Deathnote - Vulnhub - Level: Easy - Bericht

[... Standard SUID binaries ...]
   665060    156 -rwsr-xr-x   1 root     root         157192 Jan 20  2021 /usr/bin/sudo
   [...]

Analyse: Suche nach SUID-Binaries als Benutzer `l`.

Bewertung: Die Liste zeigt keine offensichtlich ungewöhnlichen oder benutzerdefinierten SUID-Binaries. `sudo` ist vorhanden.

Empfehlung (Pentester): Prüfe `sudo -l`. Untersuche die MySQL-Datenbank genauer.
Empfehlung (Admin): Regelmäßige Überprüfung von SUID-Dateien.

State     Recv-Q    Send-Q       Local Address:Port        Peer Address:Port
LISTEN    0         128                0.0.0.0:22               0.0.0.0:*
LISTEN    0         80               127.0.0.1:3306             0.0.0.0:*
LISTEN    0         128                      *:80                     *:*
LISTEN    0         128                   [::]:22                  [::]:*
                     

Analyse: Auflisten der lauschenden TCP-Ports.

Bewertung: Bestätigt die Ports 22 (SSH) und 80 (Apache). Zeigt außerdem, dass der MySQL/MariaDB-Server (Port 3306) nur auf dem Localhost-Interface (127.0.0.1) lauscht und somit nicht direkt von außen erreichbar ist.

Empfehlung (Pentester): Da wir die DB-Credentials (`l:death4me`) haben und als `l` auf dem System sind, können wir uns nun mit dem lokalen MySQL-Client verbinden.
Empfehlung (Admin): Es ist eine gute Sicherheitspraxis, Datenbankdienste nur an localhost zu binden, wenn kein externer Zugriff benötigt wird.

Enter password: death4me [Passworteingabe]
Welcome to the MariaDB monitor. [...]
MariaDB [(none)]> show databases;
+--------------------+
| Database           |
+--------------------+
| information_schema |
| wordpress          |
+--------------------+
[...]
MariaDB [(none)]> use wordpress;
Database changed
MariaDB [wordpress]> show tables;
+-----------------------+
| Tables_in_wordpress   |
+-----------------------+
[...] | wp_users              | [...]
+-----------------------+
[...]
MariaDB [wordpress]> select * from wp_users;
+----+------------+------------------------------------+---------------+-------------------+---------------------------------+---------------------+---------------------+-------------+--------------+
| ID | user_login | user_pass                          | user_nicename | user_email        | user_url                        | user_registered     | user_activation_key | user_status | display_name |
+----+------------+------------------------------------+---------------+-------------------+---------------------------------+---------------------+---------------------+-------------+--------------+
|  1 | kira       | $P$BLAm2r4YofLSOywvLguipu8Av1Tuwq. | kira          | kira123@gmail.com | http://deathnote.vuln/wordpress | 2021-07-19 13:36:00 |                     |           0 | kira         |
+----+------------+------------------------------------+---------------+-------------------+---------------------------------+---------------------+---------------------+-------------+--------------+
                     

Analyse: Login in die lokale MariaDB-Datenbank als Benutzer `l` mit dem Passwort `death4me`. Die `wordpress`-Datenbank wird ausgewählt und der Inhalt der Tabelle `wp_users` abgefragt.

Bewertung: Findet den WordPress-Benutzer `kira`. Das Passwort (`user_pass`) ist als Hash gespeichert (`$P$B...`). Dies ist ein phpass-Hash, der typisch für ältere WordPress-Versionen ist.

Empfehlung (Pentester): Versuche, den Hash `$P$BLAm2r4YofLSOywvLguipu8Av1Tuwq.` mit Tools wie `hashcat` oder `john` zu knacken. Das Passwort `iamjustic3`, das wir bereits von der Webseite kennen, sollte mit diesem Hash übereinstimmen.
Empfehlung (Admin): WordPress verwendet mittlerweile standardmäßig stärkere Hashing-Algorithmen. Sicherstellen, dass die Datenbank und die Anwendung aktuell sind.

