[Try Hack Me] : Blue

TryHackMe의 Blue Machine에 대한 포스팅입니다 Deploy를 통해 해당 머신에 접근할 수 있는 IP 정보를 얻어옵니다. 그 후 nmap을 통해 포트 정보를 확인합시다. 여러 포트가 나오지만 그중에서 Host Script Results 부분을 보겠습니다.

Result : nmap -sC -sV {BlueIP} 

smb에 관한 설명이 나오는 나옵니다.  smb에 관한 정보가 나옵니다. exploit-db에서 smb를 가지고 검색해보면 여러 가지 공격 벡터가 나옵니다. 무엇을 사용해야 할지 감이 안 오지만 잘 생각해보니 Machine의 이름이 Blue입니다. Blue이면 떠오른 건.... 음.. Eternal Blue?

exploit-db 'Eternal Blue'

Eternal Blue라는 Keyword에 대해 다음과 3가지 정보가 있습니다 그리고 모두 괄호 안에 MS07-010이 표시되어 있습니다. Metasploit에서도 MS07-010을 가지고 검색하면 해당 공격 벡터가 나오지 않을까 하는 생각이 듭니다.

search ms07-010

검색 결과 중 2번쨰로 나타난 공격 벡터를 이용하겠습니다.

Setup Option

설정할 부분은 RHOSTS, LHOST 옵션이네요. RHOSTS는 Machine IP, LHOST는 TryHackMe에서 Deploy 받은 IP를 넣어주시면 됩니다. 

run

공격 벡터가 성공하여 meterpreter를 성공적으로 얻었습니다. 이후 시스템에 등록된 계정 정보에 대해 Crack 하기 위해 meterpreter에서 hashdump를 입력해봅시다.

meterpreter hashdump

Administrator와 Guest를 제외한 Jon 계정에 복사해 txt 파일로 만든 다음 JohnTheRipper를 이용해 Crack 해 봅시다.

john the ripper 

칼리 리눅스에 기본적으로 내장되어 있는 패스워드 사전 파일인 rockyou를 이용해 크랙을 시도했으나 정상적으로 작동은 되지 않아 보입니다. Warning을 읽어보니 format을 NT로 맞추라는 것 같습니다. 그래서 아래와 같이 시도합시다.

john the ripper NT

비밀번호는 alqfna22 었네요. 해당 머신에 Task 5를 보시면 Find flags! 가 보이는데 총 3개의 flag를 찾아야 합니다. 그러므로 meterpreter에서 shell 명령어로 윈도우 shell을 얻어와 윈도에서 file을 찾는 명령어를 이용하여 다음과 같이 flag가 파일의 위치를 찾아줍시다.

dir /s \flag*

flag1~3.txt 에 해당하는 위치가 나타납니다. 권한이 Guest 권한이 아니므로 해당 flag 값을 모두 읽을 수 있습니다.