Es un sistema operativo basado en FreeBSD que proporciona servicios de almacenamiento en red, convirtiendo cualquier pc o maquina virtual en un sistema de almacenamiento tanto para entornos domésticos como profesionales.

Truenas VS OpenMediaVault

OpenMediaVault es menos exigente que Truenas, por lo que podremos usarlo con equipos antiguos o con pocos recursos, como una raspberry pi, además de su uso que es mas sencillo de configurar y gestionar.

Truenas es mas exigente, por lo tanto tendrás que tener un equipo con bastantes recursos sobre todo de RAM, su interfaz es mas profesional y tiene una ligera curva de aprendizaje mayor que openmediavault.

Actualmente es el sistema que estoy usando en mi Proxmox.

INSTALACIÓN

El primer paso es conectar en mi caso la Estación de Acoplamiento de Doble Bahía y poner los discos disponibles, en mi caso solo dispongo de un disco de 1TB.

El siguiente paso es ir a nuestro proxmox, dirigirnos a los discos y ver si proxmox lo reconoce correctamente.

Luego tendremos que crear la maquina virtual con Truenas y seguir los pasos indicados en la instalación del sistema operativo. Una vez terminada la instalación, nos dará una IP con la que poder entrar a la pagina web de Truenas.

Pero antes tendremos que agregar los discos en la maquina virtual en proxmox para poder usarlos como almacenamiento en el NAS.

Nos iremos a la VM > Hardware > Agregar > Disco Duro y seleccionamos el disco que hemos agregado anteriormente.

Ahora si podemos entrar en la IP que nos facilita.

Una vez dentro del panel de configuración, tendremos que configurar los discos, dataset y shares para poder usar los discos como NAS.

Nos iremos a Almacenamiento y crearemos un volumen con el disco que hallamos añadido anteriormente.

Aquí podremos configurar los discos, dándole un nombre, encriptando los datos que estén en el disco, seleccionar el raid que queramos usar, etc.

Las demás configuraciones las dejaremos en blanco (aún no las he configurado)

Una vez terminado creamos el volumen

Y veremos en la pestaña de almacenamiento, nuestro disco creado con la configuración que le hayamos indicado

Ahora nos iremos a la pestaña de Datasets y añadiremos un dataser con la configuración basica.

Le pondremos el nombre de REDHUNTER y marcaremos el Preset de SMB y una vez creado, ya tendremos la carpeta compartida en la red.

Accederemos a la carpeta, con la ip y veremos todas las carpetas que tengamos creadas, en nuestro caso la de redhunter.

Una vez se ha creado, recomiendo crear un usuario normal para poder acceder al sistema

Crearemos un usuario para que solo pueda entrar en la carpeta de redhunter.

Y ya con esto tendremos configurado de una manera básica Truenas en casa para poder usarlo como NAS y poder almacenar los datos.

En esta maquina el TTL es de 63 siendo una maquina Linux, pero ralamente el TTL de un O.S Linux es de 64, esta reducción se debe a que pasa por varios nodos intermediarios, reduciéndoles en este caso en 1.

1. Escaneo de puertos

Una vez verificamos que tenemos conexión con la maquina, realizaremos un escaneo de puertos con la herramienta nmap.

Al finalizar este escaneo realizaremos otro escaneo con los puertos encontrados, donde analizaremos que servicios corren en los puertos abiertos encontrados.

2. Recolección de información

Antes de comenzar añadiremos la ip al /etc/hosts.

Vamos a fuzzear con la herramienta gobuster para ver alguna ruta oculta y encontramos una ruta admin

Vemos que tenemos un panel login

Tras no encontrar nada mas, fuzzearemos subdominios y encontramos la ruta dev

Añadiremos la nueva ruta al /etc/hosts

En la nueva ruta vemos una especie de logs, donde hay una posible contraseña.

Probamos las credenciales en el panel login y estamos dentro.

Analizando el panel y vemos que en content > file manager podemos modificar archivos php, entonces cargaremos una revese shell php y nos entablaremos una conexión remota.

