> For the complete documentation index, see [llms.txt](https://red-shenlong.gitbook.io/red-shenlong/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://red-shenlong.gitbook.io/red-shenlong/dockerlabs/facil/psycho.md). # Psycho ## Alternativas **Formato Video:** *Proximamente...* **Formato pdf:** {% @github-files/github-code-block url="" %} ## WriteUp Una vez desplegada la maquina haremos un escaneo de puertos abiertos con nmap. En mi casa utilizo el siguiente comando: ``` nmap -p- -sS -sC -sV --min-rate 5000 -n -vvv -Pn 172.17.0.2 ``` * **`-p-`**: Escanea todos los puertos . * **`-sS`**: Realiza un escaneo sigiloso (SYN Scan) para detectar puertos abiertos. * **`-sC`**: Ejecuta scripts predeterminados para recopilar más información del sistema. * **`-sV`**: Detecta las versiones de los servicios en ejecución. * **`--min-rate 5000`**: Acelera el escaneo enviando al menos 5000 paquetes por segundo. * **`-n`**: No realiza resolución DNS, trabaja directamente con direcciones IP. * **`-vvv`**: Muestra información detallada y actualizaciones constantes durante el escaneo. * **`-Pn`**: Salta el "ping" previo y fuerza el escaneo, incluso si el objetivo no responde. una vez realizado el escaneo vemos que tenemos dos puertos abiertos

El puerto 22 tiene SSH, pero como su versión es alta, nos enfocaremos en el puerto 80, que tiene HTTP. Esto significa que si ponemos la IP en el navegador, nos llevará a una página web.

Es una wed sencilla y no nos da nada de información asi que buscaremos directorios oculto con gobuster con el siguiente comando: ``` sudo gobuster dir -w /usr/share/wordlists/SecLists/Discovery/Web-Content/directory-list-lowercase-2.3-medium.txt -u "http://172.17.0.2/" -x .php,.sh,.py,.txt,.html ```

El directorio `/assets` es el directorio principal asi que vamos a echarle un ojo

Podemos descargar la imagen background.jpg y buscar si tiene algún archivo oculto con `steghide extract -sf background.jpg` pero no encontrariamos nada y buscando en sus metadatos con `exiftool background.jpg` tampoco encontrariamos nada. Asi que dejaremos `/assets` a un lado y nos centramos en `/index.php`

Es un poco extraño por que a simple vista es idéntica a la pagina de inicio así que miraremos su código fuente

Vemos un error en la línea 63, lo que indica que podríamos estar ante un **LFI (Local File Inclusion)**, ya que parece estar intentando acceder a un archivo usando el parámetro incorrecto. Para encontrar el parámetro correcto, podemos hacer un FUZZING con el siguiente comando: ``` wfuzz -w /usr/share/dirbuster/wordlists/directory-list-2.3-medium.txt -u 'http://172.17.0.2/index.php?FUZZ=../../../../../../../etc/passwd' ```

Nos aparece una lista interminable, asi que filtraremos con un `--hh 2596` quedando el siguiente comando: ``` wfuzz -w /usr/share/dirbuster/wordlists/directory-list-2.3-medium.txt -u 'http://172.17.0.2/index.php?FUZZ=../../../../../../../etc/passwd' --hh 2596 ```

Nos ha encontrado el parámetro secret así que reemplazamos FUZZ por secret y lo buscamos en nuestro navegador ``` 172.17.0.2/index.php?secret=../../../../../../../etc/passwd ```

Al parecer si que nos encontramos ante un LFI.Podriamos intentar realizar un ataque de fuerza bruta con hydra ya que nos aparecen dos usuarios luisillo y vaxei pero no encontrariamos nada por lo que vamos a intentar obtener el archivo id\_rsa que normalmente esta en `/home/user/.ssh/id_rsa` , personalizando el directorio : `/home/vaxei/.ssh/id_rsa`

Tenemos acceso al archivo id\_rsa, vemos el codigo fuente de la pagina para verlo mejor y lo copiamos

Volvemos a nuestra terminal y creamos un archivo con `sudo nano id_rsa` ahí dentro pegaremos el texto copiado tal que:

guardamos y salimos con `Ctrl+o` `Ctrl+x.` Una vez completado el paso anterior, procedemos a entrar a través del puerto ssh pero esta vez utilizando el archivo que hemos creado de esta manera. ``` ssh -i id_rsa vaxei@172.17.0.2 ```

Una vez dentro buscamos habrá que escalar privilegios. Una forma sencilla es buscar binarios SUID que podamos aprovechar para escalar privilegios con el comando : ``` find / -perm -4000 2>/dev/null ``` o binarios Sudo con `sudo -l`

No hemos encontrado ningún binario SUID para escalar privilegios, pero al ejecutar `sudo -l`, vemos que podemos utilizar comandos del lenguaje de programación Perl. Así que, buscamos la vulnerabilidad en GTFOBins.

Y está disponible para sudo así que entramos y copiamos el comando, lo modificamos un poco tal que: ``` sudo -u luisillo perl -e 'exec "/bin/bash";' ``` para poder entrar como el usuario luisillo.

No hemos encontrado ningún binario SUID para escalar privilegios, pero al ejecutar `sudo -l`, vemos que podemos ejecutar un archivo de python así que vamos a ese directorio y vemos que codigo tiene el archivo.py ``` cd /opt cat paw.py ```

Se trata de un script en Python que importa unas librerías de una manera poco segura, ya que no se importan en una ruta absoluta sino en una relativa. Por ello, aprovecharemos la vulnerabilidad de **Python Library Hijacking**. Nos creamos un archivo con: `nano subprocess.py`

Si os aparece este error debéis de poner el siguiente comando : ``` export TERM=xterm ``` y volvemos a crear el archivo.Una vez dentro copiamos este código: ``` import os os.system("/bin/bash") ``` que hará que al ejecutarse el programa seamos root. guardamos y salimos con `Ctrl+o` `Ctrl+x.` Y ejecutamos el script paw\.py: ``` sudo /usr/bin/python3 /opt/paw.py ```

Y ya somor root.