# Move
### 馃攳 **RECONOCIMIENTO**
En primer lugar, tras conectarnos a la m谩quina, utilizamos el comando:
```bash
ping -c 1 172.17.0.2
```
para verificar la conectividad de red.
A continuaci贸n, se realiza el comando:
```bash
nmap -p- --open -sT --min-rate 5000 -vvv -n -Pn 172.17.0.2 -oG allPorts
```
para realizar un escaneo de puertos y servicios detallado en la direcci贸n IP.
Como podemos observar durante el escaneo el **puerto 22** perteneciente al **servicio SSH** y el **puerto 80** perteneciente al **servicio HTTP** y el **puerto 3000** est谩n abiertos por lo que a continuaci贸n se indagar谩 m谩s.
### 馃攷 **EXPLORACI脫N**
Se utiliza el comando:
```bash
sudo nmap -sCV -p22,80,3000 -v 172.17.0.2
```
para obtener m谩s informaci贸n sobre ese puerto espec铆ficamente.
El puerto **80** y el **3000** podemos encontrar servicios web. Es curioso que en el 3000 nos aparece una redirecci贸n a un panel de **Login**. Seguimos indagando m谩s sobre los puertos y ahora exploramos el servicio **HTTP**. Se ingres贸 la direcci贸n IP en el navegador, lo que llev贸 a que la p谩gina web sobre la p谩gina por defecto **Apache2**.
Revisando el c贸digo fuente por si hay algo relevante tampoco hay informaci贸n relevante pero no hab铆a nada.
Ahora buscaremos directorios con la herramienta **Gobuster** a trav茅s de:
```bash
gobuster dir -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x html,htm,php,txt,xml,js -u http://172.17.0.2
```
Encontramos un archivo que nos llama la atenci贸n que se llama `/maintenance.html` as铆 que accederemos a 茅l por si hay algo relevante.
Hemos encontrado un encabezado en **HTML** que revela la ruta de un archivo potencialmente interesante, aunque actualmente no tenemos acceso al sistema para explorarlo m谩s a fondo. Guardaremos esta informaci贸n para usarla en el futuro.
Dado que no encontramos nada m谩s relevante en este momento, procederemos a realizar la enumeraci贸n del **puerto 3000** en la m谩quina objetivo.
Hemos encontrado un panel de inicio de sesi贸n de **Grafana**. Lo m谩s notable es que en la parte inferior del panel se muestra la **versi贸n** espec铆fica del servicio. Investigaremos esta versi贸n para determinar si existen vulnerabilidades conocidas que puedan facilitarnos el acceso inicial al sistema.
Hemos confirmado que la versi贸n espec铆fica de **Grafana** que encontramos es vulnerable a un **exploit** que permite la lectura de archivos en el sistema. Procederemos a descargar este exploit en nuestra m谩quina atacante y comenzaremos el proceso de intrusi贸n.
### 馃殌 **EXPLOTACI脫N**
Con el **exploit** descargado y preparado en nuestra m谩quina atacante, procederemos a ejecutarlo para aprovechar la vulnerabilidad detectada en esta versi贸n de **Grafana**.
Hemos logrado explotar la vulnerabilidad de manera exitosa, lo que nos permite leer cualquier archivo en el sistema que no requiera privilegios elevados. Por lo que leemos el archivo **/tmp/pass.txt**.
Teniendo en cuenta que el **puerto 22** est谩 abierto y que hay un servicio **SSH** activo, procedemos a enumerar los usuarios presentes en el sistema, as铆 como a inspeccionar el archivo mencionado en el **puerto 80**. Accederemos al usuario **freddy**.
### 馃攼 **PRIVILEGIOS**
Al estar dentro y ejecutar:
```bash
whoami
```
a煤n no somos **root**, por lo que hacemos:
```bash
sudo -l
```
para ver si hay algo para explotar.
Como podemos ver, el usuario tiene permisos para ejecutar un comando `sudo` asociado a un script sobre el cual tiene permisos de escritura. Esto nos permite realizar una escalada de privilegios modificando el script para que ejecute las acciones que deseemos. Al ser ejecutado como **root** mediante `sudo`, el script no enfrentar谩 restricciones de privilegios. Con esto en mente, podr铆amos alterar el script para que inicie una **shell** interactiva con privilegios de **root**. En mi caso, opt茅 por darle permisos **SUID** al binario de **bash**, lo que nos permitir谩 obtener una **shell** como **root** en cualquier momento, asegurando una alta persistencia en el sistema.
Hemos logrado modificar los permisos del binario `bash`. Ahora, solo queda utilizar el comando `bash -p` para iniciar una **shell** con privilegios de **root**.
---
# Agent Instructions: Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter:
```
GET https://beafn28.gitbook.io/beafn28/writeups/dockerlabs/move.md?ask=
```
The question should be specific, self-contained, and written in natural language.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.