3. Ganando acceso a la maquina.

Buscamos la reverse shell php, la copiamos y en el archivo index.php, la pegamos y guardamos el código.

Nos ponemos en escucha con la herramienta nc, y cargamos la pagina index.php y estamos dentro de la pagina.

Tratamiento TTy

4. Escalando privilegios

Tras enumerar el sistema, localizamos un archivo en la carpeta /opt, tenemos la contraseña de andres.

Nos convertimos en andres

Analizamos otra vez el sistema, y vemos una tarea cron

Vemos que la tarea comprime en una ruta del directorio andres, y vamos a utilizarlo para convertirnos en root, gracias a la wildcard(*) que emplea.

Nos dirigimos a la pagina GTFOBINS y buscamos tar

Procedemos a crear un archivo shell.sh

Luego creamos dos archivos con los el comando que aparece en la pagina.

Y ahora esperamos a que la tarea se ejecute.

Y somos root.

En nuestro caso nuestro TTL es de 63 siendo del Sistema Operativo Linux, aun que realmente el TTL de Linux es 64, y esto es debido a los nodos intermediarios que hace que se disminuyan en nuestro caso en 1.

1. Escaneo de puertos

Lo primero que haremos una vez verificado la conexión con la maquina, será realizar un escaneo con la herramienta nmap.

Descripción de los parámetros:

• -p- : Escanea los puertos especificados, en este caso escanea los 65535 puertos.
• –open : Muestra solo los puertos abiertos.
• -sS : Escanea mediante TCP SYN.
• –min-rate : Envía paquetes no mas lentos que el número indicado por segundo en nuestro caso 5000.
• -Pn : Omite el descubrimiento de host.
• -n : No realiza resolución DNS.
• -vvv : Muestra la información mientras se esta realizando el escaneo.
• IP : La IP que queremos escanear.
• -oG : Guarda la salida del escaneo en un formato grepeable.

Una vez finalizado el escaneo, haremos otro escaneo mas exhaustivo con los puertos encontrados, para que nos de mas información de los servicios que corren en dichos puertos.

Descripción de los parámetros:

• -p : Escanea los puertos especificados.
• -sC : Lanza varios scripts defaults de nmap.
• -sV : Determina los servicios que están corriendo en los puertos además de información extra.
• IP : La IP que queremos escanear.
• -oN : Guarda la salida en el formato de nmap.

2. Recolección de información

Enumeraos la pagina web y no encontramos nada, lanzamos la herramienta gobuster para fuzzear rutas ocultas.

Descripción de los parámetros:

• dir : Utiliza el modo de enumeración de directorios/archivos.
• -u : Le indicamos que le vamos a pasar una url.
• URL : La url objetivo.
• -w : Le indicamos que vamos a usar un diccionario.
• /PATH/ : Le indicamos la ruta del diccionario a usar.
• -t 50 : Le indicamos el numero de peticiones hacia el servidor.
• -z : No muestra la barra de progresos por pantalla.
• -o : Guarda la salida en un archivo.

Vemos varias rutas interesantes. La primera ruta es la de admin.php

La otra ruta interesante es la de report, donde nos podemos descargar un archivo. Tras analizar el archivo, encontramos varios correos.

Y vemos que en la ruta admin.php podemos registrarnos. Vamos a realizar un sql truncation attack con el correo de admin.

Para ello vamos a registrarnos con el correo de admin, y lo vamos a interceptar con BurpSuite, para manipular los datos y poder realizar el ataque. Activamos el FoxyProxy para poder interceptar la petición.

Tenemos varias opciones para poder realizar el ataque, el primero seria colocando un x00 que indica un NULL Byte, permitiéndonos registrar sin problemas con el usuario.

La otra opción seria añadiendo espacios y una letra al final, permitiéndonos registrarlo sin problemas el usuario.

Gracias a esto podemos entrar como admin. Ahora nos dirigimos al apartado, command y lo volvemos a interceptar con BurpSuite.

Ahora vamos a realizar un XXE attack.

Ahora vamos a poner un filtro en base64 para poder ver el código php. Tras decodear el código y al analizar la ruta acc.php, vemos una credencial oculta

3. Ganando acceso a la maquina

Vamos a entrar mediante ssh con las credenciales encontradas.

