# MAQUINA CHANGELOG (BRUTE FORCE USER + PRIV ESC 'NANO')

Realice un escaneo de puertos, servicios y vulnerabilidades de la ip victima.

<figure><img src="/files/qKNYzseGyvw7QT7NX6hN" alt=""><figcaption></figcaption></figure>

<figure><img src="/files/c6Ej5X3eyELcYmWev33f" alt=""><figcaption></figcaption></figure>

<figure><img src="/files/Wbn3LeYhFVDnytkTfRjN" alt=""><figcaption></figcaption></figure>

Una vez que termino el escaneo de la herramienta al verificar los puertos tengo 3 puertos abiertos.

A) 80 HTTP\
B) 3000 HTTP donde corre un node.js\
C) 5000 SSH

Desde ya como no tengo credenciales el puerto 5000 lo dejamos de un lado hasta conseguir unas validas, así que me dirijo al servicio web.

En el escaneo veo que me encontró una ruta llamada /backend/ asi que luego de hacer un reconocimiento básico voy a ingresar allí.

Con whatweb voy a ver las tecnologías que corren el el sitio web, y luego lo mismo con la extensión llamada wappalyzer.

<figure><img src="/files/fSWSpoPmzaOdDvh76kME" alt=""><figcaption></figcaption></figure>

<figure><img src="/files/HHyN1mAG6uEUAthjJTyf" alt=""><figcaption></figcaption></figure>

Puedo ver que wappalyzer me brindo mas información que whatweb, esto es crucial ya que como tengo leguajes java y php puedo realizar fuerza bruta en busca de directorios ocultos con estas extensiones y demas.

La web contiene lo siguiente.

<figure><img src="/files/QZCGGC0tTzG8Y6IdfGVF" alt=""><figcaption></figcaption></figure>

Al ver el codigo fuente obtengo esto:

<figure><img src="/files/LVm9CQSzh8AvIfnmdvJC" alt=""><figcaption></figcaption></figure>

Al parecer esta sección de autenticación si le doy click me va a llevar a otro sitio con mas info.

<figure><img src="/files/XsNqMsUgfdxuWWnQpyPx" alt=""><figcaption></figcaption></figure>

Esta ruta me indica que el token de recutso es tokentraviesito por lo que a esto lo voy a guardar en mis apuntes.

Luego de realizar un reconocimiento de la web y no encontrar mas que solo esto, paso a buscar directorios ocultos para ellos use la herramienta feroxbuster.

<figure><img src="/files/zyeMHlyPB09RIJ8RE7gP" alt=""><figcaption></figcaption></figure>

<figure><img src="/files/N2lYvAy5E3ujmV6DxCgA" alt=""><figcaption></figcaption></figure>

Esta herramienta me encontró un listado bastante grande donde al principio luego de terminar de buscar por todas las direcciones me tope con esto.

<figure><img src="/files/UO8VQlApVfuW4fn1ijHr" alt=""><figcaption></figcaption></figure>

Según el informe del escaneo de vulnerabilidades esta ruta backend era interesante, ahora veo porque.. me tope con lo que podría ser una password.

Para obtener esto sin realizar un escaneo de directorios con curl realizando un método post puedo obtener la contraseña.

<figure><img src="/files/l3qr9ieQAKZDDwo3Mihk" alt=""><figcaption></figcaption></figure>

Ahora al tener esta contraseña y tener el puerto 5000 donde corre el ssh abierto voy a tratar de ingresar con el usuario traviesito y backup (porque por ahí dice backup en la password xD).

<figure><img src="/files/hHtKyyRxyI1UDUeGTRU7" alt=""><figcaption></figcaption></figure>

<figure><img src="/files/ZfK5ktCuDOqgTTRpm3DD" alt=""><figcaption></figcaption></figure>

Crackmapexec no me valido ninguna de las 2 así que a seguir probando.

Como no tengo ningún usuario voy a realizar fuerza bruta con hydra para ver si en algún diccionario encuentro el usuario.

<figure><img src="/files/cOTl4Ud0qJejJJ4QEJds" alt=""><figcaption></figcaption></figure>

Hydra me encontró un usuario llamado lovely asi que me cree una herramienta para validar las credenciales.

<figure><img src="/files/Vvgv6oSoonomJDMCHal8" alt=""><figcaption></figcaption></figure>

Ahora inicio sesion y me logue como usuario lovely ya logueado busco la manera de escalar privilegios para ser root.

Luego de un reconocimiento leeo el historial y puedo notar que se ejecuto el comando sudo -l

<figure><img src="/files/npOaPr7p34PVLJCLpNpm" alt=""><figcaption></figcaption></figure>

Así que ejecuto el sudo -l y tengo un binario llamado "nano" el cual puedo ejecutarlo como root ya que no requiere password.

<figure><img src="/files/yXdUScSGQeWyi3u2ybNj" alt=""><figcaption></figcaption></figure>

Para abusar de este binario lo que hay que hacer es ejecutarlo: "sudo /usr/bin/nano"

<https://www.hackingtruth.in/2023/01/sudo-nano-privilege-escalation.html>

Luego apretamos CONTROL + R

<figure><img src="/files/Cs9s30UcA7xMVsWQ51Fk" alt=""><figcaption></figcaption></figure>

Seguido de CONTROL + X

<figure><img src="/files/wL9YMJXeEEeZrHWAk7Cd" alt=""><figcaption></figcaption></figure>

Ahora coloco: reset; sh 1>&0 2>&0

<figure><img src="/files/PVCmzPvu1maSbhTawC3b" alt=""><figcaption></figcaption></figure>

Le doy enter y cuando vea que dice executing le doy CONTROL + C.

<figure><img src="/files/v1Vc99rt47tcoeQ6ab4N" alt=""><figcaption></figcaption></figure>

Limpio la pantalla con clear y veo ya soy estoy ejecutando comandos como root.

<figure><img src="/files/9C5KCaetLio1ENJjFwEa" alt=""><figcaption></figcaption></figure>


---

# Agent Instructions: Querying This Documentation

If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter:

```
GET https://1gnotus.gitbook.io/ignotus_pwn/dockerlabs/writeup/maquina-changelog-brute-force-user-+-priv-esc-nano.md?ask=<question>
```

The question should be specific, self-contained, and written in natural language.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.