Domain - DockerLab

Hola, ¿Que te parece un CTF?

Pero antes, gracias al creador de la maquina "El Pingüino de Mario" y a la comunidad de DockerLabs por hacer esto posible.

Descripción de la maquina.

Enumeración

Empezamos con un nmap

Primero, vamos revisar el servicio web...

Bueno tenemos solo esta pagina, realice un fuzzing pero no obtuve nada interesante.

Así que pasemos a enumerar el servicio Samba, primero, comprobemos si nos podemos autenticar como un usuario nulo.

Pero no fue posible, así que me dispuse a descubrir algunos usuarios del sistema con enun4linux

enum4linux 172.17.0.2 -a

Y efecto, tenemos dos usuarios bob y james.

Fuerza bruta

Aplicaremos fuerza bruta al servicio smb con los usuarios enumerados.

netexec smb 172.17.0.2 -u ../content/users.txt -p /usr/share/wordlists/rockyou.txt --ignore-pw-decoding

Esperamos un poco... Y ahí lo tenemos bob:star, ahora nos autenticamos y vemos los permisos que tenemos.

Vemos que tenemos permisos de escritura el la carpeta html, vamos a conectarnos y ver que contiene.

Interesante, me dispuse a descargar el archivo index.html, para inspeccionarlo y me di cuenta que es la pagina que sirve en el puerto 80:

Así me dispuse a subir un archivo shell.php el cual me estableciera una reverse shell con https://www.revshells.com/

Ahora solo toca subir al archivo shell.php por Samba

Después, nos colocamos en escucha, consultamos el archivo shell.php desde el navegador.

Y eso es todo, por ahora.

Escalada de privilegios

Empecemos enumerando nuevamente los usuarios del sistema, no valla ser que se nos escape uno 🤨

Recordemos que tenemos unas credenciales de bob, vamos a usarlas.

su bob

Excelente, ahora si, explorando el sistema me tope con este permiso SUID

find / -perm -u=s -type f 2>/dev/null

El binario nano, ¿extraño verdad? vamos a ver si podemos abusar de este con ayuda de gtfobins...

Pero no tuve éxito... Pero, teniendo en cuenta que puedo abrir y editar cualquier archivo del sistema como root, ¿podemos editar el archivo /etc/passwd?

Con la finalidad omitir la contraseña de root, ¿Como lo hacemos?

1. Abrimos el archivo /usr/bin/nano /etc/passwd

2. Editamos la linea root:x:0:0:root:/root:/bin/bash y removemos la x, quedando así: root::0:0:root:/root:/bin/bash

3. Ahora solo aplique un su root

Eso es todo.

Fue un placer joven informático, hasta luego!!

---

Referencias

1. h3g0c1v / DockerLabs-Machine-Write-Ups / domain