IT Consultant: พฤษภาคม 2019

วันศุกร์ที่ 31 พฤษภาคม พ.ศ. 2562

CTF Write Up: Stapler

Result Scan

พบว่า 10.8.0.22 เปิด smb ไว้จึงทำการ scan ด้วย enum4linux

ทำการ brute force เพื่อหา username password สำหรับ ssh

ทำการตรวจสอบ ว่า user ที่เราเข้ามาได้นั้นมีสิทธิ์ super user หรือไม่

หลังจากตรวจสอบว่าไม่พบจึงทำการค้นหา history file ต่างๆ

ทำให้ค้นพบ user and password: Peter

พบว่า user peter มีสิทธิ์ในเป็น super user

ทำการค้นหา flag file

Recommendation: วิธีการป้องกันหรือแก้ไขระบบ

1. Update Linux and Application to New Version
2. Change configuration File vsftpd.conf
- Close anonymous user authentication.
- Fix location path login ftp session user.
3. Clear History file (about: Authentication User)
4. Hide Application Version and Kernel Version.
5. Check permission users and don’t give high permission to users.
6. Close unnecessary service.

CTF Write Up: SkyTower

Enumeration Target
Check Port & Service [Target]
- nmap -p- -A -Pn -v IPaddress

Check Web URL Path [Target]
- nikto -h IPaddress

SQL Injection
- '^' / Check Response

วันอังคารที่ 28 พฤษภาคม พ.ศ. 2562

Reverse process backdoor [Backdoor.ExcaliburSrvW]

Registry
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ExcaliburSvcW.exe
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ExcaliburSvcW

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Winlogonw.exe
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Winlogonw

Services

Winlogonw.exe
Winlogonw

ExcaliburSvcW.exe
ExcaliburSvcW

Winlogonw.exe
Winlogonw

ExcaliburSvcW.exe
ExcaliburSvcW

Folder
C:\Program Files\Windows Exlogon
C:\Program Files (x86)\Windows Exlogon

Scripts Remove

reg delete HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ExcaliburSvcW.exe /f
reg delete HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ExcaliburSvcW /f

reg delete HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Winlogonw.exe /f
reg delete HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Winlogonw /f

sc stop Winlogonw.exe
sc stop Winlogonw

sc stop ExcaliburSvcW.exe
sc stop ExcaliburSvcW

sc delete Winlogonw.exe
sc delete Winlogonw

sc delete ExcaliburSvcW.exe
sc delete ExcaliburSvcW

rmdir "C:\Program Files\Windows Exlogon" /S /Q
rmdir "C:\Program Files (x86)\Windows Exlogon" /S /Q

Reverse process backdoor [Backdoor.Win32.Androm]

AD Replication Failed

How to Recover a Journal Wrap Error (JRNL_WRAP_ERROR) and a Corrupted FRS SYSVOL from a Good DC – What option do I use, D4 or D2? What’s the Difference between D4 and D2?

AD Replication Failed

1. (Good DC) net stop ntfrs

22. (Bad DC) net stop ntfrs

33. (Good DC) Run à Regedit à HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NtFrs\Parameters\Backup/Restore\Process at Startup
double-click “BurFlags.” à Add à D4

44. (Bad DC) Run à Regedit àHKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NtFrs\Parameters\Backup/Restore\Process at Startup
double-click “BurFlags.” à Add à D2

55. (Good DC) net start ntfrs

66. (Bad DC) net start ntfrs

77. (Bad DC) à Check Event Log

EventID 13565 which shows the process started
EventID 13516, which shows it’s complete

https://blogs.msmvps.com/acefekay/tag/event-id-13508/