Soberbia

Para ello haremos uso primeramente de nmap.

Como podemos ver están abiertos los puertos 80 y 22

Podemos ver sus versiones con el siguiente comando:

Una vez identificadas las versiones de los servicios, podemos comprobar si están desactualizadas y si presentan vulnerabilidades conocidas (CVEs) que podamos explotar.

Generalmente, los exploits se encuentran en repositorios como GitHub o en bases de datos especializadas como Exploit-DB. Para facilitar esta búsqueda, podemos utilizar herramientas como searchsploit, que permite consultar Exploit-DB desde la terminal y verificar si existen exploits públicos para una versión específica.

Podemos observar que no se ha encontrado ningún exploit relevante en Exploit-DB. Es importante ser precisos con los términos de búsqueda, ya que searchsploit devuelve todos los resultados relacionados, aunque no estén directamente vinculados con nuestros servicios. Por este motivo puede aparecer algún resultado, pero no necesariamente se aplica a nuestro caso.

Aparentemente se ve una página que no tiene nada, pero es muy posible que posea directorios y subdirectorios con archivos. Para conocer la estructura vamos hacer lo que se denomina como fuzzing de contenido, es muy útil para identificar rutas sensibles como /admin, /backup, /config.php, etc. En nuestro caso usaremos feroxbuster y gobuster, y compararemos.

Gobuster es bastante sencillo de usar, pero un defecto que tiene es que no permite recursividad, teniendo que usar scripts para que haga dicha recursividad. Sinceramente veo feroxuster como una mejora de este.

Bueno, una vez conociendo la estructura, podemos apreciar que hay un directorio en /dev, que se llama pruebas, o un alias de esta ruta que es /devzone. Esto nos sugiere que los desarrolladores podrían estar utilizando esta ruta para realizar pruebas antes de lanzar la versión final del sitio web. Es común que estas zonas contengan código en desarrollo o funcionalidades no protegidas, lo que podría representar una posible vía de explotación.

Dentro de login.php podemos analizar las tecnologías con wappalyzer o con whatweb y ver que tecnologías usa.

Efectivamente con SQLi, pero esta vez no lo vamos a hacer manual, obviamente hay formas más eficientes cómo sqlmap, donde comenzaremos por un reconocimiento sabiendo si es vulnerable a SQLi.

Cómo podemos ver el parámetro usuario es vulnerable, además más abajo se especifica la versión de Mariadb. Ahora vamos a atacar y obtener las credenciales.

Como podemos ver, hemos obtenido las credenciales de los usuarios admin y test, por lo que podremos pasar el login.

Podemos hacer un ataque XSS almacenado, así que podemos obtener las cookies por netcat o mirar en Storage al F12.

Después, dentro del comentario meteremos el siguiente script en javascript, que nos pasará las cookies del usuario actual.

Una vez enviado dicho script veremos una cadena muy larga en GET, ese es el contenido de la cookie:

Copiamos esta cadena y la decodificamos con cyberchef, una herramienta web muy útil para estos casos. Usamos URL decode, para ver el contenido:

Podemos ver que se almacenan las credenciales de ssh, han puesto el usuario y la contraseña hasheada separada por dos puntos. Para crackear hash podemos usar Crackstation:

Una vez hecho esto ya tendríamos las credenciales del ssh.

También hay otra forma más sencilla de obtener las cookies, simplemente quería mostrar otra forma para hacer XSS y usar netcat. Le damos a F12 en la página y nos vamos a Storage, ahí podremos obtener los hashes que hemos crackeado antes.

Ahora veremos si tenemos algún privilegio:

Podemos ver que tenemos permisos de administración en neofetch. Por lo que buscamos en GTFOBins si podemos escalar a través de él.

Podemos ver que, para escalar privilegios, debemos crear un archivo temporal con el contenido exec /bin/sh y pasarlo como configuración a neofetch, ejecutado con sudo. Dicho esto, copiamos y pegamos lo que nos indica y obtenemos privilegios de root.