Linux Services & Internals Enumeration

Maintenant que nous avons exploré l’environnement, pris la mesure du système et récupéré autant d’informations que possible sur les permissions des utilisateurs et des groupes en lien avec les fichiers, scripts, binaires, répertoires, etc., nous allons aller plus loin et examiner en profondeur les internes du système d’exploitation hôte. Dans cette phase, nous allons énumérer les éléments suivants :

• Quels services et applications sont installés ?

• Quels services sont en cours d’exécution ?

• Quelles sockets sont utilisées ?

• Quels utilisateurs, administrateurs et groupes existent sur le système ?

• Qui est actuellement connecté ? Quels utilisateurs se sont récemment connectés ?

• Quelles politiques de mot de passe, le cas échéant, sont appliquées sur l’hôte ?

• L’hôte est-il joint à un domaine Active Directory ?

• Quel type d’informations intéressantes pouvons‑nous trouver dans les fichiers d’historique, de logs et de sauvegarde ?

• Quels fichiers ont été modifiés récemment et à quelle fréquence ? Y a‑t‑il des motifs indiquant un job cron que nous pourrions détourner ?

• Informations IP courantes

• Y a‑t‑il quelque chose d’intéressant dans le fichier /etc/hosts ?

• Existe‑t‑il des connexions réseau intéressantes vers d’autres systèmes du réseau interne ou même à l’extérieur ?

• Quels outils sont installés sur le système que nous pourrions exploiter (netcat, perl, python, ruby, nmap, tcpdump, gcc, etc.) ?

• Pouvons‑nous accéder au fichier bash_history d’un utilisateur et y découvrir des mots de passe ou autres informations sensibles ?

• Des Cron jobs sont‑ils configurés sur le système et peuvent‑ils être détournés ?

À présent, nous souhaitons aussi collecter un maximum d’informations réseau. Quelle est notre adresse IP actuelle ? Le système a‑t‑il d’autres interfaces et, par conséquent, pourrait‑il servir de pivot vers un autre sous‑réseau qui était auparavant inaccessible depuis notre poste d’attaque ? Nous obtenons ces informations avec ip a ou ifconfig (ce dernier peut manquer si le paquet net‑tools n’est pas présent).

---

🌐 Internes — Définition

Quand nous parlons des internes, nous faisons référence à la configuration interne et à la façon de fonctionner du système, y compris les processus intégrés conçus pour accomplir des tâches spécifiques. Nous commençons donc par les interfaces par lesquelles notre système cible peut communiquer.

⚙️ Interfaces réseau — Commandes utiles

ip a
ifconfig    # si net-tools est installé
ip route
netstat -tulpen  # si net-tools est disponible

Conseil pédagogique : exécuter ip a permet de repérer rapidement les interfaces actives, adresses IPv4/IPv6 et potentiels alias. Cela sert aussi à identifier des interfaces susceptibles d’être utilisées pour pivoter.

---

🌐 Vérifier le fichier /etc/hosts

Le fichier /etc/hosts peut contenir des entrées statiques indiquant des noms d’hôtes internes ou des résolutions qui n’apparaissent pas immédiatement via DNS. Il est utile de l’examiner pour découvrir des services internes ou des noms de domaines locaux.

⚙️ Commande :

cat /etc/hosts

---

🌐 Dernières connexions des utilisateurs

Consulter lastlog aide à comprendre quand les comptes ont été utilisés pour la dernière fois — ceci donne une idée de la fréquence d’utilisation de la machine et peut indiquer des comptes dormants ou non surveillés.

⚙️ Commande :

lastlog

---

🌐 Utilisateurs actuellement connectés

Pour savoir qui est connecté en ce moment et ce qu’ils font, les commandes w, who et éventuellement finger (si disponible) sont très pratiques.

⚙️ Commandes :

w
who
finger <utilisateur>  # si installé

---

🌐 Historique des commandes (bash_history)

L’historique d’un utilisateur peut contenir des mots de passe passés en argument, des chaînes de connexion SSH, des chemins de scripts, ou des commandes d’administration utiles. Chercher les fichiers d’historique personnalisés peut révéler des traces supplémentaires.

⚙️ Commandes :

history            # historique courant
cat ~/.bash_history
find / -type f \( -name '*_hist' -o -name '*_history' \) -exec ls -l {} \; 2>/dev/null

Ne jamais modifier l’historique si l’objectif est une analyse non destructive — limitez‑vous à la lecture.

---

🌐 Fichiers d’historique spéciaux

Certains programmes ou scripts conservent leurs propres historiques. Une recherche globale des fichiers contenant « _hist » ou « _history » peut les révéler.

⚙️ Commande :

find / -type f \( -name '*_hist' -o -name '*_history' \) -exec ls -l {} \; 2>/dev/null

---

🌐 Cron jobs et planificateurs

Les tâches cron (ou systemd timers) sont des cibles fréquentes pour l’escalade de privilèges : si un script exécuté par cron a des permissions faibles ou utilise des chemins relatifs, il peut être détourné.

