> For the complete documentation index, see [llms.txt](https://1gnotus.gitbook.io/ignotus_pwn/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://1gnotus.gitbook.io/ignotus_pwn/thehacklabs/writeups/maquina-facultad-enum-wpscan-wordpress-upload-rce-wp-file-manager-privesc-sudo-l-rce.md).
# MAQUINA FACULTAD (Enum WPSCAN - wordpress UPLOAD RCE WP-FILE-MANAGER - PrivEsc SUDO -L RCE)
MAQUINA FACULTAD
Con la netdiscover identifique la ip de la maquina victima.
```
netdiscover -i eth0 -r 192.168.0.0/24
```
Hago un escaneo de puertos, servicios y sus versiones con nmap.
```
nmap -A -p- --open -T5 192.168.0.197 -oN fullService.txt
```
En el puerto 80 corre un servidor apache versión 2.4.64. Use whatweb para identificar las tecnologías que están corriendo en la aplicación web.
En la pagina inicial de la web no encontré nada interesante, por lo que pase a buscar directorios ocultos con FUFF.
```
ffuf -u http://192.168.0.197/FUZZ -w /usr/share/wordlists/seclists/Discovery/Web-Con
```
En el directorio /education se aloja un CMS Wordpress versión 6.7.1 , la web se ve desprolija así que agrego a mi /etc/host el dominio que encontré "facultad.thl".
Como estoy ante un wordpress busque el directorio wp-admin, wp-login, etc.
```
ffuf -u http://facultad.thl/education/FUZZ -w /usr/share/wordlists/seclists/Discover
```
Dentro de directorio /wp-admin esta en panel de sesión, como no encontré credenciales por defecto use la herramienta WPSCAN para realizar una enumeraron de plugin vulnerables, usuarios y mas.
```
wpscan --url http://facultad.thl/education --enumerate u,vp
```
WPSCAN me identifico un usuario llamado 'facultad', con la misma herramienta realice fuerza bruta para encontrar la contraseña del usuario.
```
wpscan --url http://facultad.thl/education --username facultad --password /usr/share
```
Al cabo de un tiempo encontró la contraseña siendo: asdfghjkl.
Me dirijo al panel de sesión, coloco las credenciales e ingreso con éxito al panel de wordpress.
Luego de hacer un reconocimiento del worpress observe que hay una carpeta con nombre WP-FILE-MANAGER que no me reconocí la cual me llamo la atención.
En searchsploit encontré algunas vulnerabilidades para aprovechar o para poder usar, pero como observe que la carpeta contiene archivos del mismo wordpress.
Lo interesante es que puedo subir archivos php, lo que me resulto extraño ya que puedo crear un revershell y obtener una conexión con mi maquina.
Paso a realizar lo dicho anteriormente, creo una revershell en php y la subo a la maquina.
Luego en otra terminal me pongo a la escucha en el puerto donde cree la revershell y ejecuto la revershell.
Dentro de la maquina estoy como usuario www-data por lo que realizo otro reconocimiento, donde encontré 2 usuarios Gabri y Vivian.
Al ejecutar sudo -l vi que 'Gabri' puede ejecutar /usr/bin/php sin contraseñas.
Busque contenidos que se asocien a Gabri con el comando find, donde me mostro cosas en las siguientes rutas.
```
find / -user gabri 2>/dev/null
```
Leí el contenido del archivo de texto donde se aloja una cadena de texto codificada en BRAINFUCK la cual decodifique con la siguiente herramienta.
```
https://md5decrypt.net/en/Brainfuck-translator/
```
Esta contraseña pertenece a Vivian, así que usando el ssh me logueo a este usuario.
Al ejecutar un sudo -l me muestra que esta ejecutando un script en /var/mail, cuando lo leo al script me muestra un #!/bin/bash y blablabla..
Modifique este script colocándole una shell reversa a mi maquina. Como lo puedo ejecutar usando sudo me va a devolver la revershell como root.
Me pongo a la escucha con netcat en el puerto 4444, le doy permiso de ejecución al script y lo ejecuto como sudo.