search

hyphenPntoPntoBarra (Easy) - Dockerlabs

hashtag
pn to pn to -

hashtag
Reconocimiento

En primer lugar, haciendo uso de nmap escaneo todos los puertos de la máquina para obtener información.

❯ nmap -p 0-65535 --open -T5 -A -sT -Pn -n 172.17.0.2 -oX nmapScan.xml && xsltproc nmapScan.xml -o nmapScan.html && open nmapScan.html &>/dev/null & disown

El resultado: Un servidor SSH y uno HTTP de título "LeFvIrus", a falta de más info, accedo a la página para recavar datos. La página muestra un mensaje que avisa de que el equipo esta infectado con un virus, bajo este mensaje hay dos botones, uno para ver ejemplos de otros sistemas infectados y uno que dice: Hacer clic aquí podría empeorar la situación.

Revisando el código fuente veo que el botón de peligro ejecuta un script, lo pruebo y básicamente se carga la máquina, tuve que reiniciar el laboratorio ya que respondía con 403 todo el rato después de pulsarlo. Por otro lado, el botón de los ejemplos redirige a /ejemplos.php, pero el directorio muestra un error ya que no hay ningún archivo. La forma de la URL me llama la atención.

hashtag
Explotación

Al probar un payload sencillo de directory trasversal, veo que el parámetro es vulnerable.

Probando a buscar distintos archivos aprovechando la vulnerabilidad encontrada, doy con la llave de SSH del usuario nico

Guardo el contenido en un archivo llamado id_rsa en mi máquina, le doy permisos y accedo mediante SSH a la máquina víctima.

hashtag
Post explotación

Una vez dentro, al ejecutar sudo -l veo que puedo usar el binario env como root, después de una búsqueda en GTFObins ya está resuelto.

PreviousWinterfell (Easy) - DockerlabsNextDockerlabs (Easy) - Dockerlabs

Last updated