Estamos dentro de la maquina

4. Escalando privilegios

Tras enumerar el sistema vemos que podemos ejecutar como root sin proporcionar contraseña el siguiente script en python.

El archivo lo ha creado root, pero al estar en nuestro directorio personal podemos borrarlo, y crear uno nuestro para que nos otorgue una shell como root.

Ejecutamos el script como root.

Y somos root.

En este caso el TTL es de 63 siendo de una maquina Linux, aunque realmente el TTL de un Sistema Linux es de 64, esto se debe a que pasa por varios nodos intermediarios que disminuyen el TTL.

1. Escaneo de puertos

Para escanear los puertos utilizaremos la herramienta nmap.

Descripción de los parámetros:

• -p- : Escanea los puertos especificados, en este caso escanea los 65535 puertos.
• –open : Muestra solo los puertos abiertos.
• -sS : Escanea mediante TCP SYN.
• –min-rate : Envía paquetes no mas lentos que el número indicado por segundo en nuestro caso 5000.
• -Pn : Omite el descubrimiento de host.
• -n : No realiza resolución DNS.
• -vvv : Muestra la información mientras se esta realizando el escaneo.
• IP : La IP que queremos escanear.
• -oG : Guarda la salida del escaneo en un formato grepeable.

Una vez terminado el escaneo, haremos otro escaneo mas exhaustivo de los puertos encontrados, para saber mas información acerca de que servicios corren en dichos puertos.

Descripción de los parámetros:

• -p : Escanea los puertos especificados.
• -sC : Lanza varios scripts defaults de nmap.
• -sV : Determina los servicios que están corriendo en los puertos además de información extra.
• IP : La IP que queremos escanear.
• -oN : Guarda la salida en el formato de nmap.

2. Recolección de información

Al abrir la pagina web, encontramos un convertidor de video, vamos a interceptar una petición para ver como se manda esa petición y ver si podemos manipularla.

Con el complemente FoxyProxy, hacemos que las peticiones pasen por nuestro BurpSuite.

Lo mandamos al Repeater (Ctrl +R), para poder trabajar mas cómodo con la petición. Probamos ha ejecutar un comando simple.

Y tenemos ejecución de comandos.

Al intentar lanzar una reverse shell, no se ejecuta el comando, y esto es debido a los espacios que contiene el one liner.

Cambiamos los espacios por una variable de entorno llamada ${IFS} y ya podemos ejecutar comandos con espacios, pero seguimos sin poder ejecutar one liner, vamos a subir un archivo y ejecutarlo desde la propia maquina.

3. Ganando acceso a la maquina

Descargamos una reverse shell php

Ahora, configuramos la reverse shell con nuestra IP y Puerto, y la subimos a la maquina mediante wget.

Antes de ello levantamos un servidor con python para poder descargar la reverse shell en la maquina victima.

Y recibimos un get en nuestro servidor de python, ahora nos queda ejecutar la reverse shell en la maquina victima.

No antes ponernos en escucha con la herramienta nc por el puerto colocado en la reverse shell. Y ejecutamos el archivo.

Descripción de los parámetros:

• -n : Solo direcciones de IP numéricas.
• -I : Modo de escucha, para conexiones entrantes.
• -v : Muestra información por pantalla.
• -p : Numero del puerto.
• PUERTO : El puerto que se pondrá en escucha.

Y estamos dentro de la maquina. [16]

Tratamiento de la TTy

4. Escalando privilegios

Enumerando el sistema vemos que hay un archivo .sh

Y podemos manipularlo

Vamos a añadirle una línea para darle permiso SUID a la /bin/bash y ver si lo ejecuta root.

Ahora esperamos a ver si root lo ejecuta. Y si root ejecuta ese script, dándonos permiso SUID a la /bin/bash.

Ahora con un simple bash -p, nos dara una shell temporal como root.

Y somos root.

También mediante el ttl, podemos saber que sistema operativo esta usando. En este caso el ttl es de 63, uno menos que el que usa realmente Linux (64), esto se debe a los nodos intermediarios que lo disminuyen en 1.

