# MAQUINA FACULTAD (Enum WPSCAN - wordpress UPLOAD RCE WP-FILE-MANAGER - PrivEsc SUDO -L RCE)
MAQUINA FACULTAD
Con la netdiscover identifique la ip de la maquina victima.
```
netdiscover -i eth0 -r 192.168.0.0/24
```
Hago un escaneo de puertos, servicios y sus versiones con nmap.
```
nmap -A -p- --open -T5 192.168.0.197 -oN fullService.txt
```
En el puerto 80 corre un servidor apache versión 2.4.64. Use whatweb para identificar las tecnologías que están corriendo en la aplicación web.
En la pagina inicial de la web no encontré nada interesante, por lo que pase a buscar directorios ocultos con FUFF.
```
ffuf -u http://192.168.0.197/FUZZ -w /usr/share/wordlists/seclists/Discovery/Web-Con
```
En el directorio /education se aloja un CMS Wordpress versión 6.7.1 , la web se ve desprolija así que agrego a mi /etc/host el dominio que encontré "facultad.thl".
Como estoy ante un wordpress busque el directorio wp-admin, wp-login, etc.
```
ffuf -u http://facultad.thl/education/FUZZ -w /usr/share/wordlists/seclists/Discover
```
Dentro de directorio /wp-admin esta en panel de sesión, como no encontré credenciales por defecto use la herramienta WPSCAN para realizar una enumeraron de plugin vulnerables, usuarios y mas.
```
wpscan --url http://facultad.thl/education --enumerate u,vp
```
WPSCAN me identifico un usuario llamado 'facultad', con la misma herramienta realice fuerza bruta para encontrar la contraseña del usuario.
```
wpscan --url http://facultad.thl/education --username facultad --password /usr/share
```
Al cabo de un tiempo encontró la contraseña siendo: asdfghjkl.
Me dirijo al panel de sesión, coloco las credenciales e ingreso con éxito al panel de wordpress.
Luego de hacer un reconocimiento del worpress observe que hay una carpeta con nombre WP-FILE-MANAGER que no me reconocí la cual me llamo la atención.
En searchsploit encontré algunas vulnerabilidades para aprovechar o para poder usar, pero como observe que la carpeta contiene archivos del mismo wordpress.
Lo interesante es que puedo subir archivos php, lo que me resulto extraño ya que puedo crear un revershell y obtener una conexión con mi maquina.
Paso a realizar lo dicho anteriormente, creo una revershell en php y la subo a la maquina.
Luego en otra terminal me pongo a la escucha en el puerto donde cree la revershell y ejecuto la revershell.
Dentro de la maquina estoy como usuario www-data por lo que realizo otro reconocimiento, donde encontré 2 usuarios Gabri y Vivian.
Al ejecutar sudo -l vi que 'Gabri' puede ejecutar /usr/bin/php sin contraseñas.
Busque contenidos que se asocien a Gabri con el comando find, donde me mostro cosas en las siguientes rutas.
```
find / -user gabri 2>/dev/null
```
Leí el contenido del archivo de texto donde se aloja una cadena de texto codificada en BRAINFUCK la cual decodifique con la siguiente herramienta.
```
https://md5decrypt.net/en/Brainfuck-translator/
```
Esta contraseña pertenece a Vivian, así que usando el ssh me logueo a este usuario.
Al ejecutar un sudo -l me muestra que esta ejecutando un script en /var/mail, cuando lo leo al script me muestra un #!/bin/bash y blablabla..
Modifique este script colocándole una shell reversa a mi maquina. Como lo puedo ejecutar usando sudo me va a devolver la revershell como root.
Me pongo a la escucha con netcat en el puerto 4444, le doy permiso de ejecución al script y lo ejecuto como sudo.
---
# Agent Instructions: Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter:
```
GET https://1gnotus.gitbook.io/ignotus_pwn/thehacklabs/writeups/maquina-facultad-enum-wpscan-wordpress-upload-rce-wp-file-manager-privesc-sudo-l-rce.md?ask=
```
The question should be specific, self-contained, and written in natural language.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.