TriplAdvisor HackMyVM (Easy - Windows)
Escaneo de puertos
nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn <IP>nmap -sCV -p<PORTS> <IP>Info:
Starting Nmap 7.94SVN ( https://nmap.org ) at 2025-03-29 06:50 EDT
Nmap scan report for 192.168.1.158
Host is up (0.00057s latency).
PORT STATE SERVICE VERSION
445/tcp open microsoft-ds?
5985/tcp open http Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
|_http-title: Not Found
|_http-server-header: Microsoft-HTTPAPI/2.0
8080/tcp open http Apache httpd
|_http-server-header: Apache
|_http-title: Did not follow redirect to http://tripladvisor:8080/wordpress/
|_http-open-proxy: Proxy might be redirecting requests
MAC Address: 08:00:27:A3:DB:30 (Oracle VirtualBox virtual NIC)
Service Info: OS: Windows; CPE: cpe:/o:microsoft:windows
Host script results:
| smb2-time:
| date: 2025-03-29T19:51:03
|_ start_date: 2025-03-29T19:46:48
| smb2-security-mode:
| 2:1:0:
|_ Message signing enabled but not required
|_clock-skew: 8h59m59s
Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 66.50 secondsVemos que hay un servidor SMB y un puerto 8080 en el que puede contener una pagina web, si entramos por el puerto 8080 nos redirije automaticamente a un dominio por lo que tendremos que añadirlo en nuestro archivo hosts.
Una vez echo eso, volveremos a cargar la pagina:
Vemos lo que parece ser una pagina normal pero que esta en un wordpress por lo que vamos a intentar enumerar si tuviera algunas credenciales o algun plugin vulnerable.
wpscan
Info:
Vemos que nos saca un usuario llamado admin por lo que vamos a intentar realizar fuerza bruta sobre dicho usuario con la misma herramienta:
Info:
Si hacemos esto veremos que al final no nos saca nada, pero si vemos que detecto un plugin llamado editor el cual suele ser vulnerable y es de version 1.1 por lo que vamos a investigar si tuviera algun exploit asociado.
URL = Exploit Plugin Editor Wordpress v1.1.1
Por lo que vemos si tiene una vulnerabilidad que es la de un LFI y nos muestra la ruta vulnerable que seria en nuestro caso la siguiente:
NOTA:
Tuve que cambiar site-editor por editor ya que el plugin la ruta le cambiaron el nombre, si probamos con el payload normal no ira, por lo que tendremos que dejarlo en editor.
Info:
Vemos que funciona, pero vamos a realizar un poco de fuzzing para ver cuales rutas son accesibles y cuales no.
FFUF
URL = Wordlist LFI Windows
Info:
Vemos varias rutas interesantes pero entre ellas se puede entrar en:
Por lo que puedo deducir que se podra realizar lo llamado LOG POISONING, vamos a probar a realizar dicha tecnica.
Vamos a probar a ver los archivos del directorio actual realizando un comando dir, ahora si recargamos de nuevo la URL y bajamos abajo del todo veremos lo siguiente:
Vamos a subirnos a generarnos una reverse shell con metasploit para tener un meterpreter por lo que tendremos que generar el payload de la siguiente forma:
Escalate user websvc
Ahora si leemos el payload.txt veremos lo siguiente:
Por lo que el curl tendremos que prepararlo de la siguiente forma:
Antes de enviarlo, nos pondremos a la escucha con metasploit.
Dentro utilizaremos el multi/handler:
Y lo configuraremos de la siguiente forma:
Ahora si enviamos el payload del curl y volvemos a donde tenemos la escucha en metasploit veremos lo siguiente:
Vemos que ha funcionado y seremos el usuario websvc, por lo que leeremos la flag del usuario.
user.txt
Escalate Privileges
Vamos a utilizar un modulo de metasploit para poder identificar diferentes vulnerabilidades a nivel local que pueda tener la maquina victima.
Antes tendremos que dejar la sesion en segundo plano haciendo Ctrl+Z y dandole a la Y.
Ahora lo configuraremos de la siguiente forma:
Info:
Vemos que puede tener varias vulnerabilidades, entre ellas la que mas nos llama la atencion es la siguiente:
Por lo que vamos a utilizarlo.
Ahora lo tendremos que configurar de la siguiente forma:
Info:
Como vemos ya seremos administradores por lo que leeremos la flag del admin.
root.txt
Last updated