1. Escaneo de Puertos

Realizaremos el primer escaneo de puertos con la herramienta nmap, para saber que puertos están abierto.

Descripción de los parámetros:

• -p- : Escanea los puertos especificados, en este caso escanea los 65535 puertos.
• –open : Muestra solo los puertos abiertos.
• -sS : Escanea mediante TCP SYN.
• –min-rate : Envía paquetes no mas lentos que el número indicado por segundo en nuestro caso 5000.
• -Pn : Omite el descubrimiento de host.
• -n : No realiza resolución DNS.
• -vvv : Muestra la información mientras se esta realizando el escaneo.
• IP : La IP que queremos escanear.
• -oG : Guarda la salida del escaneo en un formato grepeable.

A continuación realizamos un escaneo mas exhaustivo con los puertos encontrados.

Descripción de los parámetros:

• -p : Escanea los puertos especificados.
• -sC : Lanza varios scripts defaults de nmap.
• -sV : Determina los servicios que están corriendo en los puertos además de información extra.
• IP : La IP que queremos escanear.
• -oN : Guarda la salida en el formato de nmap.

2. Recolección de Información

Antes de abrir el navegador lanzamos la herramienta whatweb, para saber la versión y las tecnologías que utiliza la pagina web.

Al pinchar en A dog/ A cat, podemos ver en la url una posible vía de ataque.

Tras intentar un LFI básico, vemos que nos salta el siguiente error.

Buscamos en internet algún Wrapper para ver si podemos ver algún archivo. Encontramos algo en PayloadAllTheThing. Probamos el Wrapper y nada, parece ser que tiene que tener la palabra dog en la url.

Probamos varias cosas, y tenemos LFI en base64 .

Decodificamos el base64 en nuestra maquina y podemos ver el index.php.

Tras analizarlo, vemos que coloca una extensión .php si no le indicamos ninguna.

Vamos a ver si podemos ver el log de apache, para intentar realizar un log poisoning.

Gracias a analizar el código, podemos prescindir de codificar el código y mostrar por la web los archivos, donde podemos ver el log de apache.

Abrimos burpsuite para realizar un log poisoning. Una vez abierto el Burpsuite, interceptamos una petición. Y modificamos el User-Agent, introduciéndole un comando php, para poder ejecutar comandos desde la web.

Al mandar la petición y ver la respuesta del servidor vemos que podemos ejecutar comandos.

3. Ganando acceso a la maquina

Una vez vemos que tenemos ejecución de comandos, buscamos una reverse shell one-liner, y la ejecutamos.

IMPORTANTE: URL-ENCODEAR la reverse shell one-liner

Tenemos una shell remota.

Tratamiento de la TTy

4. Escalando privielgios

Hemos ganado acceso a un contenedor, no a la maquina.

Enumeramos un poco el sistema y vemos que tenemos un permiso sudo

Buscamos en la pagina GTFOBINS, como poder escalar privilegios y somos root del contenedor.

Tras enumerar y buscar en el sistema vemos en la carpeta /opt una carpeta /backups, que contiene un script llamado backup.sh. Vamos ha intentar alterar el script y ver si conseguimos una reverse shell fuera del contenedor.

Nos volvemos a poner en escucha y esperamos un rato. Y somos root de la maquina principal.

A parte de saber si tenemos conexión con la maquina podemos deducir que sistema operativo tiene, mediante el TTL. En este caso el TTL es de 63, siendo del sistema operativo Linux, pero realmente el TTL de el sistema operativo Linux es 64, Esto se debe a que pasa por varios nodos intermediarios, reduciendo el TTL, en este caso restándole 1.

1. Escaneo de puertos.

Ahora procedemos a escanear los puertos y servicios que tiene la maquina expuesto. Lanzaremos la herramienta nmap para saber que puertos están abiertos.

