MAQUINA INCLUSION (Fuzz WEB - LFI - Brute Force User - PrivEsc PHP)
Enumeración de puertos y servicios.
nmap -p- --open --min-rate 2000 -n -Pn -sSVC 172.17.0.2 -oN fullscan.txt
Starting Nmap 7.95 ( https://nmap.org ) at 2025-07-05 10:19 -03
Nmap scan report for 172.17.0.2
Host is up (0.0000060s latency).
Not shown: 65533 closed tcp ports (reset)
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 9.2p1 Debian 2+deb12u2 (protocol 2.0)
| ssh-hostkey:
| 256 03:cf:72:54:de:54:ae:cd:2a:16:58:6b:8a:f5:52:dc (ECDSA)
|_ 256 13:bb:c2:12:f5:97:30:a1:49:c7:f9:d0:ba:d0:5e:f7 (ED25519)
80/tcp open http Apache httpd 2.4.57 ((Debian))
|_http-server-header: Apache/2.4.57 (Debian)
|_http-title: Apache2 Debian Default Page: It works
MAC Address: 02:42:AC:11:00:02 (Unknown)
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel Búsqueda de directorios con nmap.
nmap -p80 --script=http-enum.nse 172.17.0.2 -oN escaneo-directorio.txt
PORT STATE SERVICE
80/tcp open http
| http-enum:
|_ /shop/: Potentially interesting folder
MAC Address: 02:42:AC:11:00:02 (Unknown)Verificación de tecnologías.
En la parte inferior izquierda de la web se encuentra un error que mediante una petición GET se toma como parámetro la palabra ARCHIVO.
En estos casos una vulnerabilidad LFI seria una de las opciones.
Como no tengo ninguna extensión .php definida en la url, pase a buscar sub directorios alojados dentro del directorio /shop/
La herramienta feroxbuster encontró una ruta que index.php, en este caso al tener ya la ruta .php y un parámetro llamado archivo usando FFuF y una wordlist busque si es posible leer archivos internos del sistema.
Al leer el /etc/passwd, note 2 usuarios del sistema, manchi y seller.
Como no se puede ver la id_rsa de cada uno, opte usar fuerza bruta para sacar la password.
Se logro dar con la password de manchi, ahora mediante ssh ingreso dentro de la maquina, luego allí realice la enumeración correspondiente.
Como tengo el usuario seller, lo que intente fue buscar alguna password de este usuario para poder moverme lateralmente a ese usuario.
Agote todas las rutas de escalada como sudo, SUID, cronjobs, exploits, etc. por lo que me quedo hacer fuerza bruta localmente para dar con la password de SELLER.
Al no tener wget ni get use scp para trasladarme 2 archivos, el script de FB y el rockyou.
Con éxito di con la password correcta y logre acceso como seller, luego al ejecutar el comando sudo -l vi que binario vulnerable.
Root
Last updated