TryHackMe Passive Reconnaissanceルームをやってみた

本noteの内容は誤りを含む可能性があります。ご了承ください。

TryHackMeのPassive Reconnaissanceルームについてです。Reconnaissanceは偵察という意味らしい。

Task 1 Introduction
本文は割愛します。これからやるルームの内容の説明です。
whois、nslookup、dig、nmap などのコマンドラインや DNSDumpster、Shodan.io について扱うようです。Question は押下するだけ。

Task 2 Passive Versus Active Recon
Reconnaissance (recon) は The Unified Kill Chain と呼ばれる、サイバー攻撃の第一段階に位置している、情報収集のための第一歩のことです。Kill Chainというのは軍事用語で、攻撃を段階に分けて理解するための考え方のことらしい。この情報収集には大きく分けて以下の二つです。

1. 受動的偵察

2. 能動的偵察

受動的偵察は、公開されている情報を調べることで、能動的偵察は対象に接触する情報収集です。能動的偵察は直接対象にアクセスするため、その侵襲性から法的リスクが大きいです。

Questions
1.You visit the Facebook page of the target company, hoping to get some of their employee names. What kind of reconnaissance activity is this? (A for active, P for passive)

A. フェイスブックに載っている従業者の名前はおそらく公開情報なので、公開情報を集めるほうと考えられます。

2.You ping the IP address of the company webserver to check if ICMP traffic is blocked. What kind of reconnaissance activity is this? (A for active, P for passive)

A. ウェブサーバーを調べるためにpingを送っているので、対象に接触して調べています。公開されている情報ではないとも考えられます。

3.You happen to meet the IT administrator of the target company at a party. You try to use social engineering to get more information about their systems and network infrastructure. What kind of reconnaissance activity is this? (A for active, P for passive)

A. 対象に接触して調べています。

Task 3 Whois
whoisは公開情報を調べるコマンドです。

whois tryhackme.com 

のようにドメインを入力すると、

user@TryHackMe$ whois tryhackme.com 

[Querying whois.verisign-grs.com] 
[Redirected to whois.namecheap.com] 
[Querying whois.namecheap.com] 
[whois.namecheap.com] 

Domain name: tryhackme.com 
Registry Domain ID: 2282723194_DOMAIN_COM-VRSN 
Registrar WHOIS Server: whois.namecheap.com 
Registrar URL: http://www.namecheap.com 
Updated Date: 2021-05-01T19:43:23.31Z 
Creation Date: 2018-07-05T19:46:15.00Z 
Registrar Registration Expiration Date: 2027-07-05T19:46:15.00Z 
Registrar: NAMECHEAP INC 
Registrar IANA ID: 1068 
Registrar Abuse Contact Email: abuse@namecheap.com 
Registrar Abuse Contact Phone: +1.6613102107 
Reseller: NAMECHEAP INC 
Domain Status: clientTransferProhibited https://icann.org/epp#clientTransferProhibited 

Registry Registrant ID: 
Registrant Name: Withheld for Privacy Purposes 
Registrant Organization: Privacy service provided by Withheld for Privacy ehf 
[...] URL of the ICANN WHOIS Data Problem Reporting System: http://wdprs.internic.net/ 
>>> Last update of WHOIS database: 2021-08-25T14:58:29.57Z <<< 

For more information on Whois status codes, please visit https://icann.org/eppご提示いただいたテキストに、読みやすくなるよう改行と空白を挿入しました。

• 登録業者

• 登録者の連絡先情報

• 作成、更新、有効期限

• ネームサーバー

などがわかります。メールアドレスも載っていますが、最近はフィッシングなどの脅威もあるのでプライバシー保護されていることもあります。

Questions
1.When was TryHackMe.com registered?

A. Creation Date をそのまま参考にします。

2.What is the registrar of TryHackMe.com?

A. Registerar whois serverを見ると、whois.namecheap.comが登録情報を保存していることがわかります。レジストラはnamecheap.comです。

3.Which company is TryHackMe.com using for name servers?