Descripción de los parámetros:

• -p- : Escanea los puertos especificados, en este caso escanea los 65535 puertos.
• –open : Muestra solo los puertos abiertos.
• -sS : Escanea mediante TCP SYN.
• –min-rate : Envía paquetes no mas lentos que el número indicado por segundo en nuestro caso 5000.
• -Pn : Omite el descubrimiento de host.
• -n : No realiza resolución DNS.
• -vvv : Muestra la información mientras se esta realizando el escaneo.
• IP : La IP que queremos escanear.
• -oG : Guarda la salida del escaneo en un formato grepeable.

Una vez terminado el escaneo, lanzaremos otro escaneo mas exahustivo para saber que servicios corren en los puertos encontrados.

Una vez terminado los escaneo pasaremos a investigar y recolectar información para realizar el ataque.

2. Recolección de información.

Tras investigar un poco por la pagina no encontramos nada interesante. Lanzaremos la herramienta Gobuster para Fuzzear rutas ocultas.

Descripción de los parámetros:

• dir : Utiliza el modo de enumeración de directorios/archivos.
• -u : Le indicamos que le vamos a pasar una url.
• URL : La url objetivo.
• -w : Le indicamos que vamos a usar un diccionario.
• /PATH/ : Le indicamos la ruta del diccionario a usar.
• -t 50 : Le indicamos el numero de peticiones hacia el servidor.
• –no-error : No muestra errores por pantalla.
• -z : No muestra la barra de progresos por pantalla.
• -o : Guarda la salida en un archivo.

Nos metemos en la ruta /IMG y vemos 3 fotos, vamos a descargar esas fotos y verlas mas en detalle.

Con la herramienta steghide podemos ver si contiene algún archivo oculto en la imagen.

Descripción de los parámetros:

• extract : Extrae los datos.
• -sf : Escribe el resultado en un fichero con el mismo nombre.

Tenemos un archivo oculto («hint.txt»)

Al ver el contenido del archivo nos indica una posible ruta web.

Al mirar el código fuente vemos unas posibles credenciales.

3. Ganando acceso a la maquina.

Probamos las credenciales con el servicio ssh.

Estamos dentro de la maquina.

4. Escalada de privilegios.

Listamos los permisos sudo que tiene el usuario alice.

Podemos ejecutar como el usuario rabbit el archivo .py que esta en nuestro directorio

Al abrir el archivo, vemos que esta utilizando una librería. Vamos a secuestrar esa librería.

Creamos un archivo igual a la libreria usada y le damos permisos de ejecución.

Al ejecutar el archivo .py, nos convertimos en rabbit.

Ahora que somos rabbit, nos dirigimos a su directorio y vemos un ejecutable con permisos suid.

Al ejecutar el archivo, vemos que esta ejecutando el comando date por detrás. Vamos a intentar secuestras ese comando, ya que si no tiene la ruta absoluta, nos convertiremos en otro usuario o root.

El secuestró es muy similar al que hicimos antes para convertirnos en rabbit.

Creamos un archivo que se llame date y le damos permisos de ejecución, tal y como hicimos con la librería de python.

Una vez creado el archivo date con nuestros comandos, tendremos que modificar el PATH, para que empieze a buscar por el directorio donde se encuentra nuestro archivo.

Al ejecutar el programa, y leer nuestro archivo en vez del comando date, nos lanza una shell como el usuario hatter.

Al dirigirnos a su directorio, vemos un archivo con una posible contraseña. Intentamos conectarnos por ssh con ella.

Y ahora buscamos por capability y vemos que tenemos una capability en perl

Descripción de los parámetros:

-r : Búsqueda recursiva

Buscamos en la pagina GTFOBINS, y vemos que podemos hacer con esa capability.

Tenemos un comando, vamos a ejecutarlo como el usuario hatter.

Y somos root

El ttl es de 63 siendo un sistema operativo Linux, pero realmente el ttl del sistema operativo Linux es de 64, esto se debe a que pasa por varios nodos intermediarios, haciéndole restar al ttl.

1. Escaneo de puertos

Una vez verificado que tenemos conexión con la maquina, realizaremos un escaneo de los puertos con la herramienta nmap.

Al terminar el escaneo y listarnos los puertos, realizaremos un escaneo mas exhaustivo.

