İçeriğe atla
0 XP 0
Saha · senaryo

Beş Dakikada Bir

Altay Kargo'nun yedekleme sunucusu yedek01 normalden fazla giden istek üretiyor. Yeniden başlatılsa da birkaç saat içinde aynı davranış geri geliyor.

Bu genelde tek bir şey anlamına gelir: kalıcılık. Saldırgan sistemin kendisini değil, zamanlanmış görevlerini ele geçirmiş.

İki katman var: sistem geneli /etc/crontab ve root kullanıcısının kişisel crontab'ı. İkisini de bulmadan iş bitmez.

İlk flag sistem crontab'ındaki girişi temizlediğinde çıkar, ikincisi kişisel crontab'ı da boşalttığında.

Görevler

0/7 tamamlandı
  1. Hangi kullanıcı olduğunu ve makineyi doğrula
  2. /etc/crontab içindeki şüpheli girişi bul
  3. root kullanıcısının kişisel crontab'ını incele
  4. Zamanlanmış betiğin çalıştırdığı komutu oku
  5. Sistem crontab'ındaki girişi kaldır flag hedefi
  6. Kalıcılık betiğini diskten sil
  7. Kişisel crontab'ı temizle ve doğrula flag hedefi
soc@yedek01:~simülasyon
AltaySec eğitim terminali. Bu bir simülasyondur, gerçek makineye bağlı değilsin.
Hedef: yedek01.altaykargo.example (192.0.2.15) üzerindeki cron tabanlı kalıcılık, Yalnız tespit ve kalıcılık temizliği yap. Sistemi yeniden kurma veya başka kullanıcı hesaplarına dokunma yok, Kurgu ortam. Bu sunucu ve olay gerçek değildir
Kullanabileceğin araçlar: id, cat, crontab, sed, rm
Komutları bilmiyorsan 'yardim' yaz. Hedefleri yukarıdaki listeden takip et.
soc@yedek01:~$

Bu bir simülasyondur. Komutlar gerçek bir sisteme gitmez. Öğrendiğin yöntemi izinsiz bir hedefte denemek suçtur. Yasal ortam için menzil var.