MAQUINA TORRIJAS(CMS WORDPRESS 6.7.2, WPSCAN PLUGINS 'WP DIRECTORY FREE 1.7.9 LocalFileInclusion PRIVESC bpftrace)
PreviousWriteupsNextMAQUINA FACULTAD (Enum WPSCAN - wordpress UPLOAD RCE WP-FILE-MANAGER - PrivEsc SUDO -L RCE)
Last updated
Last updated
MAQUINA TORRIJAS(CMS WORDPRESS 6.7.2, WPSCAN
PLUGINS 'WP DIRECTORY FREE 1.7.9
LocalFileInclusion'; PRIVESC bpftrace)
Use netdiscover para encontrar la ip a la cual auditar.
La IP es la siguiente: 192.168.0.119
Use NMAP para encontrar los puertos abiertos, sus servicios y las versiones de tales servicios.
La maquina tiene 3 puertos abiertos: el 22 ssh, el 80 http y el mysql 3306.
Ingrese al servidor web para hacer un reconocimiento y posterior buscar información sensible o alguna vulnerabilidad.
Antes de ingresar use whatweb para verificar que tipo de tecnologías corre en la web.
Al revisar la web note que hay un dominio llamado torrijas.thl, dicho dominio lo agregue al
/etc/host.
Continúe buscando directorios ocultos con la herramienta FFUF.
FFUF encontró rutas interesantes, una de ellas es el directorios /wordpress. Ingrese al directorio donde hay un blog indicando que estoy ante un WORDPRESS.
Wappalyzer me identifico ante que versión de wordpress estoy (wordpress 6.7.2.)
Wordpress contiene una ruta donde se aloja un panel de sesión. Probé manualmente dando con el panel de sesión.
Las credenciales por defecto no funcionaron. Decidí ver mas la web y encontre un usuario llamado 'administrador'.
Coloque el nombre administrador como usuario en el panel de sesión y como error me indico que la contraseña es incorrecta.
Otra forma de enumerar usuarios es con WPSCAN.
Luego de intentar por un tiempo encontrar la contraseña del usuario administrator decidí volver a enumerar.
Use FEROXBUSTER para buscar directorios y encontré que en la carpeta /wordpress hay otra subcarpeta llamada /wp-content la cual también tiene otra subcarpeta llamada /plugins.
Vi el código fuente de las webs y no encontré que plugins se esta implementado.
En este caso use WPSCAN indicándole a través de unas opciones que me realice una búsqueda agresiva de los plugins.
Porque use esto? porque WPSCAN al ejecutar la enumeración de plugins básica solamente va realizar una búsqueda muy safe.
Terminado el escaneo note que se están usando 2 plugins: 'akimet y wp-directory-free 1.7.9'
Este plugin contiene como vulnerabilidad un LFI\
**CVE-2024-3673** describe una vulnerabilidad crítica en el plugin Web Directory Fre
.. dejo el siguiente repositorio para el exploit.
Con tal exploit guiándome por el PoC creado, ejecute el script leyendo el /etc/passwd y encontré 2 usuarios.
Usuario 1: primo. Usuario 2: premo. Se observo un hash pero no logre crackearlo.
Con estos usuarios al pertenecer a la maquina y poseer el puerto 22 ssh abierto, lo que hice fue hacer una búsqueda de la contraseña de estos usuarios mediante fuerza bruta.
NCRACK encontró la contraseña de 'premo:cassandra', con tales credenciales las utilice para ingresar mediante SSH.
Dentro de la maquina, liste su contenido mediante un "ls -la" encontrando un archivo llamado
.mysql_history. Tal archivo indica pasos que se han usando anteriormente y se puede ver que esta el usuario 'PRIMO'.
Tiene sentido ya haya una base de datos ya que el puerto 3306 MYSQL esta open.
Realice un reconocimiento por si encontraba cosas interesante como alguna contraseña o algo mas.
En /var/www/html/wordpress en el wp-config.php hay un usuario y una contraseña la base de datos.
Ingrese y solamente encontré el hash del usuario administrator, pero no es la que necesite.
En vez de usar el usuario admin para ingresar al mysql, manualmente coloque credenciales por defecto pero como root.
Y logre acceder.
Ya con esto use lo que estaba guardado en el archivo .mysql_history y di con la contraseña de primo.
Ahora logre el acceso a la maquina siendo el usuario primo.
Busque la forma de escalar privilegios, en este caso use le comando 'sudo -l' y puedo ejecutar como root sin el requerimiento de la contraseña, el binario /usr/bin/bpftrace.
En GTFOBINS encontré la forma de aprovechar dicho binario.
Logre acceder como root.
Para mas información:
