Introduction

Tu misión

Has sido contratado por UltraTech para poner a prueba su infraestructura. Es un tipo de reto grey-box. La única información que sabes es el nombre de la compañía y la dirección IP de su servidor.

Enumeration Time

1. ¿Qué software está usando el puerto 8081?
2. ¿Qué otro puerto no estándar está siendo usado?
3. ¿Qué software usa ese puerto?
4. ¿Qué distro de GNU/Linux está usándose? Ubuntu. Lo dice en el servicio del puerto 31331.
5. El software usando el puerto 8081 es una api REST, ¿cuántas de sus rutas son usadas por la aplicación web? Son 2, las que se ven ahí.

Let the Fun Begin

1. Hay una base de datos por algún lado, ¿cuál es su filename?
   1. Vamos a la URL de la base de datos.
   2. Vamos a enumerar las páginas de esta URL. Parece que robots.txt está disponible, vamos a mirar a ver qué hay en ella.
   3. Vamos a http:<ip>:31331/robots.txt.
   4. Seguimos los puntos que vamos obteniendo.
   5. En la única que hay algo interesante es en partners.html. Parece que hemos encontrado el área de login.
   6. Vamos a intentar entrar con test:test. Después de trastear un poco con Burp Suite nos damos cuenta de que por aquí no llegamos a ningún lado. Ni siquiera con hydra, no obtenemos ninguna contraseña para los usuarios obtenidos de la primera página:
      • r00t
      • P4c0
      • Sq4l
   7. Por esto volvemos a la página de inicio de sesión a ver si nos hemos dejado algo, vamos a inspeccionar la página. Aquí no parece haber nada, vamos a ver en la sección de red.
   8. Nos metemos en la sección de red de las herramientas de desarrollador. Parece que está llamando a una función, vamos a investigarlo.
   9. Vamos a intentar hacer ping a la máquina localhost del servidor. Pues parece que podemos inyectar comandos.
   10. Vamos a intentar listar archivos. Hemos encontrado el filename.
2. ¿Cuál es el hash de la contraseña del primer usuario?
   1. Vamos a leer el archivo utech.db.sqlite.
   2. Sabemos que hay un usuario llamado r00t gracias a la página principal, por lo que el hash debe ser lo que sigue.
3. ¿Cuál es la contraseña asociada a este hash?
   1. Para crackear la contraseña vamos a ir a CrackStation.

The Root of All Evil

1. ¿Cuáles son los 9 primeros dígitos de la clave privada SSH del usuario root?
   1. Vamos a iniciar sesión por SSH con el usuario y la contraseña que obtuvimos antes.
   2. Miraremos qué comandos podemos utilizar.
   3. No podemos usar sudo -l. Sin embargo, podemos ver, usando el comando id, que estamos en el grupo docker.
   4. Vamos a ver qué imágenes hay.
   5. Vamos a GTFOBins y buscamos docker.
   6. Encontramos una forma de spawnear una shell de root.
   7. Lo ejecutamos. En nuestro caso usamos bash porque era la imagen que estaba disponible.
   8. Buscamos la clave privada SSH y sacamos los primeros 9 caracteres.