> For the complete documentation index, see [llms.txt](https://beafn28.gitbook.io/beafn28/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://beafn28.gitbook.io/beafn28/writeups/dockerlabs/picadilly.md).
# Picadilly
### 馃攳 **RECONOCIMIENTO**
En primer lugar, tras conectarnos a la m谩quina, utilizamos el comando:
```bash
ping -c 1 172.17.0.2
```
para verificar la conectividad de red.
A continuaci贸n, se realiza el comando:
```bash
nmap -p- --open -sT --min-rate 5000 -vvv -n -Pn 172.17.0.2 -oG allPorts
```
para realizar un escaneo de puertos y servicios detallado en la direcci贸n IP.
Como podemos observar durante el escaneo, el puerto **443** perteneciente al servicio **HTTPS** y el puerto **80** perteneciente al servicio **HTTP** est谩n abiertos, por lo que se proceder谩 a indagar m谩s.
### 馃攷 **EXPLORACI脫N**
Para saber m谩s informaci贸n sobre el puerto abierto, se realiza el siguiente comando:
```bash
nmap -sCV -p80,443 172.17.0.2 -oN targeted
```
Seguimos indagando m谩s sobre los puertos y ahora exploramos el servicio **HTTP**. Se ingres贸 la direcci贸n IP en el navegador, lo que llev贸 a que la p谩gina web aparezca con un archivo y miramos lo que contiene.
Tenemos un posible usuario del sistema llamado **mateo**, junto con su contrase帽a encriptada. Aunque no se especifica el m茅todo de encriptaci贸n utilizado, se nos ofrece una pista que sugiere que se trata de un **Cifrado C茅sar**. Esto nos permite descifrar la contrase帽a. [Dcode - Cifrado C茅sar](https://www.dcode.fr/cifrado-cesar)
Accedemos al navegador y visitamos la direcci贸n IP `https://172.17.0.2`.
Se nos presenta una p谩gina donde es posible subir archivos como publicaciones que ser谩n visibles en la web. Con esta informaci贸n, podr铆amos llevar a cabo un ataque **LFI** (Inclusi贸n de Archivos Locales), subiendo un archivo **PHP** que contenga el c贸digo necesario para ejecutar una **reverse shell**.
### 馃殌 **EXPLOTACI脫N**
Subimos el archivo de [php-reverse-shell](https://github.com/pentestmonkey/php-reverse-shell) de GitHub y nos ponemos en escucha utilizando **Netcat**.
Logramos acceder al archivo que subimos al servidor, lo que nos permiti贸 recibir una conexi贸n en el puerto de escucha. Con este acceso inicial al sistema, es hora de buscar formas de escalar privilegios para comprometer completamente la m谩quina y obtener los m谩ximos privilegios.
### 馃攼 **PRIVILEGIOS**
Nos conectamos al usuario mateo con la contrase帽a obtenida anteriormente aunque hay que hacer un ajuste.
Al estar dentro y ejecutar:
```bash
whoami
```
a煤n no somos **root**, por lo que hacemos:
```bash
sudo -l
```
para ver si hay algo para explotar.
El usuario tiene permiso para ejecutar el binario `/usr/bin/php` como root sin requerir una contrase帽a en la l铆nea de comandos. Buscamos informaci贸n sobre este binario en [GTFOBins](https://gtfobins.github.io/).
Hemos conseguido tener los m谩ximos privilegios al ser **root**.