Queuemedic DockerLabs (Hard)
Instalación
Cuando obtenemos el .zip nos lo pasamos al entorno en el que vamos a empezar a hackear la maquina y haremos lo siguiente.
unzip insanity.zipNos lo descomprimira y despues montamos la maquina de la siguiente forma.
bash auto_deploy.sh insanity.tarInfo:
## .
## ## ## ==
## ## ## ## ===
/""""""""""""""""\___/ ===
~~~ {~~ ~~~~ ~~~ ~~~~ ~~ ~ / ===- ~~~
\______ o __/
\ \ __/
\____\______/
___ ____ ____ _ _ ____ ____ _ ____ ___ ____
| \ | | | |_/ |___ |__/ | |__| |__] [__
|__/ |__| |___ | \_ |___ | \ |___ | | |__] ___]
Estamos desplegando la máquina vulnerable, espere un momento.
Máquina desplegada, su dirección IP es --> 172.17.0.2
Presiona Ctrl+C cuando termines con la máquina para eliminarlaPor lo que cuando terminemos de hackearla, le damos a Ctrl+C y nos eliminara la maquina para que no se queden archivos basura.
Escaneo de puertos
Info:
Si entramos en la pagina veremos un login, el cual si ponemos las credenciales por defecto veremos que no funciona, vamos a realizar un poco de fuzzing a ver que encontramos.
Gobuster
Info:
Vemos bastantes cosas interesantes al realizar un poco de fuzzing, vamos a probar a entrar en la carpeta /backup y veremos lo siguiente:
Vemos que hay un archivo llamado backup.zip, que si nos lo descargamos y lo descomprimimos, veremos lo siguiente:
Info:
Vemos una linea bastante interesante que pone un nombre de usuario y un hash asociado a dicho usuario.
Vamos a crear un diccionario con el nombre de usuario mas su apellido, para poder generar varios formatos y asi probar con cada uno de ellos.
URL = Herramienta Generador
username
Y lo ejecutamos de la siguiente forma:
Y esto nos habra generado dicho archivo que contendra lo siguiente:
hash
Y ahora vamos a intentar saber que password es la correcta para el nombre de usuario jessica:
Info:
Vemos que el que nos interesa es la contraseña j.castro es el que coincide con el hash.
Por lo que ahora iniciaremos sesion con las credenciales que encontramos:
Y vemos que estaremos dentro logeados con dicho usuario:
Vemos que si le damos alguna de las opciones que esta en el header en la URL lleva un parametro llamado ?page= vamos a ver si se puede utilizar algun Wrapper de LFI para poder hacer un parametro cmd= y asi poder ejecutar comandos del sistema.
Wrappers de LFI
URL_Script = https://github.com/synacktiv/php_filter_chains_oracle_exploit/blob/main/filters_chain_oracle_exploit.py
Si queremos por ejemplo crear un parametro llamado cmd que ejecute cualquier comando que le pongamos, seria de la siguiente forma...
Info:
Copiamos eso y lo metemos despues del igual de la siguiente manera...
Info:
Vemos que funciona, por lo que vamos a crearnos una reverse shell mediante la URL de la siguiente forma:
Antes de ejecutarlos estaremos a la escucha:
Y si ejecutamos lo de la URL y volvemos a donde tenemos la escucha veremos lo siguiente:
Sanitización de shell (TTY)
Escalate user jessica
Si probamos a utilizar la misma contraseña que en la pagina veremos que funciona:
Metemos como contraseña j.castro y veremos que estamos dentro.
Privilege Escalation
Si hacemos sudo -l veremos lo siguiente:
Veremos que podemos ejecutar sudoedit en la siguiente ruta como el usuario root, por lo que haremos lo siguiente:
Vemos que esto tiene una vulnerabilidad con un CVE asociado llamado CVE-2021-3560 y que su descripcion es la siguiente:
Mas info en el siguiente repositorio:
URL = Info CVE-2021-3560
Por lo que vemos lo que a nosotros nos interesa es editar el passwd.
Ahora ejecutamos lo siguiente:
Esto nos abrira el passwd por lo que eliminaremos la x del usuario root para quitarle la contraseña quedando asi:
Lo guardamos con ^X despues Y y por ultimo ENTER y con esto ya estaria aplicado.
Y veremos que seremos root sin que nos pida ninguna contarseña de forma previa.
Last updated