2. Recolección de información

Después de escanear los puertos, empezaremos a buscar información relevante. Vemos que tenemos servicio http en el puerto 80, antes de entrar lanzaremos la herramienta whatweb para saber si tiene algún CMS u otro dato importante.

Al entrar en la pagina vemos lo siguiente.

Después de un rato, no encontramos nada de valor, el siguiente paso será realizar FUZZING con la herramienta gobuster.

Nos lista una nueva ruta, si nos dirigimos a ella, vemos una palabra con el color blanco, si vemos el código fuente vemos la palabra vigilante, la anotamos para un futuro.

No encontramos nada mas, vamos a volver a realizar otro FUZZING en esta nueva ruta.

Encontramos otra ruta, y volvemos a ingresar a ella.

En el código fuente podemos ver una pista, una posible extensión .ticket Buscamos con la misma herramienta rutas con la extensión .ticket, y tenemos algo interesante.

Al ingresar a la nueva ruta, podemos ver una especia de contraseña encriptada.

Vamos a utilizar la pagina CyberChef y probar diferentes desencriptadores.

Parece que estaba encriptada en base58.

Tenemos unas posibles credenciales, vamos a utilizaras para entrar al FTP.

Estamos dentro del FTP, y vemos que hay varios archivos, vamos a descargarlo y ver si contiene algo oculto.

Vamos a ver si hay mas directorios en el FTP.

Parece ser que si, tenemos dos posibles usuarios, uno de ellos es vigilante y el otro slade. Al analizar los archivos descargados vemos algo raro.

Vemos un archivo data, pero con extensión .png, vamos a ver los magic numbers de la imagen corrompida.

Parece ser que los magic number están mal puestos, vamos a cambiarlo y ver que contiene la imagen.

Al volver a ver los tipos de archivos, parece que ya se ha arreglado.

La imagen nos da una contraseña.

Vemos si contienen archivos ocultos, las imágenes y probamos la contraseña encontrada.

Tenemos un archivo .zip descomprimimos el .zip.

Nos descomprime dos archivo y uno parece una nueva contraseña y tenemos otro usuario.

3. Ganando acceso a la maquina

Vamos a probar a conectarnos mediante el servicio ssh.

4. Escalando privilegios

Buscamos la flag de usuario y la podemos ver sin problemas.

Ahora toca escalar privilegios, vamos a enumerar el sistema, y vemos que tenemos un permiso sudo.

Vamos a buscar en la pagina GTFOBINS.

Y somos root.

Ya podemos ver la flag de root.

El ttl es de 63 siendo un sistema operativo Linux, pero realmente el ttl de Linux es de 64, esta disminución se debe a que la red tiene varios nodos intermediarios.

1. Escaneo de puertos

Una vez verificada la conexión con la maquina, iniciaremos con el escaneo de puertos, utilizaremos la herramienta nmap.

Descripción de los parámetros:

• -p- : Escanea los puertos especificados, en este caso escanea los 65535 puertos.
• –open : Muestra solo los puertos abiertos.
• -sS : Escanea mediante TCP SYN.
• –min-rate : Envía paquetes no mas lentos que el número indicado por segundo en nuestro caso 5000.
• -Pn : Omite el descubrimiento de host.
• -n : No realiza resolución DNS.
• -vvv : Muestra la información mientras se esta realizando el escaneo.
• IP : La IP que queremos escanear.
• -oG : Guarda la salida del escaneo en un formato grepeable.

Al finalizar el escaneo realizaremos un escaneo mas exhaustivo.

Descripción de los parámetros:

• -p : Escanea los puertos especificados.
• -sC : Lanza varios scripts defaults de nmap.
• -sV : Determina los servicios que están corriendo en los puertos además de información extra.
• IP : La IP que queremos escanear.
• -oN : Guarda la salida en el formato de nmap.

2. Recolección de información

Buscamos si hay algún exploit del protocolo Apache JServer (ajp3).

Descargaremos el exploit, para ver si podemos leer algún archivo.

Descripción de los parámetros:

• -m : Copia el exploit.

