.

Đó là tối ngày 30 tháng 11 - Nhóm của McSkidy đã làm việc chăm chỉ để ngăn chặn bất kỳ sự cố bảo mật và thời gian chết nào trong toàn bộ mạng và ngăn xếp ứng dụng của Best Festival Company. McHacker đề xuất cài đặt VPN và chỉ cho phép truy cập vào cơ sở hạ tầng thông qua VPN. Sau 8 giờ cài đặt và triển khai, McSkidy mở bảng điều khiển giám sát của mình và nhận thấy rằng không có lưu lượng truy cập nào đến bất kỳ ứng dụng nào (điều này được mong đợi vì không ai có quyền truy cập vào VPN). * cảm ơn chúa, * cô ấy nói. * Bị tấn công lần nữa không phải là một lựa chọn. *

* RING, RING, RING * - đường dây nóng Elf của cô ấy bắt đầu đổ chuông và cô ấy nhảy. * Lịch trình của ông già Noel không hoạt động - Tôi KHÔNG THỂ XEM BẤT CỨ ĐIỀU GÌ, * Elf McAssistant hét lên. Trong vòng vài giây, hàng trăm cuộc điện thoại đến và * Elf McSkidy có cảm giác chìm trong bụng. * Cô ấy nhanh chóng cử * McHacker * phân tích nhật ký VPN. Anh ta nhận thấy một trọng tải giống như một vòng bỏ qua xác thực VPN cho phép bất kỳ ai bỏ qua VPN - * có ai đó đã cài đặt phiên bản sai hay không. * Với tình trạng bảo mật kém trên toàn bộ mạng, diễn viên không rõ danh tính này đã quản lý để truy cập vào tất cả các ứng dụng và máy chủ cơ bản của chúng !

Không như lần trước, chưa có ai đứng ra nhận trách nhiệm về vụ việc này. * Chúng ta lại bắt đầu *, cô ấy thở dài. Việc cứu Giáng sinh là tùy thuộc vào bạn (Elf McEager) và những người còn lại.

Xin lưu ý, các nhiệm vụ được phát hành hàng ngày và sẽ có độ khó khác nhau (mặc dù sẽ luôn nhắm đến trình độ mới bắt đầu)

Answer the questions below

The Christmas story is used within some of the tasks, so make sure you read the above.

Task 6 [Day 1] Web Exploitation A Christmas Crisis

"Máy chủ OpenVPN hoàn toàn mới của Công ty Lễ hội Tốt nhất đã bị tấn công. Đây là một cuộc khủng hoảng!

Kẻ tấn công đã làm hỏng nhiều khía cạnh khác nhau của cơ sở hạ tầng công ty - bao gồm cả việc sử dụng Trung tâm điều khiển Giáng sinh để tắt dây chuyền lắp ráp!

Chỉ còn 24 ngày nữa là đến lễ Giáng sinh và đường dây đó phải hoạt động nếu không sẽ không có quà! Bạn phải xâm nhập vào tài khoản của ông già Noel (nổ rằng hacker thay đổi mật khẩu!) Và bắt dây chuyền lắp ráp hoạt động trở lại, nếu không Giáng sinh sẽ bị hủy hoại! "

* Sau khi giao cho bạn nhiệm vụ, McSkidy trao cho bạn hồ sơ sau đây gồm các thông tin quan trọng cho nhiệm vụ. Trước khi đọc, bạn nhấn nút "Triển khai" lớn màu xanh lục để khởi động Trung tâm điều khiển, cũng như nút "Khởi động AttackBox" ở đầu trang *

Dossier compiled by @MuirlandOracle

The Web:

Internet là một trong những thứ mà mọi người đều sử dụng, nhưng chẳng mấy ai bận tâm tìm hiểu về nó. Là tin tặc, điều quan trọng là chúng ta phải hiểu web chính xác là gì và nó hoạt động như thế nào.

Khi bạn mở trình duyệt web của mình và điều hướng đến một trang web, nó có vẻ đơn giản như vậy, nhưng điều gì đang thực sự xảy ra đằng sau hậu trường?

Trước hết, máy tính của bạn giao tiếp với một máy chủ DNS (Hệ thống tên miền) đã biết để tìm ra nơi có thể tìm thấy trang web trên internet. Máy chủ DNS sau đó sẽ trả về địa chỉ IP cho máy chủ từ xa. Điều này có thể được sử dụng để truy cập trực tiếp vào trang web. Bạn có thể nghĩ về Internet giống như chính hành tinh - chúng ta có rất nhiều địa điểm, trên khắp thế giới. Tất cả những nơi này đều có địa chỉ đường phố - địa chỉ này giống với tên miền của một trang web (tức là tryhackme.com hoặc google.com); nhưng chúng cũng có tọa độ có thể được sử dụng để xác định vị trí của chúng với độ chính xác tuyệt đối. Các tọa độ này giống như địa chỉ IP của một trang web. Nếu bạn biết địa chỉ đường phố của một vị trí, bạn có thể nhập địa chỉ đó vào Google Maps và được cung cấp tọa độ chính xác, sau đó có thể đưa vào SatNav để đưa bạn đến đó với độ chính xác chính xác!

Theo cách tương tự, trình duyệt của bạn được cung cấp địa chỉ của một trang web (tức là tryhackme.com). Nó gửi địa chỉ này tới một máy chủ DNS, máy chủ này sẽ cho nó biết "điều phối" (địa chỉ IP) của trang web. Máy tính của bạn không hiểu tên miền ban đầu, con người có thể đọc được, nhưng nó hiểu địa chỉ IP là gì! IP sau đó có thể được sử dụng để tìm máy chủ trên internet, cho phép máy tính của bạn yêu cầu nội dung của trang web. Tất nhiên, trên thực tế, đây là một phép loại suy được đơn giản hóa cao độ, vì vậy bạn có thể tìm thấy giải thích sâu hơn về quá trình này ở đây.

HTTP(S):

Khi máy tính của bạn biết nơi nó có thể tìm thấy trang web mục tiêu, nó sẽ gửi một thứ gọi là HTTP (Hypertext Transfer Protocol) đến máy chủ web.

Đây chỉ là một yêu cầu mạng tiêu chuẩn, nhưng nó được định dạng theo cách mà cả trình duyệt web của bạn và máy chủ đều có thể hiểu được. Trên thực tế, điều này có nghĩa là thêm một số "tiêu đề" nhất định vào yêu cầu xác định nó là một yêu cầu HTTP và cho máy chủ biết nhiều thông tin khác về yêu cầu, cũng như trình duyệt của riêng bạn. Trong số nhiều tiêu đề khác, các yêu cầu HTTP luôn có một phương thức và một mục tiêu. Chúng chỉ định những gì cần truy xuất từ máy chủ (mục tiêu) và cách lấy nó (phương thức). Phương thức được sử dụng phổ biến nhất để lấy thông tin được gọi là phương thức GET. Khi gửi dữ liệu đến máy chủ, thông thường hơn là sử dụng phương thức gọi là POST.

Để biết thêm thông tin về các yêu cầu, phương thức và tiêu đề HTTP, hãy xem phòng Cơ bản về Web!

Khi nội dung đã được truy xuất từ máy chủ, trình duyệt của bạn sẽ đọc mã đã truy xuất và hiển thị nó dưới dạng một trang web. Điều này thường có nghĩa là lấy bố cục của trang từ tài liệu HTML (Ngôn ngữ đánh dấu siêu văn bản), tạo kiểu bằng tệp CSS (Cascading Style Sheets) được kết nối, sau đó thêm bất kỳ nội dung động nào bằng một hoặc nhiều tệp Javascript được kết nối.

HTTP có một nhược điểm cố hữu: đó là nó không an toàn. Bất kỳ ai cũng có thể thấy những gì bạn đang yêu cầu và những gì đang được gửi lại cho bạn. Vì lý do này, HTTPS (Hypertext Transfer Protocol Secure) đã được phát minh. Điều này hoạt động theo cách giống hệt như HTTP tiêu chuẩn nhưng cung cấp một kết nối được mã hóa (chức năng của nó vượt quá mức của hồ sơ này)

Cookies:

HTTP là một giao thức không trạng thái vốn có. Điều này có nghĩa là không có dữ liệu nào tồn tại giữa các kết nối; máy tính của bạn có thể đưa ra hai yêu cầu ngay sau đó và, nếu không dựa vào phần mềm riêng biệt, máy chủ web sẽ không có cách nào để biết rằng bạn đang thực hiện cả hai yêu cầu. Điều này đặt ra một câu hỏi quan trọng: nếu HTTP là không trạng thái, thì hệ thống đăng nhập hoạt động như thế nào? Máy chủ web phải có cách xác định rằng bạn có quyền truy cập phù hợp và nó khó có thể yêu cầu bạn nhập mật khẩu mỗi khi bạn yêu cầu một trang mới!

