HTB/Boot2Root 攻略の​全体​像 - 6つの​攻撃フェーズと​各フェーズの​勘所

シリーズ: HTB Enumeration シリーズ - Initial Foothold への道

TL;DR

HTB/Boot2Rootマシンの攻略は、大きく 6つのフェーズ に分かれます。

各フェーズは独立したものではなく、行き来しながら進めるものです。Initial Footholdが取れなければEnumerationに戻り、Privilege Escalationのヒントが見つからなければPost-Exploitationで追加調査します。この「戻る判断」ができるかどうかが、攻略の速度を左右します。

全体のワークフロー図

はじめに

HTBやVulnHubのマシンに挑戦し始めたとき、「何から手を付ければいいのか」「今自分はどのフェーズにいるのか」がわからなくなることはないでしょうか。

WriteUpを読むと一直線に攻略しているように見えますが、実際には 何度もフェーズを行き来しながら 進めています。全体像を把握しておくと、「次に何をすべきか」の判断が格段に早くなります。

既存のフレームワークとの関係

攻撃フェーズを体系化したフレームワークは、業界にすでにいくつか存在します。

• Cyber Kill Chain（Lockheed Martin） — ReconからC2、目的実行までの7段階です。元々は国家レベルの脅威分析向けで、防御側がどこで攻撃を断ち切るかを考えるためのモデルです
• PTES（Penetration Testing Execution Standard） — 実務のペネトレーションテスト手順を標準化したフレームワークです。事前調査、脅威モデリング、報告書作成まで含む包括的な規格です
• MITRE ATT&CK — 実際の攻撃で観測されたTTP（Tactics, Techniques, Procedures）のナレッジベースです。「どの手法が現実に使われているか」を網羅的に分類しています

業務でペネトレーションテストを行う場合、これらのフレームワークに沿った手順と報告が求められることが多いです。

本記事では、これらを踏まえつつも HTB/Boot2Root攻略に特化した6つのフェーズ として簡略化して整理します。実務のフレームワークほど厳密ではありませんが、「マシンを1台攻略する」という目的に対しては、このくらいの粒度が実用的です。

フェーズ1: Enumeration（情報収集）

このフェーズで何をするのか

ターゲットマシンの Attack Surfaceを特定 するフェーズです。開いているポート、動いているサービス、そのバージョン、Webアプリケーションの構造など、攻略に必要なあらゆる情報を集めます。

なぜ最も重要なのか

「Enumeration is key」とよく言われますが、これは単なる格言ではなく事実です。Initial Footholdが取れない原因の大半は、Enumerationの不足です。 攻撃手法が思いつかないのではなく、情報を取りこぼしているのです。見落としたポート、確認しなかったサブドメイン、読み飛ばしたHTMLコメントに答えが隠れていることが非常に多いです。

キーポイント

• 広く、そして深く。 まず全ポートスキャン（TCP/UDP）でAttack Surfaceの全体像を掴み、次にサービスごとに深掘りします。いきなり深掘りに入ると視野が狭くなります
• 「何もない」は情報。 探索して何も見つからなかったこと自体が、次のアクションを決めるヒントになります。記録に残して次に進みましょう
• 結果はすべて保存する。 後のフェーズで「あのとき見つけた文字列」が急に意味を持つことがあります。再スキャンは時間の無駄です
• メモを取り続ける。 発見した情報をCherryTreeやObsidianで整理する習慣が、マシン攻略の効率を大きく変えます

代表的なツール

各ツールの詳細なコマンドは、nmap記事やGobuster vs ffuf記事で解説しています。

フェーズ2: Initial Foothold（初期アクセス）

このフェーズで何をするのか

Enumerationで集めた情報をもとに、ターゲットマシンへの 最初のシェルを取得 するフェーズです。脆弱性を突いたExploitの実行、認証の突破、Webアプリケーション経由のコード実行など、方法は多岐にわたります。

キーポイント

• バージョン情報はExploitへの最短ルート。 Enumerationで特定したサービスバージョンをsearchsploitやExploit-DBで検索するのが最初の一手です。CVE番号が見つかればPoCがGitHubに転がっていることも多いです
• 「シェルが取れる」と「コード実行ができる」は別。 RCE（Remote Code Execution）の脆弱性を見つけても、そこからインタラクティブなシェルに繋げるのは別のスキルです。リバースシェルのペイロードはrevshells.comで言語・シェル種別に応じて生成できます
• 取得したシェルは必ずアップグレードする。 素のリバースシェルはタブ補完もCtrl+Cも効きません。python3 -c 'import pty;pty.spawn("/bin/bash")' → Ctrl+Z → stty raw -echo; fg → export TERM=xterm の手順でフルTTYにしましょう。これを怠ると後のフェーズで苦労します

• 「刺さらない」なら戻る。 Exploitが動かないときに無理にデバッグし続けるより、Enumerationに戻って別のAttack Surfaceを探す方が早いことが多いです

よくあるInitial Footholdパターン

代表的なツール

フェーズ3: Post-Exploitation（侵入後の情報収集）

このフェーズで何をするのか

シェルを取得した後、マシン内部の情報を収集するフェーズです。Privilege Escalationに繋がるヒントを探すのが主な目的ですが、他のユーザーのクレデンシャルや、内部ネットワークの情報が見つかることもあります。