⚙️ Commandes :

ls -la /etc/cron.daily/
crontab -l  # pour l’utilisateur courant (ou sudo crontab -l -u <user>)
systemctl list-timers --all

---

🌐 Le système de fichiers /proc (procfs)

Le système proc fournit une vue dynamique de l’état des processus et des paramètres du noyau : file descriptors, lignes de commande utilisées pour lancer des processus, sockets ouvertes, etc. Il est utile pour repérer des processus intéressants exécutés par des utilisateurs privilégiés.

⚙️ Commandes :

find /proc -name cmdline -exec cat {} \; 2>/dev/null | tr " " "\n"
cat /proc/<pid>/cmdline
ls -l /proc/<pid>/fd

---

🌐 Services installés et packages

Lister les packages installés nous aide à rechercher des versions vulnérables ou des composants susceptibles d’exposer des vecteurs d’attaque.

⚙️ Commandes (exemples pour Debian/Ubuntu et RPM) :

apt list --installed | tr "/" " " | cut -d" " -f1,3 | sed 's/[0-9]://g' | tee -a installed_pkgs.list
dpkg -l
rpm -qa

---

🌐 Version de sudo

Vérifier la version de sudo peut indiquer la présence de vulnérabilités connues pouvant être exploitées pour l’escalade de privilèges.

⚙️ Commande :

sudo -V

---

🌐 Binaires présents

Même si aucun package vulnérable n’est installé, des binaires compilés directement peuvent exister et être exploitables. Lister les binaires courants et leurs permissions est une étape importante.

⚙️ Commandes :

ls -l /bin /usr/bin /usr/sbin/
find / -type f -perm -4000 -exec ls -ld {} \; 2>/dev/null  # suid binaries

---

🌐 GTFObins — Binaries intéressants

GTFObins recense des binaires exploitables pour l’escalade de privilèges. Comparer les binaires installés au catalogue GTFObins permet de dresser une liste de candidats à investiguer.

⚙️ Commande (exemple) :

for i in $(curl -s https://gtfobins.github.io/ | html2text | cut -d" " -f1 | sed '/^[[:space:]]*$/d'); do if grep -q "$i" installed_pkgs.list; then echo "Check GTFO for: $i"; fi; done

---

🌐 Traçage des appels système (strace)

strace permet d’observer les appels système effectués par un binaire — utile pour comprendre les fichiers consultés, les connexions réseau initiées ou les bibliothèques chargées.

⚙️ Exemple de commande :

strace ping -c1 <ip_cible>

---

🌐 Fichiers de configuration et scripts

Les fichiers de configuration (*.conf, *.config) et les scripts (*.sh) peuvent contenir des secrets, des chemins vers des clés, ou indiquer des opérations automatisées. Même s’ils sont lisibles par tous, ils peuvent divulguer des informations critiques.

⚙️ Commandes :

find / -type f \( -name "*.conf" -o -name "*.config" \) -exec ls -l {} \; 2>/dev/null
find / -type f -name "*.sh" 2>/dev/null | grep -v "src\|snap\|share"

---

🌐 Processus en cours par utilisateur

Lister les processus et l’utilisateur qui les exécute permet d’identifier des services tournant avec des privilèges élevés ou des scripts lancés avec des permissions faibles.

⚙️ Commandes :

ps aux | grep root
ps -eo pid,user,cmd --sort=-%mem | head

---

🌐 Connexions réseau actives

Identifier les sockets ouvertes et les connexions réseau actives donne une vue sur les communications établies et sur d’éventuelles relations avec d’autres machines du réseau.

⚙️ Commandes :

ss -tunap
netstat -tunap  # si net-tools est présent
lsof -i

---

🌐 Résumé et prochaines étapes

Ce panorama fournit une base solide pour orienter des investigations plus pointues : recherche de binaires SUID, analyse des scripts exécutés par cron, examen des historiques d’utilisateurs, et vérification des versions logicielles vulnérables. À partir de ces éléments, on déterminera des vecteurs d’élévation de privilèges ou des possibilités de pivot.

---

📚 Ressources utiles

• GTFObins

---

SSH to 10.129.63.18 (ACADEMY-LLPE-SUDO) with user "htb-student" and password "HTB_@cademy_stdnt!"

What is the latest Python version that is installed on the target?

Nous utilisons la commande suivantes afin de relever la dernière version de Python installée sur notre cible :

$ apt list --installed | tr "/" " " | cut -d" " -f1,3 | sed 's/[0-9]://g' | tee -a installed_pkgs.list

[...]

python3.11-minimal 3.11.3-1+focal1
python3.11 3.11.3-1+focal1
python3.8-minimal 3.8.10-0ubuntu1~20.04.7
python3.8 3.8.10-0ubuntu1~20.04.7
python3 3.8.2-0ubuntu2

[...}

Nous pouvons alors observer que la dernière version de python installée sur le système est python 3.11.

---