Game-of-Thrones-CTF-1 - Vulnhub - Level: Medium - Bericht

Der Befehl arp-scan -l wird verwendet, um alle Geräte im lokalen Netzwerk zu scannen und ihre MAC-Adressen und zugehörigen Informationen anzuzeigen. In diesem Fall identifizieren wir ein Gerät mit der IP-Adresse 192.168.2.106 und der MAC-Adresse 08:00:27:6b:6e:f0, das von PCS Systemtechnik GmbH hergestellt wurde. Diese Information ist nützlich, um das Zielsystem im Netzwerk zu identifizieren.

**Analyse:** Der ARP-Scan ist ein grundlegender Schritt, um einen Überblick über die aktiven Geräte im Netzwerk zu erhalten. Die MAC-Adresse kann verwendet werden, um den Hersteller des Geräts zu bestimmen und möglicherweise weitere Informationen über das Gerät zu finden.

**Empfehlung:** Es ist wichtig, das Netzwerk regelmäßig auf unbekannte Geräte zu überwachen, um unbefugten Zugriff zu verhindern.

Der Befehl vi /etc/hosts wird verwendet, um die /etc/hosts-Datei zu bearbeiten und eine Zuordnung zwischen der IP-Adresse 192.168.2.106 und dem Hostnamen gamesoftrones.vln hinzuzufügen. Dadurch können wir das Zielsystem über den Hostnamen ansprechen, was die weitere Arbeit erleichtert.

**Analyse:** Die /etc/hosts-Datei ermöglicht es, Hostnamen lokal aufzulösen, ohne einen DNS-Server zu benötigen. Dies ist nützlich, um das Zielsystem einfacher anzusprechen und die Lesbarkeit der Befehle zu verbessern.

**Empfehlung:** Stellen Sie sicher, dass die /etc/hosts-Datei nur vertrauenswürdige Einträge enthält, um Man-in-the-Middle-Angriffe zu verhindern.

Nikto ist ein Webserver-Scanner, der nach potenziell gefährlichen Dateien, veralteten Softwareversionen und anderen Sicherheitsproblemen sucht. In diesem Fall identifiziert Nikto eine Reihe von Problemen, darunter fehlende HTTP-Header, offene Verzeichnisse (/css/, /imgs/) und die Anzeige der Apache-Standarddatei /icons/README. Besonders interessant ist die robots.txt Datei, die auf interessante Pfade hinweist.

**Analyse:** Die von Nikto gefundenen Probleme können von Angreifern ausgenutzt werden, um auf sensible Informationen zuzugreifen oder das System zu kompromittieren. Insbesondere fehlende HTTP-Header können zu Clickjacking-Angriffen führen. Die robots.txt Datei könnte versteckte Pfade enthalten, die weitere Angriffsmöglichkeiten bieten.

**Empfehlung:** Beheben Sie die von Nikto identifizierten Probleme, indem Sie die HTTP-Header konfigurieren, unnötige Verzeichnisse schützen und den Zugriff auf die Apache-Standarddatei /icons/README einschränken. Untersuchen Sie die robots.txt Datei genauer.

Dieser Nmap-Scan filtert die Ausgabe des vorherigen Scans, um nur die geöffneten Ports anzuzeigen. Die Option -sS führt einen SYN-Scan durch, -sV aktiviert die Dienst- und Versionserkennung, -A aktiviert aggressive Scan-Optionen und -T5 verwendet eine aggressive Timing-Vorlage.

**Analyse:** Die geöffneten Ports 21 (FTP), 22 (SSH), 53 (DNS), 80 (HTTP), 1337 (HTTP), 5432 (PostgreSQL) und 10000 (Webmin) deuten auf ein System mit verschiedenen Diensten hin.

**Empfehlung:** Überprüfen Sie die Konfiguration der einzelnen Dienste und stellen Sie sicher, dass sie sicher konfiguriert sind. Die Vielzahl der offenen Ports deutet auf eine komplexe Angriffsfläche hin.

