Last updated
Verificación con la maquina victima TTL >> 61 = LINUX
Escaneo de puertos con nmap
`nmap -p22,80,33017 -sCV 192.168.221.231 -oN fullscan.txt
Realizo un reconocimiento, como no tengo credenciales no puedo acceder por ssh.
Veo el servidor web que corren tanto en el puerto 80 como en el 33017, con whatweb veo las tecnologías que corren en los servidores.
whatweb 192.168.221.231:33017
whatweb 192.168.221.231
En el puerto 80 veo un panel de sesión.
Dentro de este panel con wappalizer veo las tecnologías también.
Realizo una búsqueda de directorios con feroxbuster.
Me encontró algunas rutas con estados 200.. el mas interesante es el /register.
Dentro de esta web, me creo un usuario random para ver que es lo que puedo realizar.
Realizo la confirmación de la cuenta, esto aparece cuando me logue en el panel de sesión.
Coloco el email pero no tengo respuesta cuando quiero loguearme.
En esta parte utilize burpsuite para ver que es lo que se esta ejecutando que no me deja acceder con mi usuario.
Una vez que capture la respuesta observo que mi username en este caso "PWNED" no me esta confirmando el acceso >>> "confirmed; false".
Para ello dentro del REQUEST modifique La parte donde dice "USER" con la palabra "CONFIRMED", para que esta realice la confirmación de mi USUARIO.
Una vez modificado lo dicho le doy a "SEND" y se puede observar que el apartado "confirmed" paso de "FALSE A TRUE"
Terminado esto, me logueo con las credenciales que cree y puedo acceder sin problemas al sitio web.
Una vez aqui veo que tengo un panel para subir archivos.
Creo una revershell en ruby pero al clickearle lo que me realiza es una descarga del mismo archivo.
ACA VEO QUE HAY UNA BARRA "/" POR lo que creo que esto esta ejecutandose desde la raiz.
Observado la URL veo que se esta ejecutando el parametro file > "archivo" o sea en este caso el archivo es "r.rb".
Cambie la url para ver si puedo leer el /etc/passwd y me resulto exitoso ya que me descargo el fichero.
Tengo un usuario llamado remi que no es poca cosa, como puedo ejecutar comandos, voy a la ruta /home/remi del usuario para ver su contenido.
Lo interesante es que tengo la carpeta .ssh disponible por ende ingreso allí y me topo con una carpeta llamada keys que contiene la id-rsa.
Como puedo acceder a la carpeta ssh voy a crearme mi propia ID_RSA para subirla a la maquina victima ya que también se puede hacer eso.
ssh-keygen -t rsa -b 2048 -f ~/.ssh/id_rsa_victima -q -N ""
Este comando me crea las id_rsa para acceder sin contraseña.
Al la id_rsa_victima.pub la nombro authorized_keys, la cual se va a subir a la carpeta .ssh pero antes se le da permisos 600.
Una vez subido el archivo, me conecto a través del ssh como remi.
Realizo un reconocimiento de la maquina.
Como se vio en la web, en la carpeta .ssh donde se encuentran las id_rsa, había una llamada root.
Me dirijo hacia allí y veo que es una id_rsa, por ende me voy a conectar a través del ssh a la maquina proporcionándole esta id_rsa (root)
Si sale este error agregar:
ROOT.
ssh -i root -o IdentitiesOnly=yes