キーポイント

• 自動ツールと手動チェックの両方が必要。 LinPEAS/WinPEASは網羅的ですが、出力が膨大で本当に重要な情報を見落とすこともあります。sudo -l、id、ss -tlnp のような基本コマンドを手動で叩く習慣を持つと、自動ツールの結果を読む力もつきます
• 「誰として」「何ができるか」を最初に確認。 id / whoami /all で自分の権限とグループを確認するのが最優先です。所属グループによっては、それだけで権限昇格のパスが見つかります
• ネットワーク情報は金脈。 ss -tlnp や netstat -ano で内部でのみリッスンしているサービスが見つかれば、Lateral Movementの足がかりになります。/etc/hosts や arp -a も忘れずに確認しましょう
• ファイル転送の手段を確保する。 ツールやExploitをターゲットに送り込む必要があります。攻撃者マシンで python3 -m http.server を立てて、ターゲットから curl / wget / certutil で取得するのが基本パターンです

何を探すのか（Linux）

何を探すのか（Windows）

代表的なツール

フェーズ4: Lateral Movement（横展開）

このフェーズで何をするのか

攻略済みのホストを足がかりに、ネットワーク内の別のホストやユーザーへアクセスを広げるフェーズです。HTBのStandalone Machineでは明確に発生しないこともありますが、Pro LabsやAD環境のマシン、Boot2Rootシナリオでは頻出します。

Standalone Machineでも、あるユーザーから別のユーザーに「横に移動」するケースは珍しくありません。user.txtを取得した後、別のユーザーのクレデンシャルを見つけて乗り換え、そこからrootへの権限昇格パスを探すのが典型的なHTBの攻略パターンです。

キーポイント

• Post-Exploitationで見つけた情報が鍵。 設定ファイル内のパスワード、SSHキー、データベース内のハッシュ、ブラウザの保存パスワードなど、これらを使って別のユーザーやホストにアクセスします
• 内部でのみリッスンしているサービスに注目。 ss -tlnp で見つけた内部サービスに、トンネリングを使って攻撃者マシンからアクセスするのが典型的なパターンです
• パスワードの再利用を常に疑う。 あるサービスで見つけたクレデンシャルが、SSH、SMB、RDP、データベースなど別のサービスでも通ることは非常に多いです。見つけたパスワードは必ず横展開を試しましょう
• ハッシュはそのまま使える。 パスワードハッシュをクラックしなくても、Pass-the-HashでSMBやWinRMに認証できます。NTLMハッシュを見つけたらまず直接使うことを考えましょう
• 横展開した先では、再びPost-Exploitationから始める。 新しいユーザーやホストに入ったら、そこでの権限・環境・情報を改めて収集します。フェーズ3→4→5のサイクルを回す意識が重要です

Lateral Movementの主なパターン

代表的なツール

Lateral Movementで使うツールは、大きく2種類に分かれます。ピボッティングツールは内部ネットワークへの通信経路を確保するもの、横展開ツールは奪取したクレデンシャルを使って別のホストやユーザーにアクセスするものです。

フェーズ5: Privilege Escalation（権限昇格）

このフェーズで何をするのか

一般ユーザーから root（Linux）またはSYSTEM/Administrator（Windows） への権限昇格を行うフェーズです。Post-ExploitationやLateral Movementを経て集めた情報をもとに、設定ミスや脆弱性を突きます。

キーポイント

• これまでのフェーズの結果がすべて。 権限昇格の手法自体は限られています。問題は「どのパスが使えるか」を見抜くことで、その答えはPost-ExploitationとLateral Movementで集めた情報の中にあります
• Linux: sudo -l → SUID → Cron → カーネル の順に確認。 上から順に試して、該当するものがあればGTFOBinsで悪用方法を調べましょう。カーネルExploitは環境を壊すリスクがあるため最後の手段にしてください
• Windows: トークン権限が最重要。 whoami /priv で SeImpersonatePrivilege が有効なら、Potato系ツール（JuicyPotato, PrintSpoofer, GodPotato）で即SYSTEMです。サービスアカウントでシェルを取った場合はまずこれを確認しましょう
• 見つからなければPost-Exploitationに戻る。 「権限昇格できない」のではなく、「まだ情報が足りない」だけのことが多いです

主な権限昇格パス（Linux）

主な権限昇格パス（Windows）

主要リソース

フェーズ6: Proof（フラグ回収）

このフェーズで何をするのか

root/SYSTEM権限を取得したら、フラグを回収して攻略完了です。HTBでは user.txt と root.txt を提出します。

1
# Linux
2
cat /home/<user>/user.txt
3
cat /root/root.txt
4

5
# Windows
6
type C:\Users\<user>\Desktop\user.txt
7
type C:\Users\Administrator\Desktop\root.txt

キーポイント

• フラグの場所はほぼ固定。 HTBではユーザーのホームディレクトリ直下とrootのホームディレクトリ直下です。VulnHubでは /root/proof.txt のようなバリエーションもあります
• 攻略後の振り返りを習慣にする。 「なぜこの脆弱性があったのか」「どのEnumerationが決め手だったか」を振り返ることで、次のマシンでの判断力が上がります

おわりに

HTB/Boot2Rootの攻略は、一見すると複雑に見えますが、フェーズに分けて考えると 「今何をすべきか」 が明確になります。

ツールの使い方はやっていれば覚えます。それよりも大事なのは、今自分がどのフェーズにいて、何を目的に動いているのかを常に意識することです。目的が曖昧なままツールを回しても、出力の山に埋もれるだけで前には進めません。

最後に、一番大事なことを。

行き詰まったらEnumerationに戻る。 これだけは忘れないでください。

Happy Hacking!