Password: iamjustic3 [Passworteingabe]
su: Authentication failure

Analyse: Es wird versucht, mit `su` zum Benutzer `kira` zu wechseln, unter Verwendung des Passworts `iamjustic3`, das auf der WordPress-Seite gefunden wurde.

Bewertung: Der Versuch **scheitert**. Obwohl `iamjustic3` das WordPress-Login-Passwort war, ist es anscheinend nicht das Systempasswort für den Benutzer `kira`.

Empfehlung (Pentester): Das Knacken des Hashes aus der Datenbank ist nicht notwendig, da das WP-Passwort bekannt ist, aber für den Systemzugang als `kira` nicht funktioniert. Suche nach anderen Wegen, um als `kira` zu agieren oder direkt zu `root` zu gelangen. Untersuche die Verzeichnisse in `/opt`.

total 16
drwxr-xr-x 4 root root 4096 Aug 29  2021 .
drwxr-xr-x 3 root root 4096 Aug 29  2021 ..
drwxr-xr-x 2 root root 4096 Aug 29  2021 fake-notebook-rule
drwxr-xr-x 2 root root 4096 Aug 29  2021 kira-case
                     

the FBI agent died on December 27, 2006
[...]
and we also found something in
fake-notebook-rule folder .
                     

total 16
drwxr-xr-x 2 root root 4096 Aug 29  2021 .
drwxr-xr-x 4 root root 4096 Aug 29  2021 ..
-rw-r--r-- 1 root root   84 Aug 29  2021 case.wav
-rw-r--r-- 1 root root   15 Aug 29  2021 hint
                     

use cyberchef

Analyse: Der Benutzer `l` navigiert in das Verzeichnis `/opt/L` und dessen Unterverzeichnisse `kira-case` und `fake-notebook-rule`. In `kira-case` wird eine Textdatei mit Hinweisen gefunden. In `fake-notebook-rule` werden eine WAV-Datei (`case.wav`) und eine `hint`-Datei gefunden. Die `hint`-Datei enthält den Text "use cyberchef".

Bewertung: Dies ist ein weiterer klarer Hinweis. Die Datei `case.wav` enthält wahrscheinlich versteckte Informationen, die mit CyberChef (einem Online-Tool für Datenmanipulation und -analyse) extrahiert werden können. Dies führt wahrscheinlich zum Passwort für `kira`.

Empfehlung (Pentester): Übertrage die Datei `case.wav` auf das Angreifer-System und analysiere sie mit CyberChef oder ähnlichen Tools, die Audio-Steganografie oder versteckte Daten in Mediendateien aufdecken können.
Empfehlung (Admin): Speichere sensible Informationen nicht in versteckter Form in ungesicherten Verzeichnissen.

Serving HTTP on 0.0.0.0 port 8000 (http://0.0.0.0:8000/) ...
192.168.2.113 - - [31/May/2023 10:09:27] "GET /case.wav HTTP/1.1" 200 -

[...] 'case.wav' gespeichert [84/84]

Analyse: Die Datei `case.wav` wird vom Zielsystem (als Benutzer `l`) mittels eines temporären Python-HTTP-Servers auf das Angreifer-System heruntergeladen.

Bewertung: Notwendiger Schritt zur Offline-Analyse der Datei.

Empfehlung (Pentester): Analysiere `case.wav` mit CyberChef.
Empfehlung (Admin): Egress-Filtering kann solche Dateitransfers verhindern.

Analyse:** Der folgende Block beschreibt die Offline-Analyse von `case.wav`.

1. Lade case.wav in Base64-Decoder oder CyberChef (Input from File).
2. Extrahiere Hex-Output: 63 47 46 7a 63 33 64 6b 49 44 6f 67 61 32 6c 79 59 57 6c 7a 5a 58 5a 70 62 43 41 3d
3. Dekodiere Hex zu ASCII: cGFzc3dkIDoga2lyYWlzZXZpbCA=
4. Dekodiere Base64: passwd : kiraisevil
                       

Password: kiraisevil [Passworteingabe]