Dieser Nmap-Scan ist ausführlicher und liefert zusätzliche Informationen über die geöffneten Ports und die laufenden Dienste. Wir erhalten Informationen über die FTP-, SSH-, DNS-, HTTP-, PostgreSQL- und Webmin-Dienste, einschließlich Versionen, Hostschlüssel, Titel, Server-Header und robots.txt-Einträge. Besonders interessant ist der HTTP-Dienst auf Port 1337, der eine Authentifizierung erfordert ("Welcome to Casterly Rock").

**Analyse:** Die detaillierten Informationen aus diesem Scan ermöglichen es, gezielt nach Schwachstellen in den laufenden Diensten zu suchen. Der SSH-Dienst scheint eine modifizierte Version von Dropbear zu sein, was interessant ist. Die Authentifizierung auf Port 1337 deutet auf eine mögliche Login-Seite hin.

**Empfehlung:** Untersuchen Sie die Dienste genauer, insbesondere den HTTP-Dienst auf Port 1337. Versuchen Sie, die Anmeldeinformationen für diesen Dienst zu finden.

Gobuster ist ein Tool zum Auffinden von versteckten Verzeichnissen und Dateien auf einem Webserver. In diesem Fall wird Gobuster verwendet, um nach Dateien mitverschiedenen Erweiterungen auf dem Webserver http://gamesoftrones.vln zu suchen. Die Option -b '403,404' gibt an, dass Gobuster die Statuscodes 403 (Forbidden) und 404 (Not Found) ignorieren soll. Die Option -e fügt eine Erweiterung an die angefragten Dateien hinzu, die Option --no-error unterdrückt Fehlermeldungen und die Option -k ignoriert SSL-Zertifikatsfehler.

**Analyse:** Gobuster hat eine Reihe von Dateien und Verzeichnissen gefunden, darunter die Standard-Webseite (index.php), die Sitemap (sitemap.xml), verschiedene Verzeichnisse (music, h, css, imgs, js), die robots.txt Datei und die raven.php Datei.

**Empfehlung:** Untersuchen Sie die gefundenen Dateien und Verzeichnisse genauer, um sensible Informationen oder Schwachstellen zu finden. Die raven.php Datei könnte interessant sein.

Dirb ist ein weiteres Tool zum Auffinden von versteckten Verzeichnissen und Dateien auf einem Webserver.

**Analyse:** Dirb bestätigt die Ergebnisse von Gobuster und findet die gleichen Dateien und Verzeichnisse. Zusätzlich wird die Datei favicon.ico gefunden. Die server-status Seite ist mit einem 403 Fehler geschützt, was auf eine mögliche Überwachung des Servers hindeutet.

**Empfehlung:** Untersuchen Sie die favicon.ico Datei und die server-status Seite genauer.

Dieser Pfad (http://192.168.2.106/h/i/d/d/e/n/) wurde wahrscheinlich durch Directory Brute-Forcing entdeckt.

**Analyse:** Die Seite enthält einen Hinweis vom Lord Varys: "To enter in Dorne you must say: A_verySmallManCanCastAVeryLargeShad0w". Dies deutet auf ein Passwort oder eine andere Form der Authentifizierung hin, die benötigt wird, um nach Dorne zu gelangen.

**Empfehlung:** Notieren Sie sich den Hinweis vom Lord Varys. Dieser wird später benötigt.

Die robots.txt Datei gibt Anweisungen für Web-Crawler.

**Analyse:** Die Datei erlaubt dem User-Agent "Three-eyed-raven" den Zugriff auf das Verzeichnis /the-tree/, während alle anderen User-Agents den Zugriff auf /secret-island/ und /direct-access-to-kings-landing/ verweigert wird. Dies deutet darauf hin, dass diese Verzeichnisse interessante Informationen enthalten könnten.

