Load Vulnyx (Easy - Linux)
Escaneo de puertos
nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn <IP>nmap -sCV -p<PORTS> <IP>Info:
Starting Nmap 7.95 ( https://nmap.org ) at 2025-08-12 03:21 EDT
Nmap scan report for 192.168.5.76
Host is up (0.0011s latency).
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 9.2p1 Debian 2+deb12u2 (protocol 2.0)
| ssh-hostkey:
| 256 a9:a8:52:f3:cd:ec:0d:5b:5f:f3:af:5b:3c:db:76:b6 (ECDSA)
|_ 256 73:f5:8e:44:0c:b9:0a:e0:e7:31:0c:04:ac:7e:ff:fd (ED25519)
80/tcp open http Apache httpd 2.4.57 ((Debian))
|_http-title: Apache2 Debian Default Page: It works
| http-robots.txt: 1 disallowed entry
|_/ritedev/
|_http-server-header: Apache/2.4.57 (Debian)
MAC Address: 08:00:27:D5:CE:10 (PCS Systemtechnik/Oracle VirtualBox virtual NIC)
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel
Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 114.14 secondsVeremos el puerto 80 bastante interesante en el que aloja una pagina web, pero si entramos dentro del mismo veremos una pagina de apache normal y corriente, por lo que vamos a realizar un poco de fuzzing a ver que vemos.
Gobuster
Info:
Veremos un robots.txt vamos a ver que esconde ese archivo...
Info:
Veremos una ubicacion bastante interesante, vamos a probar a meternos en dicha ruta a ver que encontramos.
Dentro de dicha pagina veremos que carga correctamente, pero de forma aparente no vemos que esconda nada, vamos a realizar un poco de fuzzing tambien en esta pagina a ver que vemos.
Escalate user www-data
Info:
Vemos un archivo muy interesante llamado admin.php vamos a ir a dicha ruta a ver que vemos...
Entrando dentro del mismo veremos un login el cual vamos a probar algunas credenciales por defecto, probando admin:admin veremos que nos funcionara a la primera ya que no dara ningun error, veremos abajo a la izquierda este boton de Admin:
Si le damos veremos esto:
Dentro del mismo y explorando un poco hay una seccion interesante llamada Files Manager si entramos dentro y le damos al boton llamado Upload File nos metera en una seccion en la que podremos subir un archivo, en este punto se nos ocurre subir un archivo PHP con una reverse shell de esta forma.
shell.php
Teniendo el archivo creado, le daremos a Browser... en la seccion de File para subir el archivo, pondremos una configuracion basica sin importancia, una vez dandole al boton de Ok - upload file veremos que el archivo se nos subio correctamente, ahora nos pondremos a la escucha:
Cuando subimos el archivo nos lleva a esta parte:
Aqui seleccionamos el archivo llamado shell.php veremos que nos lleva a una ruta que no es, por lo que le tendremos que poner la palabra /ritedev antes de /media quedando algo asi:
Ahora si volvemos a donde tenemos la escucha, veremos lo siguiente:
Vemos que ha funcionado, por lo que vamos a sanitizar la shell:
Sanitización de shell (TTY)
Escalate user travis
Si hacemos sudo -l veremos lo siguiente:
Veremos que podremos ejecutar el binario crash como el usuario travis por lo que haremos lo siguiente:
Info:
Con esto veremos que seremos dicho usuario, antes vamos a leer la flag del usuario.
user.txt
Escalate Privileges
Si hacemos sudo -l veremos lo siguiente:
Vemos que podemos ejecutar el binario xauth como el usuario root, por lo que vamos a leer la ayuda e investigar que escalada puede tener.
Investigando un rato, si leemos bien la ayuda veremos que podemos leer cualquier archivo del sistema ejecutando source:
Vamos a probar a intentar leer la clave privada de root por si tuviera alguna, si no podremos intentar leer el shadow.
Info:
Veremos que ha funcionado, ahora con un comando vamos a dejarlo limpio en un archivo viendose de esta forma:
entrada.txt
id_rsa
En dicho archivo le añadiremos las RSA PRIVATE KEY----- depues de END y BEGIN para que quede con el formato correcto.
Desde nuestro kali vamos a conectarnos con la clave privada de root por SSH de esta forma.
Info:
Veremos que ha funcionado, por lo que vamos a leer la flag de root.
.roooooooooooooooooooooooooooooooooooot.txt
Last updated