Master
Máquina Master de DockerLabs
Autor: Pylon & El Pingüino de Mario
Dificultad: Medio
Reconocimiento
Comenzamos con un escaneo de nmap:
como podemos observar, solo se encuentra el puerto 80 abierto, el cual tiene un apache con un wordpress.
Puerto 80
Si revisamos el pie de la página, veremos lo siguiente:
como vemos, se trata de el plugin wp-automatic en su versión 3.92.0 y si buscamos podemos encontrar el siguiente PoC el cual al ejecutarlo de la siguiente manera nos crea un usuario llamado "eviladmin":
por lo que ya tenemos credenciales para logearnos.
Intrusión
Ya estando dentro del wordpress, nos vamos a la sección de "Añadir plugins" y buscamos el siguiente:
lo instalamos y lo activamos.
Cuando nos aparezca la sección del plugin, entramos y editamos el archivo "wp-mail.php" y pegamos lo siguiente:
lo guardamos y luego escuchamos con netcat por el puerto 443 (sudo nc -lvnp 443), luego, al entrar en "wp-mail.php" recibiremos la conexión con el usuario www-data.
Escalada De Privilegios
www-data
Si ejecutamos sudo -l veremos que podemos ejecutar php como el usuario pylon, por lo que para escalar simplemente debemos ejecutar esto:
Pylon
Nuevamente, al ejecutar sudo -l veo que puedo ejecutar con bash un script que se encuentra en la home de mario, el problema es que no puedo leerlo, pero si revisamos la home de pylon veremos que hay un script llamado igual que cumple casi la misma función. Lo que nos interesa de esto es que en el código del script se encuentra lo siguiente:
y si buscamos en internet, veremos que podemos obtener una bash si escribimos lo siguiente al ejecutar el script como mario:
por lo que lo ejecutamos de la siguiente manera y al introducir lo anterior escalaremos a mario:
Mario
Ahora al ejecutar sudo -l pasará lo mismo que antes solo que podremos ejecutar el script en la home de pylon como root, por lo que si introducimos lo mismo escalaremos a root.
Root
Gracias por leer ;)
Última actualización