Network Discovery — Scan-ta Clause

EAST-mas Takeover: Port skanı, gizli servislər və QA serverinin geri qaytarılması

HopSec qrupu TBFC-nin QA serverini ələ keçirdi. Server hələ də işləyir, IP ünvanı məlumdur: 10.130.139.189. Bizim vəzifəmiz — bütün açıq portları aşkar etmək, üç gizli açarı tapmaq, admin konsoluna daxil olmaq və serveri geri qaytarmaqdır.

Bu yazıda addım-addım port skanı, FTP, custom servis, DNS və yerli MySQL vasitəsilə necə full compromise əldə etdiyimizi göstərəcəyik.

1. İlkin kəşfiyyat — Nmap ilə port skanı

Əvvəlcə ən çox istifadə olunan 1000 portu skan edirik:

Bash

nmap 10.130.139.189

nmap 10.130.139.189

Nəticə:

22/tcp — SSH
80/tcp — HTTP

Veb səhifəyə baxırıq — serverin "Pwned by HopSec" mesajı və kilidli admin paneli görünür.

Daha dərin skan edək (bütün portlar + banner):

Bash

nmap -p- --script=banner 10.130.139.189

nmap -p- --script=banner 10.130.139.189

Yeni kəşflər:

21212/tcp — vsFTPd 3.0.5 (FTP)
25251/tcp — TBFC maintd v0.2 (custom servis)

2. Birinci açar — Anonymous FTP

FTP standart 21 yox, 21212 portunda işləyir. Anonim girişlə yoxlayaq:

Bash

ftp 10.130.139.189 21212
Name: anonymous
ftp> ls
ftp> get tbfc_qa_key1 -

ftp 10.130.139.189 21212
Name: anonymous
ftp> ls
ftp> get tbfc_qa_key1 -

Faylın məzmunu:

text

KEY1:3aster_

KEY1:3aster_

3. İkinci açar — Custom TBFC servisi

25251 portunda naməlum servis var. Netcat ilə qoşuluruq:

Bash

nc -v 10.130.139.189 25251

nc -v 10.130.139.189 25251

Servis cavab verir:

text

TBFC maintd v0.2
Type HELP for commands.
Commands: HELP, STATUS, GET KEY, QUIT

TBFC maintd v0.2
Type HELP for commands.
Commands: HELP, STATUS, GET KEY, QUIT

GET KEY əmrini göndəririk və ikinci açarı alırıq:

text

KEY2:15_th3_

KEY2:15_th3_

4. Üçüncü açar — DNS TXT qeydi

UDP skanı:

Bash

nmap -sU 10.130.139.189

nmap -sU 10.130.139.189

53/udp (DNS) açıqdır. dig ilə sorğu göndəririk:

Bash

dig @10.130.139.189 TXT key3.tbfc.local +short

dig @10.130.139.189 TXT key3.tbfc.local +short

Cavab:

text

"KEY3:n3w_xm45"

"KEY3:n3w_xm45"

5. Açarı birləşdirib admin paneli açırıq

Üç açarı birləşdiririk:

text

3aster_15_th3_n3w_xm45

3aster_15_th3_n3w_xm45

Veb interfeysdə "Unlock" səhifəsinə daxil olub bu açarı daxil edirik. Terminal açılır.

6. Daxili kəşfiyyat — Listening portlar və MySQL

Terminalda lokal portları yoxlayırıq:

Bash

ss -tunlp

ss -tunlp

Görürük ki, 127.0.0.1:3306 (MySQL) və digər servislər işləyir.

MySQL-ə lokal olaraq daxil oluruq (autentifikasiya tələb olunmur):

Bash

mysql -D tbfcqa01 -e "show tables;"
mysql -D tbfcqa01 -e "select * from flags;"

mysql -D tbfcqa01 -e "show tables;"
mysql -D tbfcqa01 -e "select * from flags;"

Flag:

THM{4ll_s3rvice5_d1sc0vered}

THM{4ll_s3rvice5_d1sc0vered}

Nəticə və dərslər

Bu tapşırıq klassik "assumed breach" ssenarisini göstərir:

Port skanı heç vaxt dayandırılmamalıdır — yalnız top 1000 port kifayət etmir.
Non-standard portlar (21212, 25251) çox vaxt diqqətdən kənarda qalır.
UDP skanı unudulmamalıdır (DNS çox vaxt gizli məlumat saxlayır).
Lokal servislər (127.0.0.1) remote skanla görünmür, amma shell əldə etdikdən sonra əlçatan olur.
Banner grabbing və manual interaktivlik (nc, ftp, dig) avtomatlaşdırılmış alətlərdən daha çox məlumat verir.

Müdafiə tərəfində isə: