THM - Red Team Recon

 

Kolejnym zadaniem będzie rozwiązania solucji 'Red Team Recon' na stronie Try Hack Me (https://tryhackme.com/room/redteamrecon).  Solucja składa się z ośmiu zadań, których zadaniem jest nauka z korzystania z DNS-u, wyszukiwania zaawansowanego, Recon-ng i Maltego do gromadzenia informacji o celu. We wstępie zadania pierwszego mamy cytat “Znaj swojego wroga, poznaj jego miecz” napisał Miyamoto Musashi i to będzie nam przyświecało.

Zadanie 1. Wprowadzenie 

Niewiele do zrobienia. Pomijam opis tego zadania.

Zadanie 2. Taksonomia rozpoznania

W zadaniu dowiadujemy się, że rozpoznanie (recon) można podzielić na dwie części:

1. rozpoznanie pasywne, które można to zrobić, oglądając pasywnie
2. rozpoznanie aktywne, które wymaga interakcji z celem, aby go sprowokować, aby obserwować jego reakcję. 

Tu również nie mamy, zbyt dużo do zrobienia. Pomijam dalszy opis tego zadania.

Zadanie 3. Wbudowane narzędzia

W tym zadaniu poznajemy narzędzia: whois, dig, nslookup, host i traceroute.

Pytania do zadania to:

1. Kiedy był thmredteam.com utworzono (zarejestrowany)? ( RRRR-MM-DD )

Do wykonania poniższego zadania potrzebujemy narzędzia whois

whois thmredteam.com

W wyniku otrzymujemy poniższy zapis:

Domain Name: THMREDTEAM.COM
Registry Domain ID: 2643258257_DOMAIN_COM-VRSN
Registrar WHOIS Server: whois.namecheap.com
Registrar URL: http://www.namecheap.com
Updated Date: 2022-09-26T15:22:32Z
Creation Date: 2021-09-24T14:04:16Z
Registry Expiry Date: 2023-09-24T14:04:16Z
Registrar: NameCheap, Inc.
Registrar IANA ID: 1068
Registrar Abuse Contact Email: abuse@namecheap.com
Registrar Abuse Contact Phone: +1.6613102107
Domain Status: clientTransferProhibited https://icann.org/epp#clientTransferProhibited
Name Server: KIP.NS.CLOUDFLARE.COM
Name Server: UMA.NS.CLOUDFLARE.COM
DNSSEC: unsigned
URL of the ICANN Whois Inaccuracy Complaint Form: https://www.icann.org/wicf/

Odpowiedź mamy w linijce Creation Date.

2. Do ilu adresów IPv4 clinic.thmredteam.com rozwiązać?

Do tego zadania użyjemy narzędzia host

host clinic.thmredteam.com

W wyniku otrzymujemy

clinic.thmredteam.com has address 172.67.212.249
clinic.thmredteam.com has address 104.21.93.169
clinic.thmredteam.com has IPv6 address 2606:4700:3034::6815:5da9
clinic.thmredteam.com has IPv6 address 2606:4700:3034::ac43:d4f9

Odpowiedź to dwie pierwsze linijki.

3. Do ilu adresów IPv6 clinic.thmredteam.com rozwiązać?

To zadanie rozwiążemy na podstawie poprzedniego pytania, a odpowiedzią są dwie ostatnie linijki.

Zadanie 4. Wyszukiwanie zaawansowane

Kluczową umiejętnością jest zdolność efektywnego wykorzystywania wyszukiwarki. Dowiadujemy się jaką składnie należy użyć, co pokazanej jest w tabeli w zadaniu 4.

Pytania do zadania to: 

1. Jak wyszukałbyś przy użyciu Google xls indeksowane dla http://clinic.thmredteam.com?

W tym pytaniu mamy podpowiedź: Podaj odpowiedź w kolejności alfabetycznej, wybierając poprawne terminy z tabeli u góry zadania.

Patrzymy na tabelę i szukamy polecenie pozwalającego na znalezienie plików to filetype, czyli pierwsza część to filetype:xls a następnie musimy podać stronę. Całość prezentuje się następująco:

filetype:xls site:clinic.thmredteam.com

2. Jak wyszukałbyś przy użyciu Google pliki ze słowem passwords dla http://clinic.thmredteam.com?

A teraz drugie zapytanie szukamy frazy na stronie, czyli robilibyśmy to następująco:

passwords site:clinic.thmredteam.com

Zadanie 5. Specjalistyczne wyszukiwarki

Przyglądniemy się teraz stroną pozwalającym na wyszukiwanie treści. W tym zadaniu poznajemy :

ViewDNS.info - które oferuje wsteczne wyszukiwanie IP. Początkowo każdy serwer WWW używałby jednego lub więcej adresów IP, jednak obecnie często spotyka się współdzielone serwery hostingowe.

Threat Intelligence Platform - wymaga podania nazwy domeny lub adresu IP i uruchomi serię testów, od sprawdzania złośliwego oprogramowania po zapytania WHOIS i DNS.

Censys Search - może dostarczyć wielu informacji o adresach IP i domenach. 

Shodan - tu używamy go w wersji command line.

Pytanie do zadania to:

Jakie jest polecenie shodan, aby uzyskać adres IP z dostępem do Internetu?

W tym pytaniu mamy podpowiedź: Odwiedź https://cli.shodan.io/

Wchodząc na stronę i przeglądając szybko wyszukujemy składnie na odpowiedź.

shodan myip

Zadanie 6. Recon-ng

W zadaniu poznajaemy narzędzie Recon-ng, które jest frameworkiem, który pomaga zautomatyzować pracę OSINT.

Pytania do zadania to: 

1. Jak rozpocząć rekon-ng z przestrzenią roboczą clinicredteam?

Odpowiedź jest na początku tekstu o Recon-ng, w części poświęconej tworzeniu przestrzeni roboczej.

recon-ng -w clinicredteam

2. Ile istnieje modułów o nazwie virustotal?

W tym zapytaniu skorzystamy z marketplace.

marketplace search virustotal

3. W domenie hostów znajduje się jeden moduł. Jaka jest jego nazwa?

marketplace search hosts-domain

Odpowiedź to migrate_hosts

4. censys_email_address to moduł, który „pobiera adresy e-mail z certyfikatów TLS dla firmy”. Kto jest autorem?

marketplace info censys_email_address

w wyniku otrzymujemy:

| path                 | recon/companies-contacts/censys_email_address
| name                | Censys emails by company
| author              | Censys Team
| version             | 2.0
| last_updated    | 2021-05-11
| description       | Retrieves email addresses from the TLS certificates for a company. Updates the 'contacts' table with the results. 
| required_keys  | ['censysio_id','censysio_secret']           
| dependencies  | ['censys>=2.0.0']
| files                  | []
|  status              | not installed

a odpowiedź jest w trzeciej linijce.

Zadanie 7. Maltego

Kolejne narzędzie to Maltego, która łączy tworzenie mapy myśli z OSINT. Ogólnie rzecz biorąc, zacząłbyś od nazwy domeny, nazwy firmy, nazwiska osoby, adresu e-mail itp. Następnie możesz pozwolić tej informacji przejść przez różne przekształcenia.

Pytania do zadania to: 

1. Jak nazywa się transformacja, która przeszukuje NIST’s National Vulnerability Database?

W tym pytaniu mamy podpowiedź:  Sprawdź https://www.maltego.com/transform-hub/ lub zainstaluj Maltegao i aktywuj go we własnym systemie.

Przechodzimy na stronę i wpisujemy NIST w odpowiedzi otrzymujemy odpowiedź na pytanie

NIST NVD

2. Jak nazywa się projekt oferujący transformację opartą na ATT&CK?

W tym pytaniu mamy podpowiedź: Sprawdź https://www.maltego.com/transform-hub/ lub zainstaluj Maltego i aktywuj go we własnym systemie.

Podobnie jak w pytaniu porzednim wpisujemy ATT&CK i otrzymujemy ATT&CK - MISP toworzony przez 

MISP Project

Zadanie 8. Podsumowanie

W tym zadaniu nie ma pytania. To jest koniec. Gratulacje można przejść do kolejnej solucji.