Stranger - DockerLab

Hola lector,

Es un gusto verlo por aquí, ¿le puedo ofrecer un CTF?

Pero antes, gracias al creador de la maquina kaikoperez y a la comunidad de DockerLabs por hacer esto posible.

Descripción de la maquina.

Enumeración

Empecemos con un escaneo de puertos y servicios con nmap

Verifique si tenia acceso al servicio ftp con un usuario anonymous, pero no.

Después me pase con el servicio http.

"Welcome mwheeler!!", me la la impresión que mwheeler es un usuario 🤨, continuemos con un fuzzing en busca de directorios o archivos.

gobuster dir -u http://172.17.0.2/ -w /usr/share/wordlists/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt -x php,txt,html -t 50

Ok, vamos a visitarlo...

Buenoo, no hay mucho que hacer aquí, así que me dispuse a realizar otro fuzzing bajo el actual directorio.

gobuster dir -u http://172.17.0.2/strange/ -w /usr/share/wordlists/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt -x php,txt,html -t 50

Ah interesante, veamos el archivo private.txt

Bueno, claramente no es legible, continuemos con secret.html

Tenemos una pista, ¿no crees?

Fuerza bruta

Vamos a hacerlo con hydra, al servicio ftp, claro.

hydra -l admin -P /usr/share/wordlists/rockyou.txt ftp://172.17.0.2 -t 15

Y tenemos una credenciales validas, vamos a entrar...

Observamos que solo tenemos un archivo llamado private_key.pem, lo tomamos prestado y ya.

Continuamos...

La verdad es que no sabia que hacer, así que solo leí un write-up con la esperanza de encontrar algo nuevo...

La respuesta es openssl, podemos desencriptar el contenido de private.txt con la llame .pem, así que vamos a hacerlo.

openssl rsautl -decrypt -in private.txt -out privateOUT.txt -inkey private_key.pem

Bien, el contenido de private.txt era "demogorgon", ¿Puedes ser una contraseña?

Intente acceder por ssh con los siguientes usuarios y la contraseña "demogorgon".

mwheeler
will
admin

Hasta que obtuve respuesta del usuario mwheeler

Escalada de privilegios

Dentro de la maquina termine de enumerar los usuarios del sistema.

Después, explorando los procesos me tope con esto.

Echemos un vistazo a los permisos del archivo, quizás podamos hacer algo.

Y bueno, tenemos permisos de escritura, que le parece agregar una linea al backup.sh para que root otorgue permisos SUID a la /bin/bash

Vamos...

vim /usr/local/bin/backup.sh

Eso fue todo, me paso a retirar... Con su permiso caballero.

---

Referencias

1. Quokka - DockerLabs/Stranger