> For the complete documentation index, see [llms.txt](https://brias.gitbook.io/brias/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://brias.gitbook.io/brias/dockerlabs/dificultad-facil/escolares.md). # Escolares ### **1. Despliegue de la máquina** #### **1.1. Descarga** Accedemos a la web oficial de [DockerLabs](https://dockerlabs.es/), buscamos la máquina **Escolares** y pulsamos el botón de descarga. Esto nos redirige a un enlace de Mega, desde donde descargamos un archivo comprimido que incluye tanto la imagen de la máquina como el script necesario para su ejecución. #### **1.2. Descompresión** Utilizamos la herramienta `7z` para extraer el contenido del archivo comprimido `escolares.zip`: ```bash 7z x escolares.zip ```
#### **1.3. Ejecución** Ejecutamos el script `auto_deploy.sh` para levantar la máquina en Docker, pasando como argumento el archivo `escolares.tar`: ```bash bash auto_deploy.sh escolares.tar ```
### **2. Reconocimiento** #### **2.1. Verificación de conectividad** Realizamos un `ping` a la dirección IP de la máquina (`172.17.0.2`) para confirmar que está activa: ```bash ping -c 1 172.17.0.2 ```
#### **2.2. Escaneo de puertos** Realizamos un escaneo rápido con `nmap` para identificar puertos abiertos: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 172.17.0.2 -oG allPorts ``` **Explicación de los parámetros:** * `-p-`: Escanea todos los puertos TCP, del 1 al 65535. * `--open`: Muestra solo los puertos que están abiertos, omitiendo los cerrados o filtrados. * `-sS`: Realiza un escaneo SYN (stealth scan) que no completa la conexión TCP. * `--min-rate 5000`: Fuerza una velocidad mínima de 5000 paquetes por segundo, acelerando el escaneo. * `-vvv`: Activa el nivel máximo de verbosidad, mostrando información detallada del proceso. * `-n`: Evita la resolución DNS, usando solo direcciones IP. * `-Pn`: Omite la detección de host activo, asumiendo que el host está disponible. * `-oG allPorts`: Guarda los resultados del escaneo en formato grepable, en el archivo `allPorts`. **Resultados del escaneo:** * **Puerto 22:** `SSH`. * **Puerto 80:** `HTTP`.
#### **2.3. Escaneo detallado** Realizamos un escaneo más exhaustivo para obtener información adicional sobre los puertos abiertos: ```bash nmap -p22,80 -sCV 172.17.0.2 -oN targeted ``` **Explicación de los parámetros:** * `-p22,80`: Especifica los puertos a escanear. * `-sCV`: Combina la ejecución de scripts básicos de reconocimiento (`-sC`) con el escaneo de versiones (`-sV`). * `-oN targeted`: Guarda los resultados del escaneo en formato normal, en el archivo `targeted`. **Resultados del escaneo:** * **Puerto 22:** `OpenSSH 9.6p1 Ubuntu 3ubuntu13`. * **Puerto 80:** `Apache httpd 2.4.58 ((Ubuntu))`.
#### **2.4. Análisis del servicio web** Accedemos al servicio HTTP mediante el navegador en `http://172.17.0.2/`. Observamos una página web con información de una universidad de ciberseguridad, sin contenido aparentemente relevante.
Al inspeccionar el código fuente, identificamos un comentario que hace referencia a un recurso oculto: ```html ```
Accedemos a `http://172.17.0.2/profesores.html` y encontramos información personal de varios usuarios, entre los cuales destaca el usuario `luis`, marcado como administrador de WordPress.
#### **2.5. Enumeración de directorios** Utilizamos `gobuster` para descubrir rutas ocultas en el servidor web: ```bash gobuster dir -u http://172.17.0.2/ -w /usr/share/wordlists/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt ``` Descubrimos el directorio `/wordpress`.
Accedemos a `http://172.17.0.2/wordpress/` y confirmamos la existencia de una página web hecha con WordPress.
### **3. Explotación** #### **3.1. Enumeración de usuarios con WPScan** Utilizamos `wpscan` para identificar usuarios válidos: ```bash docker run --rm wpscanteam/wpscan --url http://172.17.0.2/wordpress/ --enumerate u ``` **Usuario identificado:** `luisillo`.
#### **3.2. Resolución DNS local** Al intentar acceder al panel de administración de WordPress (`http://172.17.0.2/wordpress/wp-admin`), encontramos un error de resolución DNS relacionado con el dominio `escolares.dl`.
Para solucionarlo, añadimos la siguiente línea en el archivo `/etc/hosts`: ```bash 172.17.0.2 escolares.dl ```
#### **3.3. Fuerza bruta de contraseñas con diccionario personalizado** Creamos un diccionario personalizado con `cupp` utilizando la información recolectada previamente: ```bash cupp -i ```
Ejecutamos `wpscan` para realizar un ataque de fuerza bruta contra el usuario `luisillo`: ```bash docker run --rm --add-host escolares.dl:172.17.0.2 -v /home/brias/Desktop/brias/Escolares/content/luis.txt:/tmp/luis.txt wpscanteam/wpscan --url "http://escolares.dl/wordpress/wp-login.php?redirect_to=http%3A%2F%2F172.17.0.2%2Fwordpress%2Fwp-admin%2F&reauth=1" --usernames luisillo --passwords /tmp/luis.txt ``` **Contraseña encontrada:** `Luis1981`.
#### **3.4. Acceso al panel de administración** Iniciamos sesión en el panel de WordPress con las credenciales obtenidas `luisillo:Luis1981`.
#### **3.5. Subida de reverse shell** Accedemos a [revshells.com](https://www.revshells.com/) y copiamos el código de una reverse shell en PHP. Lo pegamos en un archivo nuevo en nuestro equipo, al que llamamos `ReverseShell.php`.
Luego, dentro del panel de WordPress, hacemos clic derecho sobre la carpeta donde queremos subir el archivo y seleccionamos la opción Upload files.
Seleccionamos el archivo `ReverseShell.php` desde nuestro equipo, y al finalizar la carga, comprobamos que se ha subido correctamente a la ubicación seleccionada.
Nos ponemos en escucha en el puerto `1234` para recibir la shell: ```bash nc -nvlp 1234 ```
Ejecutamos el script accediendo a `http://172.17.0.2/wordpress/wp-content/uploads/ReverseShell.php` y obtenemos una shell como el usuario `www-data`.
### **4. Escalada de privilegios** #### **4.1. Acceso al usuario luisillo** En el directorio `/home`, encontramos un archivo llamado `secret.txt` que contiene la contraseña del usuario `luisillo`: ```bash cat secret.txt ```
Cambiamos al usuario `luisillo`: ```bash su luisillo ```
#### **4.2. Análisis de privilegios** Ejecutamos: ```bash sudo -l ``` **Resultado:** Podemos ejecutar `/usr/bin/awk` como `root` sin proporcionar contraseña.
#### **4.3. Abuso del binario** Consultamos [GTFOBins](https://gtfobins.github.io/gtfobins/awk/) y ejecutamos: ```bash sudo awk 'BEGIN {system("/bin/bash")}' ``` **Resultado:** Obtenemos una shell como `root`, completando exitosamente la escalada de privilegios.