Nmap scan report for 10.129.90.7
Host is up, received user-set (0.24s latency).
Scanned at 2024-06-27 02:41:39 UTC for 27s
Not shown: 61923 filtered tcp ports (no-response), 3611 closed tcp ports (reset)
Some closed ports may be reported as filtered due to --defeat-rst-ratelimit
PORT STATE SERVICE REASON
22/tcp open ssh syn-ack ttl 63
5000/tcp open upnp? syn-ack ttl 63
Luego se realiza un scaneo con la flag -sCV de nmap en cada puerto encontrado, donde (-sC) utiliza los scripts basicos de nmap y (-sV) extrae las versiones
Esto nos confirma que es una maquina Linux. Para detallar el puerto 22, buscamos en google OpenSSH 9.2p1 Debian 2+deb12u2 Launchpad, podemos comprobar que es un Ubuntu Sid.
Podemos notar que hay un servicio extraño en el puerto 5000, segun nmap es un proyecto web, por lo tanto, podemos aplicar el comando whatweb.
Explorar Website
Al explorar el sitio web, podemos encontrar 2 cosas, la version de WEBrick, y un punto donde podemos ingresar valores, estos no pueden superar el 100%.
Al realizar varias pruebas, con payloads provenientes de https://github.com/payloadbox/ssti-payloads, con el payload no URL-encoded recibimos muchas respuestas que indican el bloqueo de codigo malicioso, pero si se utiliza el payload encoded del mismo github, podemos apreciar que si se puede realizar una injeccion remota de comando.
Antes de enviar la solicitud con el codigo, en tu terminal utiliza nc -nlvp 6666, para recibir la reverse shell.
Ahora solo queda ir a /home/susan y revisar el archivo user.txt
Privileges Escalation
Al intentar utilizar sudo, se puede apreciar que susan si puede, por lo tanto, solo queda encontrar su contraseña para ejecutar el comando sudo su. Tambien, al ingresar en la carpeta “Migration”, veras un archivo .db, en ese lugar encontraras un hash.
Pero al utilizar Strings, encontraras AUN más cosas.
Ahora solo queda buscar el origen de la estructura de las contraseñas… despues de una larga busqueda, se encontro.
Guardaremos en hash en nuestra maquina local, en un archivo, y usaremos hashcat para crackear. De seguro es mySQL, por lo tanto, el hash a utilizar sera SHA2-256 (-m 1400). Y utilizamos nueve “?d" para los digitos.
Ahora con la password en mano, solo queda ingresar por ssh y obtener /root/root.txt
