ブラックボックス侵入テスト — SecOS:1 (VulnHub)

---

概要

VulnHub の意図的に脆弱な CTF マシン SecOS:1 に対する完全なブラックボックス侵入テスト。目的: 事前知識ゼロの実世界の攻撃者をシミュレートし、/root/flag.txt を取得することで証明される root レベルの侵害を達成すること。

すべてのテストは、大学のモジュールの一環として、制御された仮想ラボ (Apporto Cloud) 内で実施された。実際のシステムは対象としていない。

---

ラボ環境

マシン	役割	IP
Kali Linux (saqib85)	攻撃者	192.168.122.186
SecOS:1 (InfoSecOS)	主要ターゲット	192.168.122.202
Ubuntu DVWA	追加ターゲット	192.168.122.51
Windows XP	追加ターゲット	192.168.122.6

• ネットワーク: NAT — 192.168.122.0/24
• プラットフォーム: Apporto Cloud Lab

---

方法論

Hacking Exposed フレームワーク (McClure, Scambray & Kurtz, 2003) に従った:

1. 情報収集 (フットプリンティング)
2. スキャンとマッピング
3. 列挙
4. 脆弱性評価
5. アクセス獲得
6. 特権昇格
7. ポストエクスプロイテーション -> 窃取 -> 痕跡の消去 -> バックドアの作成

---

攻撃チェーン

ステップ	アクション	詳細
1	ネットワーク探索	Nmap · Netdiscover が 192.168.122.202 をターゲットとして特定
2	ポートスキャン	ポート 22 (OpenSSH 6.6p1) · ポート 8081 (Node.js/Express)
3	Web 列挙	Gobuster · Dirb · Nikto → /hint、/change-password、/users、/messages を発見
4	CSRF エクスプロイト	holidays.html を作成 → 管理者 spiderman に送信 → パスワードを abc123 に変更
5	認証情報の発見	Spiderman の受信トレイに SSH パスワードが含まれていた: CrazyPassword!
6	SSH アクセス	ポート 22 で spiderman としてシェルを取得
7	特権昇格	LinPEAS → カーネル 3.13.0-24 → CVE-2015-1328 (OverlayFS) → root シェル
8	侵害の証明	/root/flag.txt を取得
9	ポストエクスプロイテーション	/etc/passwd と /etc/shadow をダンプ · MongoDB レコードを抽出 · SHA-256 ハッシュをクラック · ログを消去 · バックドアユーザーとポート 4444 の cron リバースシェルを作成

特定された脆弱性 — 合計 22 件 (Nessus)

脆弱性	深刻度	CVSS	CVE
Ubuntu 14.04 LTS — サポート終了	クリティカル	10.0	—
OverlayFS 特権昇格	クリティカル	—	CVE-2015-1328
OpenSSH 6.6p1 — 古い / ユーザー名列挙	高	7.8	CVE-2018-15473
node-serialize を介した Node.js RCE	高	7.5	—
/change-password エンドポイントの CSRF	高	—	—
MongoDB — 認証なし	高	—	—
ソルトなしの SHA-256 ハッシュ	高	—	—
Slowloris DoS	中	5.0	CVE-2007-6750
HTTP セキュリティヘッダーの欠如	低	—	—
ICMP タイムスタンプ開示	低	2.1	—

使用ツール

カテゴリ	ツール
探索	Nmap, Netdiscover
Web 列挙	Gobuster, Dirb, Nikto
脆弱性評価	Nessus Essentials, Searchsploit
エクスプロイト	Burp Suite, Metasploit
特権昇格	LinPEAS, GCC, Exploit-DB 37292.c
ポストエクスプロイテーション	John the Ripper, Netcat, SSH
インフラストラクチャ	Apache2 (ペイロードホスティング)

---

リポジトリファイル

ファイル	説明
README.md	このファイル
exploit-commands.sh	すべてのフェーズにわたるすべてのコマンド
csrf-exploit.html	spiderman のパスワードを変更した CSRF ペイロード
user-creation.sh	Kali での攻撃者ユーザーセットアップ

---

推奨事項

1. すべての状態変更エンドポイントに CSRF トークン; パスワード変更には現在のパスワードを要求する
2. OS とサービスにパッチを適用 — Ubuntu、OpenSSH、Node.js をアップグレード; カーネルパッチを適用
3. MongoDB 認証 — 認証情報を強制; 認証なしのままにしない
4. パスワードハッシュ — SHA-256 を Argon2 またはソルト付き bcrypt に置き換える
5. SSH の強化 — パスワード認証を無効化; 鍵ベースの認証のみを使用
6. HTTP セキュリティヘッダー — X-Frame-Options、X-Content-Type-Options、CSP を追加

---

証拠

CSRF — ヒントページのソースコード

hint page source

CSRF — spiderman がリンクにアクセスしたことを確認する Apache ログ

apache log

abc123 での Spiderman ログイン

spiderman login

spiderman としての SSH アクセス

ssh login

MongoDB レコードの抽出

mongodb

バックドアユーザーの作成

backdoor user

cron ジョブのリバースシェルの設定

cronjob

Kali への cron ジョブ接続の確認

cronjob connection

参考文献

• McClure, S., Scambray, J. and Kurtz, G. (2003) Hacking Exposed. McGraw-Hill/Osborne.
• VulnHub — https://www.vulnhub.com/entry/secos-1,88/
• Exploit-DB 37292 — https://www.exploit-db.com/exploits/37292
• PEASS-ng LinPEAS — https://github.com/peass-ng/PEASS-ng

---

免責事項: すべてのテストは、制御された大学のラボ環境 (CSI_7_PTE, LSBU) 内の意図的に脆弱な CTF マシンに対して実施された。教育目的のみで承認されている。