Advent of Cyber 3 (2021) - Day 12

 Task 17  [Day 12] Networking Sharing Without Caring

Trước khi bắt đầu, chúng tôi khuyên bạn nên khởi động Máy kèm theo AttackBox vì bạn sẽ cần sử dụng các tài nguyên này để trả lời các câu hỏi ở phần cuối.

Grinch Enterprises đã để lại dấu vết về việc tin tặc của họ đã truy cập dữ liệu từ hệ thống như thế nào - bạn đã tìm thấy một máy chủ duy nhất mà họ sử dụng. Chúng tôi cần sự trợ giúp của bạn để tìm ra phương pháp họ đang sử dụng để trích xuất bất kỳ dữ liệu nào.

Chúng tôi nhận thấy rằng MACHINE_IP đang tạo ra lưu lượng truy cập bất thường. Chúng tôi rất nghi ngờ rằng Grinch Enterprises đang sử dụng nó để truy cập dữ liệu của chúng tôi. Chúng tôi sẽ sử dụng Nmap để khám phá các dịch vụ đang chạy trên máy chủ của họ.

Answer the questions below

Quét máy chủ mục tiêu bằng IP MACHINE_IP. Hãy nhớ rằng máy chủ MS Windows chặn ping theo mặc định, vì vậy chúng ta cần thêm -Pn, ví dụ như, nmap -Pn MACHINE_IP để quá trình quét hoạt động chính xác. Có bao nhiêu cổng TCP đang mở?

Sử dụng lệnh kiểm tra sau: nmap -Pn MACHINE_IP

Hệ thống tệp mạng (NFS) là một giao thức cho phép khả năng truyền tệp giữa các máy tính khác nhau và có sẵn trên nhiều hệ thống, bao gồm cả MS Windows và Linux. Do đó, NFS giúp dễ dàng chia sẻ tệp giữa các hệ điều hành khác nhau.

Trong kết quả quét bạn nhận được trước đó, bạn sẽ có thể phát hiện NFS hoặc mountd, tùy thuộc vào việc bạn có sử dụng tùy chọn -sV với Nmap hay không. Cổng nào được Nmap phát hiện là NFS hoặc sử dụng dịch vụ mountd?

Bây giờ chúng tôi đã phát hiện ra một dịch vụ NFS đang lắng nghe, hãy kiểm tra xem tệp nào đang được chia sẻ. Chúng ta có thể làm điều này bằng cách sử dụng lệnh showmount. Trong thiết bị đầu cuối bên dưới, chúng tôi chạy showmount -e MACHINE_IP. -E hoặc --exports hiển thị danh sách xuất của máy chủ NFS.

Pentester Terminal

pentester@TryHackMe$ showmount -e MACHINE_IP
Export list for MACHINE_IP:
/share        (everyone)
/my-notes     (noone)

Như chúng ta có thể thấy trong kết quả đầu cuối ở trên, chúng ta có hai phần, / share và / my-Notes. Sau khi bạn đã khởi động máy được đính kèm, hãy sử dụng thiết bị đầu cuối AttackBox để khám phá các chia sẻ trên MACHINE_IP.

Bạn đã tìm thấy bao nhiêu lượt chia sẻ?

Có bao nhiêu lượt chia sẻ hiển thị “everyone”?

Hãy cố gắng gắn kết các lượt chia sẻ mà chúng tôi đã khám phá được. Chúng tôi có thể tạo một thư mục trên AttackBox bằng cách sử dụng mkdir tmp1, trong đó tmp1 là tên của thư mục. Sau đó, chúng tôi có thể sử dụng thư mục này mà chúng tôi đã tạo để gắn kết chia sẻ NFS công khai bằng cách sử dụng: mount MACHINE_IP:/my-notes tmp1.

Pentester Terminal

pentester@TryHackMe$ mount MACHINE_IP:/my-notes tmp1
mount.nfs: access denied by server while mounting MACHINE_IP:/my-notes

Chúng ta có thể thấy rằng quá trình gắn kết đã không thành công. my-Notes không công khai và yêu cầu cơ chế xác thực cụ thể mà chúng tôi không có quyền truy cập. Hãy thử lại với thư mục khác, share.

Pentester Terminal

pentester@TryHackMe$ mount MACHINE_IP:/share tmp1

Chúng tôi không nhận được bất kỳ thông báo lỗi nào, vì vậy đó là một thành công. Hãy đi vào bên trong phần chia sẻ để xem những gì bên trong nó đang sử dụng cd tmp1, sau đó ls.

Pentester Terminal

pentester@TryHackMe$ ls
132-0.txt  2680-0.txt

Có hai tệp văn bản. Chúng tôi có thể mở tệp bằng bất kỳ trình soạn thảo văn bản nào như nano FILENAME hoặc thứ gì đó nhanh hơn như less FILENAME.

Tiêu đề của tệp 2680-0.txt là gì?

Mở tệp 2680-0.txt 

Có vẻ như Grinch Enterprises đã quên khóa SSH của họ trên hệ thống của chúng tôi. Một trong những chia sẻ có chứa khóa cá nhân được sử dụng để xác thực SSH (id_rsa). Tên của tệp đó là gì? mình quay lại ảnh kiểm tra tệp ở trên mình thấy kết quả

Chúng tôi có thể tính toán tổng MD5 của một tệp bằng cách sử dụng md5sum FILENAME. giá trị MD5 là gì id_rsa?