Mapache2
Maquina "mapache2" de DockerLabs
Autor: d1se0
Dificultad: Medio
RECONOCIMIENTO
Comenzamos haciendo un escaneo de nmap:
Como vemos, los puertos abiertos son:
22: OpenSSH
80: Apache httpd
3306: ????
Si nos fijamos el 3306 no parece estar corriendo mysql ni nada y mas encima dice esto:
"We have to change this, I told Medusa to protect this more."
Para confirmar si realmente dice eso podriamos conectarnos con netcat para ver si nos dice ese mensaje:
y como vemos en la salida, el mensaje es correcto, por lo que tenemos un posible usuario: "medusa"
Ahora que ya obtuvimos algo de información, podemos ir a el navegador y entrar en la ip para ver que hay:
Como vemos es una página que no tiene mucha importancia pero tiene un panel de login, por lo que luego de probar, intento usar cewl para obtener las palabras de la página y guardárnoslas para usarlas con hydra :
una vez hecho eso ejecutamos hydra usando el usuario "medusa" y el diccionario:
Como vemos ya tenemos la contraseña.
Una vez iniciada la sesión veremos otra página inutil, pero al ver el codigo fuente se ve este mensaje:
parece que hay otro usuario llamado "kinder"
Probamos con el diccionario de antes:
pero esto tampoco funciona, por lo que se me ocurre probar la contraseña "medusa" y gano acceso
Credenciales:
Kinder:medusa
(con la "k" en mayusculas)
INTRUSION
con contraseña "medusa".
ESCALADA DE PRIVILEGIOS
Si ejecutamos un sudo -l vemos lo siguiente:
podemos ver el servicio de apache2 en /etc/init.d/apache2 y ver si oculta algo. Ahora si hacemos un ls -la en ese archivo veremos esto:
como lo podemos modificar simplemente con nano lo modificamos y la primeras 2 líneas nos deben quedar así:
en resumen: Cambiamos "#!/bin/sh" por "#!/bin/bash" y agregamos un chmod debajo para darle permisos SUID a bash.
Ahora ejecutamos sudo service apache2 restart y listo, solo nos queda ejecutar bash -p y ya seremos root.
Gracias por leer.
Última actualización