# SecretJenkins
### 馃攳 RECONOCIMIENTO
En primer lugar, tras conectarnos a la m谩quina, utilizamos el comando:
```bash
ping -c 1 172.17.0.2
```
para verificar la conectividad de red.
A continuaci贸n, realizamos el comando:
```bash
nmap -sVC -p- -n --min-rate 5000 172.17.0.2
```
para realizar un escaneo de puertos y servicios detallado en la direcci贸n IP.
Como podemos observar durante el escaneo que el **puerto 22** perteneciente al **servicio SSH** y el **puerto 8080** perteneciente al **servicio HTTP** est谩n abiertos por lo que a continuaci贸n se indagar谩 m谩s.
### 馃攷 EXPLORACI脫N
Se utiliza el comando:
```bash
sudo nmap -sCV -p22,80 -v 172.17.0.2
```
para que nos proporcione m谩s informaci贸n sobre esos puertos espec铆ficamente.
Seguimos indagando m谩s sobre los puertos y ahora indagamos sobre el **servicio HTTP**. Se ingres贸 la **direcci贸n IP** en el navegador lo que llev贸 a que la p谩gina web sea un panel de **Login**.
Revisando el c贸digo fuente no encontramos nada relevante.
Ahora buscaremos directorios con la herramienta **Gobuster** a trav茅s de:
```bash
gobuster dir -u http://172.17.0.2:8080/ -w /usr/share/wordlists/dirbuster/directory-list-lowercase-2.3-medium.txt
```
Podemos probar accediendo a ciertos recursos que nos proporcionan respuestas 煤tiles. Por ejemplo, en la secci贸n `/people` podemos observar tanto la versi贸n en la parte inferior como varias opciones de botones.
Al hacer clic en el bot贸n **people**, se muestra informaci贸n sobre dos posibles usuarios.
Probamos con credenciales gen茅ricas para ambos usuarios, pero no pudimos acceder. Dado que tenemos la versi贸n del sistema, buscamos alg煤n exploit que podamos utilizar. Encontramos varias opciones en Google.
Para esta ocasi贸n, utilizaremos un exploit disponible en [Exploit-DB](https://www.exploit-db.com/exploits/51993). Descargamos el archivo `.py` correspondiente, lo ejecutamos y logramos obtener la informaci贸n del archivo que est谩bamos buscando.
```bash
python3 script.py -u http://172.17.0.2:8080 -p /etc/passwd
```
Sabemos que tenemos la capacidad de leer archivos. En este caso, buscaremos las credenciales de los usuarios de Jenkins leyendo el archivo `/var/jenkins_home/users/users.xml`. Este archivo contiene informaci贸n sobre los usuarios creados, incluidas las credenciales, permisos y roles asociados. Al ejecutar el comando para leer este archivo, podremos observar el ID de los usuarios.
Una vez que tenemos el identificador del usuario, podemos aprovecharlo para acceder a su archivo de configuraci贸n, donde se encuentra su contrase帽a en formato hash. El archivo est谩 ubicado en el directorio `/var/jenkins_home/users/admin_4715893701316860439/config.xml.` Al ejecutar el exploit, conseguimos obtener el `passwordHash`.
Para romper el hash, guardamos el valor en un archivo llamado `hash`. Intentamos obtener la contrase帽a, pero no tuvimos 茅xito, ya que no se encuentra en el diccionario utilizado.
Con **john** no se puede por lo que probamos por **SSH** con el usuario **bobby**.
### 馃殌 **EXPLOTACI脫N**
Con la informaci贸n obtenida anteriormente, realizamos el comando:
```bash
hydra -l bobby -P /usr/share/wordlists/rockyou.txt ssh://172.17.0.2 -t 5
```
que utiliza la herramienta **Hydra** para realizar un ataque de fuerza bruta contra el servicio **SSH** de una m谩quina con la IP **172.17.0.2**.
Al realizar el ataque de fuerza bruta, hemos descubierto la contrase帽a de **russoski**. Sabiendo esto, nos conectamos a trav茅s de **SSH** al usuario con el comando:
```bash
ssh bobby@172.17.0.2
```
### 馃攼 **PRIVILEGIOS**
Al estar dentro y ejecutar:
```bash
whoami
```
a煤n no somos **root**, por lo que hacemos:
```bash
sudo -l
```
para ver si hay algo para explotar.
Para aprovechar esta situaci贸n, visitamos la p谩gina de [GTFOBins](https://gtfobins.github.io/gtfobins/python/#sudo) y buscamos la entrada correspondiente a Python. Encontramos un c贸digo en la secci贸n de `sudo` que podemos ejecutar, aunque es importante considerar ciertas modificaciones, ya que no es para obtener acceso root directamente.
Antes de ejecutar el comando completo, es necesario agregar la opci贸n `-u pinguinito`, ya que los permisos est谩n asignados a ese usuario. Si ingresamos el comando correctamente, podremos confirmar que hemos cambiado al usuario `pinguinito`.
```bash
sudo -u pinguinito python3 -c 'import os; os.system("/bin/sh")'
```
Al inspeccionar el script, verificamos que somos los propietarios del archivo, y adem谩s, este tiene permisos de lectura y ejecuci贸n. Al abrir el archivo, descubrimos que su funci贸n principal es copiar `/opt/script.py` al directorio `/tmp` bajo el nombre `script_backup.py`, seguido de un mensaje que confirma la copia exitosa.
Dado que somos los propietarios, intentamos agregar permisos de escritura al script. Este cambio se realiz贸 correctamente, lo que nos brinda la oportunidad de aprovecharlo para realizar modificaciones adicionales.
```bash
chmod +w /opt/script.py
```
Modificamos el archivo para que podamos tener acceso a una nueva **shell**.
```bash
echo 'import os; os.system("/bin/sh")' > /opt/script.py
```
Ya tenemos acceso como **root** por lo que tenemos los m谩ximos privilegios.
