Apolos
Máquina "Apolos" de DockerLabs
Autor: Luisillo_o
Dificultad: Medio
RECONOCIMIENTO
Comenzamos haciendo un escaneo de nmap:
Solo está abierto el puerto 80 y corre apache httpd.
Puerto 80:
Parece ser una página en la que podemos comprar.
Ahora un fuzzing con gobuster:
Podemos registrarnos, por lo que simplemente nos creamos una cuenta y listo. Una vez registrados veremos esto:
Si tocamos el boton de comprar ahora veremos una página en la que podemos comprar, pero lo que nos interesa es lo de buscar productos: 
este nos interesa porque funciona bien, pero si probamos en poner una inyección sql como or 1=1-- -, veremos que nos muestra los productos:
Esto porque se ve que realiza una petición a la base de datos de manera insegura y 1 siempre es igual a 1, por lo que nos muestra los productos. Ahora que sabemos esto podemos usar sqlmap, para intentar leer la base de datos.
sqlmap:
Para usar sqlmap utilizaremos la request, por lo que abriremos el burpsuite, y capturaremos la petición al buscar un producto:
La copiamos y la metemos en un archivo llamado request. Una vez hecho eso ejecutaremos sqlmap de la siguiente manera:
Ahora usaremos john para crackear la contraseña de admin. Para esto nos la copiamos y lo metemos en un archivo llamado hash, luego de eso ejecutaremos john:
Ahora tenemos la contraseña de admin: 0844575632
INTRUSION
Ahora que tenemos el usuario y contraseña del usuario admin, iniciamos sesión y vamos a donde dice "Sección de Administración", entramos y tendremos un panel en el que podemos subir archivos al ir a "configuracion":
Ahora subiremos un ".php" con el siguiente contenido:
El problema es que al intentar subir un ".php" nos dice que no se pueden subir, por lo que buscaremos como bypasearlo para que lo suba igual. HackTricks:
Como vemos hay muchas formas, en mi caso me funcionó ".phtml", ahora vamos a /uploads/ y ya veremos el archivo. Ahora solo nos queda escuchar con netcat en el puerto 443 y enviar esto desde el navegador:
ESCALADA DE PRIVILEGIOS
www-data
Antes de continuar haremos el tratamiento de la tty:
Luego de buscar un rato, la única manera de escalar es usando el script su-bruteforce con el mismo diccionario:
esto demora unos 6 minutos pero finalmente encuentra la contraseña "19831983".
Luisillo_o
Si ejecutamos id veremos que pertenecemos al grupo "shadow":
por lo que si buscamos, hay una forma de escalar:
https://www.mohammedalani.com/tutorials/cracking-a-shadow-password-using-john-the-ripper/
Una vez hecho todo tal cual como sale en la página, habremos escalado a root con la contraseña "rainbow2":
Gracias por leer.
Última actualización