> For the complete documentation index, see [llms.txt](https://shinki-organization.gitbook.io/dw/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://shinki-organization.gitbook.io/dw/write-ups/quickstart/maquinas-faciles/allien-write-up.md).
# Allien write-up
## **Verificamos conexión con la máquina víctima**
## **Realizamos un escaneo de puertos abiertos de la máquina víctima**
Utilizamos **Nmap** para realizar un escaneo de los puertos abiertos de la máquina víctima con el siguiente comando:
```bash
sudo nmap -p- -sCVS --min-rate=5000 -vvv -O -Pn -n 172.17.0.2
```
El escaneo nos indica que el puerto 22 (SSH), 80 (HTTP), 139 (samba smbd) y 445 (samba smbd) están abiertos. Una vez visto que no hay nada interesante en el puerto 80 vamos a usar la herramienta **Enum4linux** para que nos liste posibles usuarios con los que luego haremos un ataque de fuerza bruta. Para usarla ejecutamos el siguiente comando:
```bash
enum4linux 172.17.0.2
```
Esto nos indica varios usuarios, así que lo que haremos será meterlos todos en un fichero y utilizar la herramienta **netexec** para hacer un ataque de fuerza bruta con el siguiente comando:
```bash
netexec smb 172.17.0.2 -u usuarios.txt -p ../rockyou.txt --ignore-pw-decoding
```
Esto nos indica que la contraseña del usuario `satriani7` es `50cent`. Así que ahora vamos a ver los directorios que existen y pueda acceder a ellos con la herramienta **Smbmap**. Para ello ejecutamos el siguiente comando:
```bash
smbmap -H 172.17.0.2 -u "satriani7" -p "50cent"
```
Esto nos indica que tenemos permisos de lectura en los directorios `myshare` y `backup24`. Así que ahora vamos a acceder al directorio `backup24` con **Smbclient** ejecutando el siguiente comando:
```bash
smbclient //172.17.0.2/backup24/ -U "satriani7"
```
Una vez dentro vamos a entrar al directorio `Documents` y después entramos al directorio `Personal`, ahí encontramos el fichero `credentials.txt`, así que vamos a descargarlo con el siguiente comando:
```bash
get credentials.txt
```
Una vez ya lo tenemos, hacemos un cat de fichero.
Y vemos que el fichero contiene las credenciales del usuario administrador, cuya contraseña es `Adm1nP4ss2024`. Así que ahora volvemos a usar la herramienta **Smbmap** para ver los directorios disponibles con el siguiente comando:
```bash
smbmap -H 172.17.0.2 -u "administrador" -p "Adm1nP4ss2024"
```
Esto indica que tenemos permisos de lectura en el directorio `myshare` y que tenemos permisos de lectura y escritura en el directorio `home`. Así que vamos a acceder al directorio `home` con **Smbclient**. Para ello ejecutamos el siguiente comando:
```bash
smbclient //172.17.0.2/home/ -U "administrador"
```
Y vemos que probablemente el directorio `home` es el directorio `/var/www/html/`, por lo tanto, podríamos subir un archivo malicioso como por ejemplo una reverse shell en php. En mi caso subiré la del siguiente repositorio de [Github](https://github.com/pentestmonkey/php-reverse-shell/blob/master/php-reverse-shell.php). Para subir el archivo ejecutamos el siguiente comando:
```bash
put ../virus.php
```
Así que ahora solo hay que ponernos en escucha con **Netcat** y poner `172.17.0.2/virus.php` en el navegador.
Y ya estaríamos dentro de la máquina víctima.
## **Escalada de privilegios**
Una vez dentro de la máquina víctima ejecutamos el comando `sudo -l` que nos indica que podemos ejecutar el binario **/usr/sbin/service** como cualquier usuario sin necesidad de contraseña.
Así que vamos a ejecutar el siguiente comando para obtener una shell con privilegios elevados:
```bash
sudo service ../../bin/bash
```