Câu trả lời là cookie - những mẩu thông tin nhỏ được lưu trữ trên máy tính của bạn và được gửi đến máy chủ cùng với mọi yêu cầu mà bạn đưa ra. Cookie xác thực (hoặc phiên) được sử dụng để nhận dạng bạn (những cookie này sẽ rất quan trọng trong nhiệm vụ của bạn hôm nay!). Máy chủ nhận được yêu cầu của bạn với cookie đính kèm và kiểm tra cookie để xem bạn được phép có cấp độ truy cập nào. Sau đó, nó trả về một phản hồi phù hợp với cấp độ truy cập đó.

Ví dụ: một người dùng tiêu chuẩn sẽ có thể nhìn thấy (nhưng không tương tác với) bảng điều khiển của chúng tôi; nhưng ông già Noel sẽ có thể truy cập mọi thứ! Cookie cũng thường được sử dụng cho các mục đích khác như quảng cáo và lưu trữ các sở thích của người dùng (chủ đề sáng / tối chẳng hạn); tuy nhiên, điều này sẽ không quan trọng trong nhiệm vụ của bạn ngày hôm nay. Bất kỳ trang web nào cũng có thể đặt cookie với nhiều thuộc tính khác nhau - điều quan trọng nhất trong số này cho nhiệm vụ hôm nay là tên và giá trị của cookie, cả hai đều sẽ luôn được đặt. Cần lưu ý rằng một trang web chỉ có thể truy cập các cookie được liên kết với tên miền của chính nó (tức là google.com không thể truy cập bất kỳ cookie nào do tryhackme.com lưu trữ và ngược lại).

Điều quan trọng cần lưu ý là cookie được lưu trữ cục bộ trên máy tính của bạn. Điều này có nghĩa là chúng nằm trong tầm kiểm soát của bạn - tức là bạn có thể thêm, chỉnh sửa hoặc xóa chúng theo ý muốn. Có một số cách để thực hiện việc này, tuy nhiên, cách này thường được thực hiện nhất bằng cách sử dụng Công cụ dành cho nhà phát triển trình duyệt của bạn, công cụ này có thể được truy cập trong hầu hết các trình duyệt bằng cách nhấn F12, hoặc Ctrl + Shift + I.Với các công cụ dành cho nhà phát triển đang mở, hãy điều hướng đến Storage tab trên FireFox, hoặc Application tab trên Chrome/Edge và lựa chọn Cookies menu ở bên trái của bảng điều khiển.

Trong hình ảnh trên, bạn có thể thấy một cookie thử nghiệm cho một trang web. Các thuộc tính quan trọng "Tên" và "Giá trị" được hiển thị. Tên của cookie được sử dụng để xác định nó với máy chủ. Giá trị của cookie là dữ liệu được lưu trữ bởi máy chủ. Trong ví dụ này, máy chủ sẽ tìm kiếm một cookie có tên là "Cookie Name". Sau đó, nó sẽ truy xuất giá trị "CookieValue" từ cookie này.

Các giá trị này có thể được chỉnh sửa bằng cách nhấp đúp vào chúng, điều này thật tuyệt nếu bạn có thể chỉnh sửa phiên hoặc cookie ủy quyền, vì điều này có thể dẫn đến leo thang các đặc quyền, giả sử bạn có quyền truy cập vào cookie ủy quyền của Quản trị viên.

Sau khi đọc hồ sơ dài, bạn đã sẵn sàng để quay trở lại Trung tâm điều khiển Giáng sinh của ông già Noel ! Bạn nhập địa chỉ IP ở đầu màn hình vào thanh tìm kiếm của trình duyệt và nhấn enter để tải trang.

Chú ý: Hãy nhớ rằng máy có thể mất đến năm phút để khởi động hoàn toàn!

Answer the questions below
Deploy your AttackBox (the blue "Start AttackBox" button) and the tasks machine (green button on this task) if you haven't already. Once both have deployed, open FireFox on the AttackBox and copy/paste the machines IP into the browser search bar.
Dò quét cổng dịch vụ

Register for an account, and then login.
Truy cập website và đăng ký tài khoản
Sau khi đăng nhập mở màn hình console lên và thấy phần cookie xác định thông tin để trả lời

What is the name of the cookie used for authentication?
In what format is the value of this cookie encoded?
Lấy mã đó đi giả mã thu được định dạng dữ liệu.
Having decoded the cookie, what format is the data stored in?
Figure out how to bypass the authentication.
Thay giá trị username bằng santa và mã hóa lại

What is the value of Santa's cookie?
Now that you are the santa user, you can re-activate the assembly line!
Sau khi vào được user santa bật các chức năng lên và thành công có cờ

What is the flag you're given when the line is fully active?