search
Page cover

h4cked

Descubre que paso mientras analizas un archivo .pcap y hackea a tu manera la maquina.

hashtag
Task 1: Oh no! We've been hacked!

Para limpiar los segmentos SYN y ACK que no tienen data que nos interese, use el comando frame.len != 66 and frame.len != 74, con esto le indicamos que los frames con un tamaño diferente a 66 y 74 no los muestre, en mi caso eran los tamaños de estos segmentos que no me servian para nada.

De esta manera queda todo mas limpio y "lindo" para la vista

hashtag
¿El atacante esta tratando de loggearse en un servicio especifico. Cual es?

ftp

Aca vemos como el atacante esta intentando loggearse

¿Hay una herramienta muy poplar creada por Van Hauser la cual puede ser usada para brute-forcear una serie de servicios. Cual es el nombre?

hydra

¿El atacante esta intentando loggearse con un nombre de usuario especifico. Cual es este nombre?

jenny

Se ve como en el campo user

¿Cual es la contraseña del usuario?

password123

Aca vemos como el usuario despues de introducir la contraseña "password123" el sistema le devuelve con un "Login successful"

¿Cual es el actual directorio de trabajo despues de que el atacante se haya logeado?

/var/www/html

Cuando ejecuta el comando "pwd" podemos ver que le responde con un "/var/www/html"

El atacante subio una backdoor. ¿Cual es el nombre de este backdoor?

shell.php

La backdoor puede ser descargada de una URL especifica, esta escrita adentro del archivo. ¿Cual es la URL completa?

¿Cual comando ejecuto el atacante manualmente despues de obtener la reverse shell?

whoami

¿Cual es el hostname de la maquina?

wir3

¿Cual es el comando que el atacante ejecuto para obtener una nueva TTY?

python3 -c 'import pty; pty.spawn("/bin/bash")'

¿Que comando fue ejecutado para ser root?

sudo su

hashtag
El atacante descargo algo desde GitHub. ¿Cual es el nombre del proyecto?

reptile

hashtag
El proyecto puede ser usado para descargar una stealthy backdoor, las cuales son muy dificiles de detectar. ¿Como se llaman a este tipo de backdoors?

rootkit

hashtag
Task 2: Hack your way back into the machine

  1. Como el hacker anterior cambio la contraseña vamos a tener que hacer furza bruta contra ftp usando hydra

Vemos que la contraseña es 987654321

  1. Nos conectamos con las credenciales, con el comando put subimos la shell nuestra, y le damos permisos de execucion con chmod 777

  1. Nos ponemos en escucha con el comando nc -lvnp 6666 y en la web accedemos a nuestra shell para que se ejecute asi nos da la reverse shell

  1. Ahora solo nos queda actualizar a TTY con python3 -c 'import pty; pty.spawn("/bin/bash")', despues de eso nos cambiamos de usuario a jenny usando las mismas credenciales de ftp, y con sudo su nos convertimos en root

AnteriorGaming ServerSiguienteBuffer Overflow Prep OSCP

Última actualización