> For the complete documentation index, see [llms.txt](https://brias.gitbook.io/brias/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://brias.gitbook.io/brias/dockerlabs/dificultad-facil/balulero.md).
# Balulero
### **1. Despliegue de la máquina**
#### **1.1. Descarga**
Accedemos a la web oficial de [DockerLabs](https://dockerlabs.es/), buscamos la máquina **Balulero** y pulsamos el botón de descarga.
Esto nos redirige a un enlace de Mega, desde donde descargamos un archivo comprimido que incluye tanto la imagen de la máquina como el script necesario para su ejecución.
#### **1.2. Descompresión**
Utilizamos la herramienta `7z` para extraer el contenido del archivo comprimido `balulero.zip`:
```bash
7z x balulero.zip
```
#### **1.3. Ejecución**
Ejecutamos el script `auto_deploy.sh` para levantar la máquina en Docker, pasando como argumento el archivo `balulero.tar`:
```bash
bash auto_deploy.sh balulero.tar
```
### **2. Reconocimiento**
#### **2.1. Verificación de conectividad**
Realizamos un `ping` a la dirección IP de la máquina (`172.17.0.2`) para confirmar que está activa:
```bash
ping -c 1 172.17.0.2
```
#### **2.2. Escaneo de puertos**
Realizamos un escaneo rápido con `nmap` para identificar puertos abiertos:
```bash
nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 172.17.0.2 -oG allPorts
```
**Explicación de los parámetros:**
* `-p-`: Escanea todos los puertos TCP, del 1 al 65535.
* `--open`: Muestra solo los puertos que están abiertos, omitiendo los cerrados o filtrados.
* `-sS`: Realiza un escaneo SYN (stealth scan) que no completa la conexión TCP.
* `--min-rate 5000`: Fuerza una velocidad mínima de 5000 paquetes por segundo, acelerando el escaneo.
* `-vvv`: Activa el nivel máximo de verbosidad, mostrando información detallada del proceso.
* `-n`: Evita la resolución DNS, usando solo direcciones IP.
* `-Pn`: Omite la detección de host activo, asumiendo que el host está disponible.
* `-oG allPorts`: Guarda los resultados del escaneo en formato Grepable en el archivo `allPorts`.
**Puertos abiertos identificados:**
* **Puerto 22:** `SSH`.
* **Puerto 80:** `HTTP`.
#### **2.3. Escaneo detallado**
Realizamos un escaneo más exhaustivo para obtener información adicional sobre los puertos abiertos:
```bash
nmap -p22,80 -sCV 172.17.0.2 -oN targeted
```
**Explicación de los parámetros:**
* `-p22,80`: Especifica los puertos a escanear.
* `-sCV`: Combina el escaneo de versiones (`-sV`) con la ejecución de scripts básicos de reconocimiento (`-sC`).
* `-oN targeted`: Guarda los resultados del escaneo en formato normal, en el archivo `targeted`.
**Resultados del escaneo:**
* **Puerto 22:** `OpenSSH 8.2p1`.
* **Puerto 80:** `Apache httpd 2.4.41`.
#### **2.4. Análisis del servicio web**
Accedemos al servicio web en el puerto 80 mediante el navegador: `http://172.17.0.2/`.
Al inspeccionar el código fuente de la página, encontramos un archivo en JavaScript llamado `script.js`.
Una parte del contenido de este archivo nos revela información importante:
```javascript
console.log("Se ha prohibido el acceso al archivo .env, que es donde se guarda la password de backup, pero hay una copia llamada .env_de_baluchingon visible jiji")
```
Esto nos indica la existencia de un archivo `.env_de_baluchingon` que podría contener credenciales validas.
### **3. Explotación**
#### **3.1. Obtención de credenciales**
Accedemos al archivo `.env_de_baluchingon` mediante la siguiente URL: `http://172.17.0.2/.env_de_baluchingon`.
**Encontramos las siguientes credenciales:**
* **Usuario:** `balu`.
* **Contraseña:** `balubalulerobalulei`.
#### **3.2. Acceso por SSH**
Utilizamos las credenciales obtenidas para conectarnos por SSH:
```bash
ssh balu@172.17.0.2
```
Confirmamos que el acceso es exitoso y estamos dentro del sistema como el usuario `balu`.
### **4. Escalada de privilegios**
#### **4.1. Análisis de privilegios del usuario**
Ejecutamos el comando `sudo -l` para verificar qué privilegios tiene el usuario actual (`balu`).
**Resultado:** Podemos ejecutar `/usr/bin/php` como el usuario `chocolate` sin necesidad de contraseña:
```bash
(chocolate) NOPASSWD: /usr/bin/php
```
#### **4.2. Abuso de binarios con sudo**
Consultamos [GTFOBins](https://gtfobins.github.io/gtfobins/php/) para encontrar una forma de escalar privilegios mediante PHP.
Ejecutamos los siguientes comandos:
```bash
CMD="/bin/bash"
```
```bash
sudo -u chocolate php -r "system('$CMD');"
```
Esto nos otorga una shell como el usuario `chocolate`.
#### **4.3. Escalada a root**
Al listar los procesos en ejecución con `ps -aux`, vemos que el usuario `root` está ejecutando periódicamente el archivo `/opt/script.php`.
Como tenemos permisos de escritura sobre este archivo, lo modificamos para agregar permisos SUID a `/bin/bash`:
```bash
echo -e "" > script.php
```
Después de esperar a que el script sea ejecutado por `root`, ejecutamos:
```bash
bash -p
```
Esto nos otorga una shell con privilegios de `root`, completando así la escalada de privilegios.
