JenkHack - DockerLabs

01 Dec 2024

OS	Dificultad	Creator
Linux	Fácil	d1se0

Reconocimiento

Comenzamos el proceso de reconocimiento identificando los puertos abiertos en el sistema objetivo.

sudo nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 172.17.0.2 -oG ports

• -p-: Escanea todos los puertos (1-65535).
• --open: Solo muestra los puertos abiertos.
• -sS: Realiza un escaneo SYN, que es rápido y discreto.
• --min-rate=5000: Envía al menos 5000 paquetes por segundo, acelerando el escaneo.
• -n: No realiza resolución DNS.
• -Pn: No realiza ping previo para determinar si el host está activo.
• -vvv: Muestra resultados detallados y en tiempo real.

Puertos Descubiertos

Durante el escaneo, descubrimos los siguientes puertos abiertos:

• 80 (HTTP)
• 443 (HTTPS)
• 8080 (Http-Proxy)

Realizamos un escaneo más detallado para obtener información sobre los servicios en estos puertos:

nmap -p443,80,8080 -sCV 172.17.0.2 -oG targeted

Exploración Web

Sitio en el puerto 80

En el puerto 80 encontramos una página que parece ser un blog informativo:

No se observa información relevante a simple vista, pero menciona el servicio Jenkins, que previamente identificamos en el puerto 8080.

Enumeración de directorios

Para investigar más, utilizamos Gobuster para explorar directorios:

gobuster dir -u http://172.17.0.2 -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x php,doc,html,txt,img

• gobuster dir: Realiza un escaneo de directorios.
• -u http://172.17.0.2/: URL objetivo.
• -w: Diccionario a utilizar.
• -x: Extensiones de archivo para buscar.

No encontramos nada relevante en el puerto 80, así que procedemos a investigar el puerto 8080, donde encontramos un panel de inicio de sesión de Jenkins:

Credenciales descubiertas

En el código fuente del sitio en el puerto 80 encontramos dos palabras clave ocultas:

• jenkins-admin
• cassandra

Probamos estas credenciales en el panel de Jenkins:

Acceso al panel de Jenkins

Con las credenciales obtenidas, accedemos al panel de Jenkins:

Ejecución Remota de Código (RCE)

Utilizamos un RCE a través de Groovy Script, siguiendo la guía de HackTricks.

Simultáneamente, escuchamos en el puerto 4444 con netcat. Una vez ejecutado el script, obtenemos acceso:

Escalación de Privilegios

Configuración de una TTY interactiva

Iniciar una sesión interactiva

Ejecutamos el siguiente comando en nuestra shell para forzar una sesión interactiva:

script /dev/null -c bash

Suspender la shell

Usamos Control+Z para suspender temporalmente nuestra sesión.

Configurar el terminal local

En nuestro terminal local ejecutamos:

stty raw -echo; fg

Resetear el terminal

Dentro de la shell interactiva, reseteamos la configuración:

reset

Configurar el tipo de terminal

Finalmente, configuramos las variables necesarias:

export TERM=xterm
export SHELL=bash

Información Crítica en el Sistema

Utilizamos linpeas.sh para buscar posibles vectores de escalación. Descubrimos un archivo note.txt en el directorio del usuario jenkhack:

El archivo contiene lo siguiente:

jenkhack:C1V9uBl8!'Ci*`uDfP

Este texto parece una contraseña cifrada. Usamos CyberChef para descifrarla:

Descubrimos que está en Base85 y la contraseña descifrada es:

jenkinselmejor

Accedemos al usuario jenkhack:

su jenhack

Escalación a Root

Ejecutamos sudo -l y verificamos que podemos ejecutar bash como root:

sudo /usr/local/bin/bash -p

Modificando el Script de Bash

El script ejecuta comandos desde una ruta en /opt. Editamos este script para cambiar los permisos de bash, otorgándole el bit SUID:

chmod u+s /bin/bash

Asignamos permisos al script:

chmod +x bash.sh

Si aparece el mensaje de éxito, significa que el script está funcionando correctamente:

Finalmente, ejecutamos el siguiente comando para obtener acceso root:

sudo /bin/bash -p

¡Ahora somos root!