Vulnerame
Máquina "vulnerame" de DockerLabs
Autor: firstatack
Dificultad: Dificil
RECONOCIMIENTO
Comenzamos haciendo un escaneo de nmap:
Como vemos, los puertos abiertos son:
22: OpenSSH
80: Apache httpd
3306: mysql
Luego de ir a la web vemos la página predeterminada de apache, por lo que podriamos usar gobuster para ver si encontramos algo:
el directorio /javascript/ está en 403 forbidden por lo que lo dejamos, pero el directorio /wordpress/ si tiene cosas interesantes:
al parecer dice que es un joomla en un directorio llamado wordpress, por lo que podemos acudir a usar la herramienta joomscan de la siguiente manera:
si revisamos el robots.txt no hay nada interesante pero vemos que la versión es la 4.0.3 por lo que podemos buscar si hay algún exploit.
Yo encontré este: exploit
Para poder usar el exploit hay que ejecutar lo siguiente:
Aunque realmente no es necesario usar el exploit ya que esto ya nos revela un usuario y contraseña:
Ahora si intentamos meter las credenciales que conseguimos en el panel de /administrator/, veremos que no nos deja entrar ya que son incorrectas, pero si recordamos el escaneo, hay una base de datos mysql a la cual nos podemos conectar. Sabiendo esto y teniendo unas credenciales, podemos probar conectarnos de esta manera:
y cuando nos pida una contraseña ponemos "vuln"
Ahora vamos a intentar leer la base de datos, para esto ejecutamos lo siguiente:
Esto nos mostrará las bases de datos:
ahora ejecutamos use joomla_db; para seleccionar la base de datos del joomla.
Luego ejecutamos show tables; para mostrar las tablas de las bases de datos:
ahora leeremos la tabla ffsnq_users, para hacerlo ejecutamos:
Ahora tenemos un usuario y una contraseña hasheada:
Para poder obtener la contraseña en texto plano (crackearla) usaremos john, para hacerlo meteremos el hash en un archivo, y luego ejecutaremos lo siguiente:
Ahora si tenemos un usuario y contraseña para el joomla:
INTRUSION
Estando en el joomla, iremos a system > Templates > Site Templates > Cassiopeia Details and Files. Ahora editamos el "index.php" y agregamos la siguiente línea luego de los comentarios:
Ahora vamos a /wordpress/ y en la url ponemos lo siguiente:
deberia quedar asi:
Ahora escuchamos con el netcat en el puerto que elegímos, lo mandamos desde el navegador y ya estamos dentro.
ESCALADA DE PRIVILEGIOS
Antes de hacer algo haremos el tratamiento de la tty, para hacerlo ejecutamos estos comandos:
www-data
Ahora si vamos a la carpeta /home veremos que podemos leer la carpeta de el usuario "guadalupe". Si nos fijamos hay una carpeta llamada "-", la cual tiene una contraseña en base64:
la cual si la pasamos a texto tenemos la contraseña "sheena". Escalamos con su guadalupe y poniendo la contraseña.
Guadalupe
Si ejecutamos un sudo -l veremos que podemos ejecutar un script en /usr/bin/scr1pt como el usuario "ignacio", el cual no podemos leer pero si lo ejecutamos dice esto:
Ahora creamos un script llamado "ls" en /snap/bin/ con el siguiente contenido:
luego le damos permisos con chmod +x /snap/bin/ls y ya solo nos queda ejecutarlo para escalar a "ignacio".
Ignacio
Si ejecutamos un sudo -l veremos esto:
si buscamos en GTFOBins podemos ver que se puede escalar con esto:
pero nosotros editaremos el archivo "saludos.rb" y en el final agregaremos esto:
luego lo guardamos y al ejecutarlo con sudo ya habremos ganado acceso root.
Gracias por leer.
Última actualización