Ejecutamos el exploit y vemos una credencial.

3. Ganando acceso a la maquina

Nos conectamos mediante ssh como skyfuck.

4. Escalando privilegios

Con esto podemos buscar la flag del usuario en el directorio merlin.

Vemos que en el directorio, tenemos varios archivos, nos los transferimos a nuestra maquina para poder analizarlo mejor.

Descripción de los parámetros:

• -n : Solo direcciones de IP numéricas.
• -I : Modo de escucha, para conexiones entrantes.
• -v : Muestra información por pantalla.
• -p : Numero del puerto.
• PUERTO : El puerto que se pondrá en escucha.

Una vez transferido, intentamos hashear el archivo tryhackme.asc con la herramienta gpg2john y después crackearlo con la herramienta JohnTheRipper.

Nos da una contraseña para el usuario merlin, y este usuario tiene un permiso sudo de la herramienta zip, para ello utilizaremos la pagina GTFOBINS.

Y somos root.

En este caso el ttl nos da 63 siendo una maquina Linux, pero realmente el sistema operativo Linux tiene un ttl de 64, esto se debe a los nodos intermediarios que tiene la red.

1. Escaneo de puertos

Una vez verificado que tenemos conexión con la maquina, realizaremos un escaneo de los puertos con la herramienta nmap.

Descripción de los parámetros:

• -p- : Escanea los puertos especificados, en este caso escanea los 65535 puertos.
• –open : Muestra solo los puertos abiertos.
• -sS : Escanea mediante TCP SYN.
• –min-rate : Envía paquetes no mas lentos que el número indicado por segundo en nuestro caso 5000.
• -Pn : Omite el descubrimiento de host.
• -n : No realiza resolución DNS.
• -vvv : Muestra la información mientras se esta realizando el escaneo.
• IP : La IP que queremos escanear.
• -oG : Guarda la salida del escaneo en un formato grepeable.

Una vez finalizado este escaneo realizaremos un escaneo mas exhaustivo.

Descripción de los parámetros:

• -p : Escanea los puertos especificados.
• -sC : Lanza varios scripts defaults de nmap.
• -sV : Determina los servicios que están corriendo en los puertos además de información extra.
• IP : La IP que queremos escanear.
• -oN : Guarda la salida en el formato de nmap.

2. Recolección de información

Vamos a empezar a buscar información por el puerto 80, donde corre un servicio http.

Vemos que es una pagina apache, realizamos una búsqueda de información y no vemos nada, vamos a realizar para ver rutas ocultas.

Descripción de los parámetros:

• dir : Utiliza el modo de enumeración de directorios/archivos.
• -u : Le indicamos que le vamos a pasar una url.
• URL : La url objetivo.
• -w : Le indicamos que vamos a usar un diccionario.
• /PATH/ : Le indicamos la ruta del diccionario a usar.
• -t 50 : Le indicamos el numero de peticiones hacia el servidor.
• –no-error : No muestra errores por pantalla.
• -z : No muestra la barra de progresos por pantalla.
• -o : Guarda la salida en un archivo.

Vemos que hay una ruta llamada /content al acceder a ella vemos lo siguiente.

Volvemos a realizar otro fuzzing para ver si contiene rutas ocultas.

Y vemos algunas rutas interesantes, vemos que la ruta /as es un panel login, donde nos pide credenciales, vamos a analizar todas las rutas en busca de información.

Vemos que hay un archivo backup de msql.

Al descargarlo y abrirlo, podemos ver credenciales.

Vamos a intentar a crackear la contraseña en la pagina crackstation, y parece ser que si se puede.

Probamos las credenciales encontradas en el panel login y estamos dentro del panel del CMS.

3. Ganando acceso a la maquina

Ahora investigando el CMS, vemos que en el apartado ads podemos escribir, vamos a insertar una reverse shell, y buscar el archivo.

Vemos que nuestra reverse shell se encuentra en la siguiente ruta.

Ahora simplemente nos ponemos en escucha con la herramienta nc.

