# szi-logs-10-3

## Идея
Собрал таймлайн по `landing_access.log`, `landing_api.log`, `gitea.log`, `gitea_elk.csv`, `hr_elk.csv`: сначала разведка и доступы на landing, затем RCE в Gitea, затем повышение привилегий/пост-эксплуатация на HR и зачистка.

## Решение

1. **VPN-файл для входа во внутреннюю сеть**
	В `landing_access.log` есть перебор `.ovpn`; единственный успешный ответ: `GET /info.ovpn ... 200` (line 59409).
	Ответ: `info.ovpn`.

2. **Логин:пароль для VPN**
	В `landing_api.log` API-ответ возвращает строку: `Тестовые доступы: support:Minecraft_is_Th3_best` (line 10).
	Ответ: `support:Minecraft_is_Th3_best`.

3. **Landing: RCE/PrivEsc**
	По логам landing видны веб-запросы/перебор (в т.ч. `/message`, `.ovpn`), но не видно цепочки командной пост-эксплуатации как на других хостах.
	Ответ: `no_no`.

4. **Gitea: RCE/PrivEsc**
	В `gitea_elk.csv` есть явная интерактивная командная активность от пользователя `git`: `bash -i` (line 468), запуск `sh LinEnum.sh` (line 498) - то есть RCE есть.
	При этом до устойчивого привилегированного захвата на этом же узле не дошли.
	Ответ: `yes_no`.

5. **Украденный файл с реквизитами для HR**
	В `gitea.log` фиксируется коммит `remove hr_creds.txt` (line 510) и последующий revert от `it-admin2` (line 16472), что указывает на файл с кредами HR.
	Ответ: `it-admin2_hr_creds.txt`.

6. **Файл для повышения привилегий на HR**
	В `hr_elk.csv` есть прямые действия с `/etc/passwd`: `nano /etc/passwd` (line 661), `sed -i s/root:x:/root::/ /etc/passwd` (line 4927).
	Ответ: `/etc/passwd`.

7. **Очищенные файлы с логами на HR**
	В `hr_elk.csv` видны команды `rm -f /var/log/auth.log` (line 28619) и `rm -f /var/log/syslog` (line 29266), затем их пересоздание (`touch`).
	Ответ: `/var/log/auth.log_/var/log/syslog`.

8. **ПО, загруженное на HR после PrivEsc**
	В `hr_elk.csv` после получения root выполняется `chmod +x cobalt_agent.exe` (line 34192), что указывает на Cobalt Strike агент.
	Ответ: `cobaltstrike`.

## Финальные ответы

1. `info.ovpn`
2. `support:Minecraft_is_Th3_best`
3. `no_no`
4. `yes_no`
5. `it-admin2_hr_creds.txt`
6. `/etc/passwd`
7. `/var/log/auth.log_/var/log/syslog`
8. `cobaltstrike`