**Empfehlung:** Verwenden Sie den User-Agent "Three-eyed-raven", um auf das Verzeichnis /the-tree/ zuzugreifen und untersuchen Sie die Verzeichnisse /secret-island/ und /direct-access-to-kings-landing/ ohne User-Agent oder mit einem anderen User-Agent.

Dieser Pfad (http://gamesoftrones.vln/secret-island/) ist in der robots.txt Datei als "Disallow" markiert.

**Analyse:** Die Seite enthält einen Hinweis von Petyr Baelish: "Take this map and use it wisely". Dies deutet darauf hin, dass eine Karte (möglicherweise eine Bilddatei) wichtig ist, um im CTF voranzukommen.

**Empfehlung:** Suchen Sie nach einer Karte auf dem Webserver.

Dieser Pfad (http://gamesoftrones.vln/direct-access-to-kings-landing/) ist in der robots.txt Datei als "Disallow" markiert. Hier wird der Quellcode der Seite angezeigt.

**Analyse:** Die Seite enthält einen Hinweis von Sansa Stark: "I've heard the savages usually play music. They are not as wild as one can expect, are they?". Dies deutet darauf hin, dass Musik eine Rolle spielt und möglicherweise mit den "Savages" (Wildlingen) in Verbindung steht.

**Empfehlung:** Suchen Sie nach Musikdateien auf dem Webserver und analysieren Sie diese.

Dies ist der Pfad zu einer Bilddatei (map_to_westeros.jpg).

**Analyse:** Dies ist wahrscheinlich die Karte, auf die Petyr Baelish im Hinweis auf http://gamesoftrones.vln/secret-island/ Bezug genommen hat.

**Empfehlung:** Laden Sie die Karte herunter und untersuchen Sie diese genauer.

Die sitemap.xml Datei listet die Seiten der Website auf.

**Analyse:** Die Sitemap listet die Seiten index.php und raven.php auf.

**Empfehlung:** Untersuchen Sie die raven.php Datei genauer.

Dieser Pfad zeigt den Quellcode der Seite raven.php an.

**Analyse:** Die Seite enthält einen Hinweis von Anonymous: "To pass through the wall, mcrypt spell will help you. It doesn't matter who you are, only the key is needed to open the secret door". Dies deutet darauf hin, dass mcrypt (eine Verschlüsselungssoftware) und ein Schlüssel benötigt werden, um eine bestimmte Barriere im CTF zu überwinden. Die "Wall" könnte Winterfell repräsentieren.

**Empfehlung:** Suchen Sie nach Hinweisen zum mcrypt Schlüssel.

Hier wird versucht, sich per FTP mit verschiedenen Benutzern anzumelden. Die Hinweise im Banner deuten darauf hin, dass es sich um "Dorne city walls" handelt und der Zugriff durch Fail2ban geschützt ist.

**Analyse:** Anonymer Zugriff ist nicht erlaubt. Es werden verschiedene Benutzernamen ausprobiert, aber der Zugriff wird verweigert.

**Empfehlung:** Versuchen Sie, den Benutzernamen "oberynmartell" mit dem Passwort "A_verySmallManCanCastAVeryLargeShad0w" (Hinweis von Varys) zu verwenden.

Der Zugriff auf Port 1337 erfordert eine Authentifizierung.

**Analyse:** Die Seite zeigt einen 401 Authorization Required Fehler.

**Empfehlung:** Versuchen Sie, die Anmeldeinformationen für diesen Dienst zu finden (Benutzername und Passwort).

Der Zugriff auf Port 5432 (PostgreSQL) ist nicht möglich.

**Analyse:** Es konnte keine Verbindung zum PostgreSQL-Server hergestellt werden. Dies könnte auf eine Firewall, einen nicht laufenden Dienst oder eine andere Konfiguration zurückzuführen sein.

**Empfehlung:** Untersuchen Sie, ob der PostgreSQL-Server läuft und ob eine Firewall den Zugriff verhindert.

Dies ist eine Liste von Namen und Zitaten, die im CTF gefunden wurden.

