今年の抱負の一つとして、Cyber Security のスキルを高めることを目標に掲げている。最終的には関連のお仕事を副業で出来ればいいなぁなんて思っているのだけど、まだまだそのレベルにないので、目下のところはスキルを高めていくことで認知を上げていきたいと思っている。
その一環として、ここ最近は Hack The Box（以下 HTB）を頑張っていたのだけど、無事に今月の目標に置いていた Hacker ランクに到達したので、その記録を残しておく。
なお、HTB のランクは以下の通り規定されている。
- Noob
- Script Kiddie
- Hacker
- Pro Hacker
- Elite Hacker
- Guru
- Omniscient
Hacker ランクは下から三番目ではあるが、下 2 つは AtCoder の灰色と同義で Hacker ランクからが色付きのイメージ。Hacker というと聞こえはいいが、要はペーペーである。
前提
- 昨年より、HTB Academy で学習を続けていた
- 2024 年 1 月末に、HTB Academy の Bug Bounty Hunter の Path を完走した
- 2024 年 2 月頭に、HTB で machine の攻略を開始した
攻略前にやったこと
とりあえず最初から Active machine を攻略していくのはやや無謀かなと思ったので、課金して Retired machine をいくつか攻略することにした。振り返ってみると、以下の machine を攻略していた。
まずは通常の Adventure Mode で解いていき、詰まったら Guided Mode、さらにダメだったら Writeup という感じで進めていたので、攻略と言っていいのかは結構怪しい。Guided Mode はやることを順番に示唆してくれるので、初心者にはありがたい機能だった。昔はなかった気がする。
これくらい攻略したあたりで、Retired machine だとテンションが上がらなくなってきたこと、また、攻略するにあたってのパターンみたいなものも多少わかってきたこともあり、Active machine に挑戦して Hacker ランクを目指していくことにした。
Hacker ランクへの道
最終的には Easy の Active machine を全て攻略して Hacker ランクに到達した。あとひとつ、というところで Retired に落ちた machine があって余計に攻略するハメになってしまったが、Easy の Active machine を完走すれば Hacker ランクになれるようだ。
これも完全に自力でとは言えず、公式 Forum にはだいぶお世話になった。ネタバレになるような投稿は禁止されているので決定的なヒントを得られることはないが、足がかりとしてはかなり助かった。
攻略方法としては、基本的には Enumeration を回して、CVE を探して、exploit を拾ってきて、という感じのものが多い。CVE と exploit を拾ってくるのは、検索力が試される。普段から脆弱性関連の情報を拾っていれば、稼働しているサービスからピンとくるパターンもありそうなので、普段から CVE 情報にアンテナを貼っておくのは結構大事かもしれない。
次の目標
僕が解いた machine についての Writeup は別途時間をとって書いていこうと思うが（Active machine については Retired になってから）、まず次の目標である Pro Hacker ランクを目指していく。
ここから先は Medium machine の攻略になっていくので、また Retired machine から始めて行こうと思う。3 月中に Pro Hacker ランクに到達しようと思っているので、前半は Retired、後半は Active というプランでやっていく予定。
Happy Hacking! :)
