Linuxの永続化の設定を発見しよう！【TryHackMe】Tardigrade-Writeup

こんにちは、ぎんたです。

今回はTryHackMeで提供されている「Tardigrade」というルームの攻略の過程を記事にしています。

ルームはこちらからアクセスできます「TardigradeのURL」。

このルームでは、不正アクセスを受けたサーバに残された永続化の設定（バックドア）を発見することが目的です。

が今回の対象です。

また、Task３と６は解説の必要がない内容であるため省略しています。

このルームも無料でアクセス可能なので、試してみたい方はぜひやってみてください。

「Task２」ユーザアカウントを調査し、永続化の痕跡を調査する

Q1：giorgioのホームディレクトリで見つけた最も興味深いファイルは何ですか？

Giorgioのホームディレクトリの内容を確認すると、「.bad_bash」という名前の隠しファイルがありました。

Linuxの隠しファイルを被害サーバにログインして調査する場合、「ls -la」コマンドを実行すると確認することができます。

Q2：すべてのユーザのホームディレクトリで見つけることができる別のファイルは、.bashrcファイルです。giorgioの.bashrcで何か面白いものが見つかるかどうか、確認できますか？

.bashrcは、ユーザがログインしたときに読み込まれる設定ファイルです。

隠しファイルになっているため、被害サーバにログインし調査する場合には「ls -la」コマンドを実行することで表示可能です。

内容を確認すると、外部IPの6969ポートへの接続を試みるコマンドが記載されています。

しかもよく見ると、aliasの設定でlsコマンドとして登録しているようです。

コマンドのエイリアスでは、「オプションも含めて別名をつけることができる」という点が便利な点です。たとえば、「ls -al」をよく実行する場合に備えて、これにエイリアスをつけることができます。

エイリアスをつけるには、「alias」コマンドを使います。「ls -al」に「ll」というエイリアスをつけるには、以下のように実行します。

$ alias ll=’ls -al’

これで、プロンプトに「ll」と入力すると、ls -alに読み替えられて実行されるようになります。コマンドエイリアスの便利なところは、エイリアスに更に引数をつけても、その引数が有効になるという点です。

出典：Linux技術者認定試験 LinucLPI-Japanのサイト

lsコマンドを実行すると上記のIPアドレスへの接続が行われるようです。

Q3　giorgioのホームディレクトリの通常のベースはカバーできたようなので、次は彼が所有するスケジュールタスクをチェックしましょう。スケジュールされたタスクについて、何か面白いことは見つかりましたか？

crontabコマンドを使うことで、スケジュールされたタスクを調べることができます。

-l: ユーザのcrontabをリストする

Cronの設定不備を悪用した権限昇格の手法を解説した記事もありますので、ご興味があればこちらもご覧ください。

スケジュールタスクにも外部IPの6969番ポートへの接続をおこなう設定がありました。

左側に5か所「*」と記述されているため、毎分実行されるようです。

Task3ですが、メッセージ記載のフラグを回答するだけなので解説は省略します。

「Task4」 rootアカウントを調査し、永続化の痕跡を調査する

Q1 rootアカウントでログオンしてしばらくすると、ターミナルにエラーメッセージが表示されます。何と書いてあるのでしょうか？

「sudo su」コマンドでrootアカウントに切り替えると、数秒後にメッセージが表示されました。

Q2 エラーメッセージを見ながら進んでいくと、エラーメッセージの一部としてターミナルに怪しいコマンドが表示されます。表示されたコマンドは何でしょうか？

「Ctrl + c」を入力しエラーメッセージを終了させたところ、以下のコマンドが表示されました。

Ｑ3 あなたは、「どうしてこうなった？何もしてないのに？rootとしてログインしたら、そうなっただけだ。”怪しいコマンドがどのように実装されたかを知ることができるでしょうか？

rootでログオンしたらメッセージが表示されたことから.bashrcを調査したところ、永続化の設定が記載されていました。

「Task5」passedファイルを調査し、永続化の痕跡を調査する

Ｑ１ 最後の永続化メカニズムとは何ですか？

攻撃者はシステムへの永続的なアクセス権の維持を目的としてユーザを追加する場合もあるので、「/etc/passwd」ファイルを確認します。

ざっとみたところ、nobodyというアカウントが怪しそうでしたので、回答したら正解でした。

Task6 は/nonexistentにあるフラグを回答するだけなので、解説は省略します。

1 まとめ

今回の記事では「Tardigrade」というルームの攻略を通してLinuxの永続化の設定を発見していきました。

この記事が少しでも役に立てれば幸いです。

以上、ぎんたでした。