A. AttackBoxにログインするなどして、ターミナル上でwhoisコマンドを走らせると、以下のような情報を確認できます。

Name Server: KIP.NS.CLOUDFLARE.COM
Name Server: UMA.NS.CLOUDFLARE.COM

Task4 nslookup and dig
Name Server Look Up (nslookup) や Dig は、ドメインネームからIPアドレスを調べるコマンドです。

nslookup -type=A tryhackme.com 1.1.1.1

-type=AでIPv4を指定しています。IPv6を指定するにはAAAAを取ります。
その他にも-type=以降を変更することで以下を問い合わせることができます。
-type=CNAME Canonical Name
-type=MX Mail Servers
-type=SOA Start of Authority
-type=TXT TXT Records
1.1.1.1で問い合わせを行うクエリサーバーを選んでいます。
Cloudflare → 1.1.1.1、1.0.0.1
Google → 8.8.8.8、8.8.4.4
Quad9 → 9.9.9.9、149.112.112.112
で問い合わせることができます。その他にもローカルサーバーを選ぶこともできます。digの場合は以下のように記述します。digはnslookupより遅いですが、Time To Liveなどのより多い情報を返します。

dig @1.1.1.1 tryhackme.com MX

Questions
1.Check the TXT records of thmlabs.com. What is the flag there?

A. Attackboxなどで以下のどちらかを実行してTXTを取得します。

dig thmlabs.com TXT

nslookup -type=TXT thmlabs.com

Task 5 DNSDumpster
サブドメインには攻撃の足掛かりとなる情報が含まれている可能性がありますが、nslookupのようなツールではサブドメインまでは調べられません。サブドメインは複数のブラウザを駆使して条件サーチを使って調べることもできますが、目標とするサブドメインの発見には手間と時間がかかります。あるいは、fuzzなどのツールを使ってブルートフォース攻撃を行って調べることもできます。しかし、もっと簡単に、DNSdumpsterというオンラインサービスを使うことで探すことができます。DNSdumpsterのテキストボックスにtryhackme.comのような目的のドメイン名を入れるだけで、Dumpsterは視覚的にドメインのDNSサーバ一覧、ドメイン名 から IPアドレスへの変換、おおよその地理的位置、MXレコード（メールサーバ）つまり 各メールサーバのIP、所有者、場所の情報、TXTレコードを閲覧可能です。

Questions
1.Lookup tryhackme.com on DNSDumpster. What is one interesting subdomain that you would discover in addition to www and blog?

A. DNSdumpsterにtryhackme.comと入力すると、A Records (subdomains from dataset) の中に表示されるHost、remote.tryhackme.com のサブドメインです。

Task 6 Shodan.io
Shodan.ioは、googleがネットワーク上のwebページを探すように、インターネット上に存在するデバイスを検索します。これは攻撃者にとっては対象のネットワークの検索に役立ち、防御者にとっては自らのネットワークの把握に役立ちます。たとえば、shodanのテキストボックスへtryhackme.comと入力すると、tryhackme.comの情報が出てきます。あるいはDNS lookupで得られたIPアドレスなどを調査することもできます。shodan.ioでは以下の情報を知ることができます。

• IP address

• hosting company

• geographic location

• server type and version
  

Questions
1.According to Shodan.io, what is the first country in the world in terms of the number of publicly accessible Apache servers?

A. Apacheと検索して画面左側のTOP COUNTRIESに注目します。

2.Based on Shodan.io, what is the 3rd most common port used for Apache?

A. Apacheと検索して画面左側のTOP COUNTRIESの下にスクロールします。TOP PORTSがあるので、三番目を探します。

3.Based on Shodan.io, what is the most common port used for nginx?

A. nginxと検索して、TOP PORTSから一番目を抜き出します。

Task 7 Summary
whois、nslookup、dig、DNSDumpster、Shodan.ioの使い方が分かりました。このルームでの要点、特にコマンドラインのシンタックスなどを覚えておくとよいでしょう、とのことです。お疲れ様でした。Questionは押下するだけです。