Descripción de los parámetros:

• -n : Solo direcciones de IP numéricas.
• -I : Modo de escucha, para conexiones entrantes.
• -v : Muestra información por pantalla.
• -p : Numero del puerto.
• PUERTO : El puerto que se pondrá en escucha.

Y listo estamos dentro de la maquina.

Tratamiento de la TTy

4. Escalando privielgios

Lo primero que haremos será buscar la flag del usuario y la podemos ver sin problemas.

Ahora vamos a escalar privilegios, realizaremos una enumeración del sistema y vemos que podemos ejecutar un script en perl como sudo.

Al analizar lo que hace el backup.pl.

Vemos que llama a otro archivo en el que podemos modificarlo.

Lo modificamos dándole permisos SUID a la /bin/bash.

Lanzamos el comando como sudo y tenemos la /bin/bash con permisos SUID.

Ahora simplemente lanzamos un bash -p y seremos root.

En este caso el ttl es de 63 siendo un sistema operativo linux, pero realmente el ttl del sistema Linux es de 64, esta disminución es debido a los nodos intermediarios que tiene la red.

1. Escaneo de puertos

Una vez tenemos conexión con la maquina, lanzaremos un escaneo con la herramienta nmap.

Descripción de los parámetros:

• -p- : Escanea los puertos especificados, en este caso escanea los 65535 puertos.
• –open : Muestra solo los puertos abiertos.
• -sS : Escanea mediante TCP SYN.
• –min-rate : Envía paquetes no mas lentos que el número indicado por segundo en nuestro caso 5000.
• -Pn : Omite el descubrimiento de host.
• -n : No realiza resolución DNS.
• -vvv : Muestra la información mientras se esta realizando el escaneo.
• IP : La IP que queremos escanear.
• -oG : Guarda la salida del escaneo en un formato grepeable.

Una vez finalizado el escaneo, realizaremos un escaneo un poco mas exhaustivo.

Descripción de los parámetros:

• -p : Escanea los puertos especificados.
• -sC : Lanza varios scripts defaults de nmap.
• -sV : Determina los servicios que están corriendo en los puertos además de información extra.
• IP : La IP que queremos escanear.
• -oN : Guarda la salida en el formato de nmap.

2. Recolección de información

Lo primero que vemos es el servicio FTP, donde no contiene nada de interés, el siguiente servicio es HTTP, vamos a entrar a la pagina a ver que contiene, y vemos que es una pagina default de apache Vamos a utilizar la herramienta gobuster para descubrir nuevas rutas.

Descripción de los parámetros:

• dir : Utiliza el modo de enumeración de directorios/archivos.
• -u : Le indicamos que le vamos a pasar una url.
• URL : La url objetivo.
• -w : Le indicamos que vamos a usar un diccionario.
• /PATH/ : Le indicamos la ruta del diccionario a usar.
• -t 50 : Le indicamos el numero de peticiones hacia el servidor.
• –no-error : No muestra errores por pantalla.
• -z : No muestra la barra de progresos por pantalla.
• -o : Guarda la salida en un archivo.

Vemos una ruta llamada /joomla, donde volveremos a realizar un escaneo de nuevas rutas y hemos encontrado algunas rutas interesantes.

Analizamos la ruta _test, y vemos que nos dirige a un sitio que tiene sar2html.

Investigando en ella vemos que al seleccionar un sistema operativo, en la url podemos intentar un RCE.

Al listar los archivos del directorio, vemos que hay un archivo llamado log.txt.

Al ver el contenido del archivo vemos unas credenciales, donde podríamos utilizarla para la sesión de ssh.

3. Ganando acceso a la maquina

4. Escalando privilegios

Realizaremos una enumeración del sistema, y vemos que tenemos buscando permisos SUID, tenemos permiso SUID en el comando find.

Descripción de los parámetros:

• -perm : Le indicamos que vamos a buscar permisos.
• -u=s : le indicamos que vamos a buscar permisos de usuario setuid.
• 2>/dev/null : Mandamos los errores al /dev/null.

Vamos a buscarlo en la pagina GTFOBINS, por el comandos find y vemos que tenemos una opción con el permisos SUID.

Y con esto somos ROOT de la maquina.