**Analyse:** Diese Liste enthält nützliche Informationen, die bei der Lösung des CTFs helfen könnten.

**Empfehlung:** Notieren Sie sich diese Liste.

Dies ist der Quellcode der Startseite (index.php).

**Analyse:** Die Seite enthält Informationen über den CTF, die Regeln, das Ziel und einige Hinweise. Wichtige Hinweise sind: "Everything can be TAGGED in this world, even the magic or the music" (Bronn of the Blackwater) und "To enter in Dorne you'll need to be a kind face" (Ellaria Sand).

**Empfehlung:** Beachten Sie die Hinweise. Die TAGs könnten in den Musikdateien zu finden sein. Die "kind face" könnte mit dem Benutzernamen "oberynmartell" zusammenhängen.

Hier wird die Musikdatei game_of_thrones.mp3 heruntergeladen.

**Analyse:** Die Musikdatei könnte Hinweise oder Flags enthalten.

**Empfehlung:** Analysieren Sie die Musikdatei mit verschiedenen Tools.

Der Befehl strings extrahiert alle lesbaren Zeichenketten aus der Musikdatei.

**Analyse:** Die Ausgabe zeigt die Zeichenkette "Savages secret flag: 8bf8854bebe108183caeb845c7676ae4". Dies ist wahrscheinlich ein Flag.

**Empfehlung:** Notieren Sie sich das Flag.

Dieser Pfad (http://gamesoftrones.vln/the-tree/) ist in der robots.txt Datei für den User-Agent "Three-eyed-raven" erlaubt.

**Analyse:** Der Hinweis deutet darauf hin, dass der User-Agent geändert werden muss, um die richtige Antwort zu erhalten. Die Gross- und Kleinschreibung ist hier bewusst gewählt.

**Empfehlung:** Ändern Sie den User-Agent in "Three-eyed-raven" und besuchen Sie die Seite erneut. Analysieren Sie die Gross- und Kleinschreibung des Textes.

Hier wird das Tool stegoveritas verwendet, um das Bild meme5.jpg auf Steganographie zu untersuchen.

**Analyse:** Stegoveritas findet mehrere interessante Dinge: Eine LZMA komprimierte Datei (9532.7z), MPEG ADTS Daten und ein byte-swapped cpio Archiv. Die Exif-Daten des Bildes werden ebenfalls angezeigt.

**Empfehlung:** Extrahieren Sie die gefundenen Dateien (9532.7z, cpio Archiv) und analysieren Sie diese genauer.

Dies sind Informationen, die bisher gesammelt wurden: Der User-Agent für "the-tree" und eine Reihe von Zahlen.

**Analyse:** Diese Informationen könnten in Kombination mit anderen Hinweisen benötigt werden.

**Empfehlung:** Notieren Sie sich diese Informationen.

Hier wird sich mit dem Benutzernamen "oberynmartell" und dem Passwort "A_verySmallManCanCastAVeryLargeShad0w" per FTP angemeldet.

**Analyse:** Die Anmeldung ist erfolgreich! Der FTP-Server gibt eine Willkommensnachricht aus und teilt das erste Flag mit: "fb8d98be1265dd88bac522e1b2182140".

**Empfehlung:** Notieren Sie sich das erste Flag.

Der Befehl pwd zeigt das aktuelle Verzeichnis an.

**Analyse:** Das aktuelle Verzeichnis ist das Root-Verzeichnis (/).

**Empfehlung:** Wechseln Sie in das /var Verzeichnis, falls vorhanden.

Der Befehl cd /var versucht, in das /var Verzeichnis zu wechseln.

**Analyse:** Der Versuch, in das /var Verzeichnis zu wechseln, schlägt fehl.

**Empfehlung:** Listet Sie die verfügbaren Verzeichnisse auf, um das nächste Ziel zu bestimmen.