💻Footprinting Lab - Hard
Introducción
El tercer servidor es un servidor MX y de gestión para la red interna. Posteriormente, este servidor tiene la función de servidor de respaldo de las cuentas internas del dominio. En consecuencia, aquí también se creó un usuario llamado HTB, a cuyas credenciales debemos acceder.
Escaneo de puertos
sudo nmap -v -sV 10.129.187.203
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 8.2p1 Ubuntu 4ubuntu0.3 (Ubuntu Linux; protocol 2.0)
110/tcp open pop3 Dovecot pop3d
143/tcp open imap Dovecot imapd (Ubuntu)
993/tcp open ssl/imap Dovecot imapd (Ubuntu)
995/tcp open ssl/pop3 Dovecot pop3d
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernelVemos que se trata de una máquina Linux con varios puertos abiertos. Vamos a hacer un escaneo más exhaustivo:
sudo nmap -v -sV -sC 10.129.187.203 -p110,143,993,995
PORT STATE SERVICE VERSION
110/tcp open pop3 Dovecot pop3d
|_ssl-date: TLS randomness does not represent time
| ssl-cert: Subject: commonName=NIXHARD
| Subject Alternative Name: DNS:NIXHARD
| Issuer: commonName=NIXHARD
| Public Key type: rsa
| Public Key bits: 2048
| Signature Algorithm: sha256WithRSAEncryption
| Not valid before: 2021-11-10T01:30:25
| Not valid after: 2031-11-08T01:30:25
| MD5: 2b45:ec3c:508f:3cfb:9f6a:750c:63f8:2077
|_SHA-1: ed43:7d5a:3c46:54ac:9902:8dc4:9d86:6efb:2ae3:357c
143/tcp open imap Dovecot imapd (Ubuntu)
|_imap-capabilities: more have post-login STARTTLS IMAP4rev1 LOGIN-REFERRALS listed LITERAL+ IDLE ENABLE OK Pre-login ID SASL-IR capabilities AUTH=PLAINA0001
|_ssl-date: TLS randomness does not represent time
| ssl-cert: Subject: commonName=NIXHARD
| Subject Alternative Name: DNS:NIXHARD
| Issuer: commonName=NIXHARD
| Public Key type: rsa
| Public Key bits: 2048
| Signature Algorithm: sha256WithRSAEncryption
| Not valid before: 2021-11-10T01:30:25
| Not valid after: 2031-11-08T01:30:25
| MD5: 2b45:ec3c:508f:3cfb:9f6a:750c:63f8:2077
|_SHA-1: ed43:7d5a:3c46:54ac:9902:8dc4:9d86:6efb:2ae3:357c
993/tcp open ssl/imap Dovecot imapd (Ubuntu)
| ssl-cert: Subject: commonName=NIXHARD
| Subject Alternative Name: DNS:NIXHARD
| Issuer: commonName=NIXHARD
| Public Key type: rsa
| Public Key bits: 2048
| Signature Algorithm: sha256WithRSAEncryption
| Not valid before: 2021-11-10T01:30:25
| Not valid after: 2031-11-08T01:30:25
| MD5: 2b45:ec3c:508f:3cfb:9f6a:750c:63f8:2077
|_SHA-1: ed43:7d5a:3c46:54ac:9902:8dc4:9d86:6efb:2ae3:357c
|_ssl-date: TLS randomness does not represent time
995/tcp open ssl/pop3 Dovecot pop3d
| ssl-cert: Subject: commonName=NIXHARD
| Subject Alternative Name: DNS:NIXHARD
| Issuer: commonName=NIXHARD
| Public Key type: rsa
| Public Key bits: 2048
| Signature Algorithm: sha256WithRSAEncryption
| Not valid before: 2021-11-10T01:30:25
| Not valid after: 2031-11-08T01:30:25
| MD5: 2b45:ec3c:508f:3cfb:9f6a:750c:63f8:2077
|_SHA-1: ed43:7d5a:3c46:54ac:9902:8dc4:9d86:6efb:2ae3:357c
|_ssl-date: TLS randomness does not represent time
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernelEncontramos un nombre común en todos los puertos: NIXHARD
Empezemos por el 143, el puerto IMAP. en el que en principio no encontramos ninguna credencial expuesta:
Vamos a probar con el puerto 110 POP3, a ver si encontramos algún dato relevante.
Tampoco encontramos nada relevante expuesto, por lo que vamos a probar otras técnicas para obtener las credenciales de acceso.
SMTP
💻SMTPAl ejecutar onesistyone contra la máquina nos da la Community String backup, que nos servirá para ejecutar otras herramientas:
Con esta información vamos a ejecutar snpwalk de la siguiente manera:
Con esto obtenemos varios datos relevantes:
También obtenemos las posibles credenciales del usuario tom:
Lo primero de todo vamos a añadir el dominio a nuestro /etc/hosts
Conexión por IMAP
Tenemos 4 buzones a los que podemos acceder para ver los emails: Notes, Meetings, Important y INBOX. Enumerando cada uno en particular, solamente nos encontramos email en el buzón INBOX:
Conexión por SSH con ID_RSA
Bingo, obtenemos una clave privada ID_RSA para conectarnos por SSH sin contraseña. Nos vamos a guardar la clave en un archivo id_rsa y nos vamos a conectar:
Al conectarnos nos da un error de que los permisos son demasiado amplios, asi que vamos a reducirlos con chmod:
Accedemos correctamente por SSH! Ahora vamos a buscar la información que necesitamos. Recordemos que debemos acceder a las credenciales del usuario HTB.
Parece que en las carpetas de email y Maildir no hay nada relevante. Vamos a ver los usuarios humanos presentes en el sistema:
Solo hay 3 usuarios en el sistema y ninguno es HTB, por lo que tendremos que buscar información dentro del sistema. Dentro de la carpeta tom encontramos varios archivos ocultos que podrían darnos alguna pista de donde encontrar esta información:
El archivo .bash_history contiene información que nos podría ser útil, ya que contiene comandos que otros usuarios han utilizado en el sistema:
Vemos que en los comandos que han ejecutado anteriormente, acceden a mysql desde dentro del servidor SSH, utilizando las credenciales que ya obtuvimos de tom, por lo que vamos a probar eso.
Acceso por MySQL
Efectivamente, accedemos a la base de datos correctamente y empezamos a enumerar información sobre los usuarios:
Y bum! Obtenemos las credenciales de todos los usuarios del sistema, incluído HTB. También podríamos filtrar la información de la siguiente manera:
Última actualización
¿Te fue útil?